Opportunistische TLS vs. geforceerde TLS: Wat is het verschil voor uw e- mailbeveiliging?

Elke keer dat een e-mail met gevoelige gegevens uw organisatie verlaat, is het dan veilig om aan te nemen dat deze veilig is? Het antwoord is: dat hangt ervan af. Hoewel u misschien op de hoogte bent van TLS (Transport Layer Security) - het protocol dat uw gegevens versleutelt - is het cruciaal om te begrijpen dat niet alle versleuteling gelijk is, vooral niet als het om e- mail gaat.

Dat is waar Opportunistic TLS en Forced TLS van pas komen . Als u uw e-mailbeveiliging wilt verbeteren, is het essentieel dat u het cruciale onderscheid tussen deze twee kent. Laten we meteen bekijken wat ze zijn, hoe ze werken en waarom de keuze van belang is voor de bescherming van uw gegevens.

Opportunistische TLS vs. gedwongen TLS: een overzicht op hoog niveau

Voordat we ingaan op de details, volgt hier een snelle vergelijking om de situatie te schetsen en u te helpen het belangrijkste onderscheid te begrijpen tussen opportunistische TLS en geforceerde TLS:

Wat is opportunistische TLS?

Opportunistische TLS is hetzelfde als afspreken met iemand voor een privégesprek op een drukke openbare plaats. Als er een privéhoekje beschikbaar is, kunt u uw gevoelige gesprek veilig voeren; als er echter geen rustig plekje vrij is, voert u het gesprek in het openbaar en neemt u de kans dat u wordt afgeluisterd. De communicatie vindt plaats, maar de privacy is niet gegarandeerd.

Hoe werkt opportunisitc TLS?

In de wereld van e-mail, wanneer een e-mailserver (zoals de server van je bedrijf) een bericht stuurt naar een andere server (zoals de Gmail-server van de ontvanger), probeert het een TLS-gecodeerde verbinding tot stand te brengen. Dit gebeurt meestal met een commando genaamd STARTTLS binnen het SMTP-protocol. Als de ontvangende server STARTTLS ondersteunt en de onderhandeling succesvol is, wordt de inhoud van de e-mail tijdens het transport versleuteld. Als de ontvangende server echter geen TLS ondersteunt of als een probleem de encryptiehandshake verhindert, wordt de e-mail gewoon in platte tekst verzonden - wat betekent dat deze onversleuteld is en mogelijk leesbaar voor iedereen die de e-mail onderschept.

Voordelen en risico's van opportunistische TLS

• Hoge compatibiliteit: TLS zorgt ervoor dat e-mails bij vrijwel elke server kunnen worden afgeleverd, ongeacht of die server TLS ondersteunt of niet. Dit voorkomt mislukte e-mailafleveringen.
• Eenvoudige installatie: Het is over het algemeen eenvoudig in te schakelen op de meeste e-mailsystemen.
• Beter dan niets: Hoewel het niet perfect is, biedt het waar mogelijk een basisbeveiligingsniveau en is het een verbetering ten opzichte van het onversleuteld verzenden van alle e-mails.

• Kwetsbaarheid voor afluisteren: Als een aanvaller de TLS-handdruk kan verstoren (bijv. door een downgrade-aanval), kan hij de verbinding onversleuteld laten verlopen zonder dat de verzender of ontvanger daar expliciet van op de hoogte is.
• Geen garantie op privacy: Je kunt er niet zeker van zijn dat je e-mail versleuteld is tijdens het transport, tenzij je specifiek de mailheaders controleert na
• "Best effort" beveiliging: Het biedt een "beste poging" tot versleuteling, maar garandeert het niet.

Gebruikssituaties voor opportunistische TLS:

• Algemene e-mailcommunicatie tussen niet-gerelateerde domeinen: Dit is de standaardmodus voor het meeste standaard e-mailverkeer op het internet. Het is waarschijnlijk dat uw persoonlijke e-mails vaak vertrouwen op opportunistische TLS.
• Openbare of open webdiensten: Waar universele toegankelijkheid prioriteit heeft boven gegarandeerde encryptie voor elke afzonderlijke verbinding.
• Achterwaartse compatibiliteit tussen oudere omgevingen: Essentieel voor het waarborgen van communicatie met oudere systemen die moderne TLS-standaarden mogelijk niet volledig ondersteunen.

Voorbeelden van opportunistische TLS:

• Een gewone e-mail sturen van uw persoonlijke Gmail-account naar het Outlook.com- account van een vriend: de servers proberen TLS te gebruiken, maar als dat niet lukt, wordt de e-mail toch onversleuteld
• De meeste standaard inter-domein e-mailaflevering op het internet vertrouwt op opportunistische TLS via het STARTTLS commando in het SMTP-protocol.

Gebruikt Office 365 opportunistische TLS?

