Google, Microsoft, Yahoo med flere går sammen om ny e-mail-kryptering

"Først hvis disse betingelser er opfyldt, vil selve e-mailen blive afsendt. Hvis modtageren ikke har styr på kryptering og certifikater, får afsenderen i stedet besked om, hvorfor e-mailen ikke kunne leveres."

Så kunne du få en mail i den gamle version, med besked om at der var mail, og en måde hvorpå du kunne modtage det. Så have du 24 timer inden mailen, "løb ud" til at få opdateret og hentet mail ?

De argumenterer med at problemet ikke er særligt stort og kommer så med et løsningsforslag, hmmm.

While such "opportunistic" encryption protocols provide a high barrier against passive man-in-the-middle traffic interception, any attacker who can delete parts of the SMTP session (such as the "250 STARTTLS" response) or who can redirect the entire SMTP session (perhaps by overwriting the resolved MX record of the delivery domain) can perform such a downgrade or interception attack.

Er der nogen som har data på problemets størrelse?

Det lugter langt væk af at udelukke små mailservere med selvunderskrevne ssl certificater og lign.

Svaret står i abstract i forslaget:

SMTP STS is a mechanism enabling mail service providers to declare their ability to receive TLS-secured connections, to declare particular methods for certificate validation, and to request sending SMTP servers to report upon and/or refuse to deliver messages that cannot be delivered securely.

Jeg synes at det lyder fornuftigt at afsender får lejlighed til at lade være med at sende hvis sikkerheden mangler.