Ja, standaard gebruikt M365 opportunistische TLS, die berichten probeert te versleutelen met TLS als de ontvangende server dit ondersteunt, maar terugvalt naar onversleutelde aflevering als dit niet het geval is. Beheerders kunnen echter Gedwongen TLS (ook bekend als TLS met versleutelingsvereisten) configureren via mail flow rules of connector instellingen om ervoor te zorgen dat e-mail alleen wordt afgeleverd als een veilige TLS-verbinding tot stand kan worden gebracht - anders mislukt de aflevering. Dit maakt Geforceerde TLS in M365 een configureerbare optie, geen standaardoptie, met het grote nadeel van onbestelbare e-mails als TLS niet wordt ondersteund door de ontvangende

server.

Gebruikt Gmail opportunistische TLS? 

Ja, Gmail gebruikt standaard opportunistische TLS. Bij het verzenden of ontvangen van e- mail probeert Gmail een beveiligde TLS-verbinding op te zetten met de andere mailserver.

Als de server van de ontvanger TLS ondersteunt, wordt het bericht onderweg versleuteld. Als TLS echter niet wordt ondersteund, levert Gmail het bericht onversleuteld af. Deze aanpak verbetert de beveiliging van e-mail zonder dat een strikte configuratie vereist is, maar garandeert geen versleuteling, waardoor het minder veilig is dan Geforceerde TLS in scenario's waar versleuteling verplicht is.

Wat is gedwongen TLS?

Geforceerde TLS is een veel striktere benadering van encryptie. Geforceerde TLS staat erop dat uw gesprek op een privéplek plaatsvindt; als er geen ruimte beschikbaar is, vindt het gesprek gewoon niet plaats.

Hoe werkt gedwongen TLS?

Gedwongen TLS (ook bekend als "Strict TLS" of "Required TLS") dicteert dat de verzendende e-mailserver een versleutelde verbinding eist met de ontvangende server. Als de TLS- handdruk mislukt, of als de ontvangende server TLS helemaal niet ondersteunt, wordt de e- mail niet afgeleverd. De verbinding wordt gewoon verbroken en de verzender ontvangt meestal een bounce-back bericht dat de aflevering mislukt is. Dit zorgt ervoor dat de e-mail nooit in platte tekst wordt verzonden.

Geforceerde TLS heeft vaak te maken met vooraf geconfigureerd beleid, soms "TLS-beleid" of "connectoren" genoemd in e-mailsystemen, waarbij u expliciet aangeeft dat communicatie met bepaalde domeinen TLS moet gebruiken. Dit is een veelgebruikte functie in services zoals Opportunistic TLS Office 365 configuraties bij het instellen van strikte mail flow regels.

Voordelen en risico's van gedwongen TLS:

• Maximale beveiliging: Garandeert dat gevoelige informatie altijd wordt versleuteld tijdens het transport, waardoor het risico van onversleutelde overdracht wordt geëlimineerd.
• Voorkomt downgrade-aanvallen: Een aanvaller kan een verbinding niet onversleuteld
• Essentieel voor compliance: Cruciaal voor het voldoen aan strenge wettelijke vereisten in verschillende branches, zoals HIPAA en

• Kans op mislukte aflevering: Als de server van de ontvanger de vereiste TLS- versie niet ondersteunt of configuratieproblemen heeft, wordt de e-mail niet
• Configuratieoverhead: Vereist zorgvuldige installatie en doorlopend beheer om ervoor te zorgen dat alle doeldomeinen TLS ondersteunen en geconfigureerd zijn voor gedwongen TLS.

Gebruikssituaties voor gedwongen TLS:

• Gezondheidszorg (HIPAA-conforme communicatie): Absoluut essentieel voor het verzenden van beschermde gezondheidsinformatie (PHI) om te voldoen aanregelgeving zoals HIPAA, die de beveiliging van patiëntgegevens verplicht stelt.

• Financiële instellingen: Gebruikt voor veilige communicatie met gevoelige financiële gegevens, rekeninggegevens en transacties om te voldoen aan compliance-standaarden zoals PCI DSS.

• Overheidsinstellingen: Voor het uitwisselen van geheime of gevoelige overheidsinformatie die strikte vertrouwelijkheid vereist.
• Interne zakelijke e-mails: Veel organisaties dwingen TLS af tussen hun eigen interne mailservers of met vertrouwde partners om ervoor te zorgen dat alle interne communicatie veilig
• Zeer gevoelige B2B-communicatie: Bij het uitwisselen van vertrouwelijke zakelijke informatie tussen twee bedrijven die een wederzijdse overeenkomst hebben om maximale beveiliging te

Voorbeelden van gedwongen TLS:

• Een ziekenhuis dat patiëntendossiers naar een verzekeringsmaatschappij stuurt, waarbij beide partijen zijn overeengekomen om gedwongen TLS te gebruiken voor alle communicatie tussen hun domeinen. Als de TLS-verbinding niet tot stand kan worden gebracht, wordt het dossier niet
• Het e-mailsysteem van een bank gebruikt vaak gedwongen TLS bij het verzenden van rekeningoverzichten of gevoelige meldingen, zodat deze e-mails worden versleuteld tijdens het transport naar uw e-mailprovider (ervan uitgaande dat uw provider ook de benodigde TLS ondersteunt).
• Bedrijven die Microsoft 365 gebruiken, kunnen geforceerde TLS-regels instellen (vaak "Connectors" genoemd) om ervoor te zorgen dat e-mails die van of naar specifieke partnerdomeinen worden verzonden, TLS moeten gebruiken, anders worden ze geweigerd. Dit helpt compliance en sterke e-mailbeveiliging te garanderen.

Gebruikt Office 365 gedwongen TLS?

Standaard niet, maar het is wel instelbaar. Microsoft 365 (M365) gebruikt standaard geen

gedwongen TLS. In plaats daarvan wordt Opportunistic TLS gebruikt, dat e-mail onderweg probeert te versleutelen als de ontvangende server dit ondersteunt. Als TLS niet beschikbaar is, worden berichten onversleuteld verzonden.

M365 kan echter worden geconfigureerd om gedwongen TLS te gebruiken via connectors of mail flow rules. Als het goed is ingesteld, zorgt gedwongen TLS in M365 ervoor dat e-mail alleen wordt verzonden als er een beveiligde TLS-verbinding tot stand kan worden gebracht - anders mislukt de aflevering. Kortom, gedwongen TLS is een configureerbare optie, niet het standaard gedrag.

Gebruikt Gmail gedwongen TLS?

Gmail gebruikt standaard geen gedwongen TLS. Gmail vertrouwt op opportunistische TLS, wat betekent dat het e-mail probeert te versleutelen als de ontvangende server TLS ondersteunt; als TLS niet beschikbaar is, wordt het bericht onversleuteld afgeleverd.

Hoewel Google ondersteuning biedt voor het afdwingen van TLS voor specifieke domeinen met behulp van de geavanceerde instellingen van Gmail (voornamelijk in Google Workspace), is gedwongen TLS niet het standaardgedrag en moet het expliciet worden geconfigureerd. Bovendien, wanneer TLS niet wordt ondersteund en gedwongen TLS is ingesteld, is het alternatief dat berichten niet worden verzonden, wat een probleem is dat de beveiligde e-mailoplossing van Zivver kan ondervangen. 

Heb ik gedwongen TLS nodig?

Zowel opportunistische TLS als gedwongen TLS spelen een rol in e-mailbeveiliging. Voor organisaties die te maken hebben met gevoelige gegevens en compliance-eisen is gedwongen TLS echter de duidelijke winnaar, omdat het een garantie biedt op versleuteling tijdens de doorvoer. Hoewel opportunistische TLS een "best effort" benadering biedt, elimineert het niet het risico van onversleutelde verzending als niet aan de voorwaarden wordt voldaan; met traditionele e-mailoplossingen, als de server van de ontvanger TLS niet ondersteunt, kan uw bericht niet worden verzonden.

Voor echt robuuste e-mailbeveiliging die verder gaat dan de basismogelijkheden van TLS, verbetert een speciale e-mailversleutelingsoplossing zoals Zivver e-mailclients zoals Microsoft 365 en Gmail met geavanceerde versleutelingsprotocollen, zodat gevoelige e- mails worden beschermd en kunnen worden gelezen in een beveiligd webportaal, beschermd door een sterke 2FA. Naast geavanceerde versleuteling beschermt Zivver gevoelige e-mails verder met gebruiksvriendelijke functies ter voorkoming van gegevensverlies, waarmee menselijke fouten worden voorkomen - allemaal cruciale elementen voor het beschermen van uw informatie.

Klaar om uw e-mailversleuteling en gegevensbescherming naar een hoger niveau te tillen? Ontdek hoe Zivver uw e-mailbeveiliging kan verbeteren.

Veelgestelde vragen (FAQ's)

V1: Wat is het belangrijkste verschil tussen opportunistische TLS en gedwongen TLS?

A1: Het belangrijkste verschil is of encryptie verplicht is. Opportunistic TLS probeert

encryptie, maar zal de e-mail onversleuteld verzenden als TLS faalt. Geforceerde TLS vereist versleuteling; als TLS niet tot stand kan worden gebracht, wordt de e-mail helemaal niet verzonden.

V2: Wanneer moet ik gedwongen TLS gebruiken? 

A2: U moet Geforceerde TLS gebruiken wanneer u gevoelige gegevens verzendt, zoals patiëntendossiers (HIPAA-naleving), financiële informatie, overheidscommunicatie of interne bedrijfse-mails waarbij gegarandeerde versleuteling essentieel is om te voldoen aan beveiligings- en nalevingsvereisten. 

V3: Ondersteunt Microsoft 365 opportunistische TLS en gedwongen TLS? 

A3: Ja, Microsoft 365 ondersteunt beide. Standaard wordt opportunistische TLS gebruikt voor uitgaande e-mail. Beheerders kunnen echter mail flow rules (connectors) configureren om Forced TLS af te dwingen voor specifieke domeinen of partners, waardoor een hoger beveiligingsniveau voor die communicatie wordt gegarandeerd.

V4: Is opportunistische TLS veilig genoeg voor mijn zakelijke e-mails?

A4: Voor algemene, niet-gevoelige zakelijke e-mails biedt opportunistische TLS enige bescherming. Echter, voor gevoelige gegevens, vertrouwelijke informatie of alles waarvoor naleving van de regelgeving vereist is, is het over het algemeen niet veilig genoeg vanwege de terugval naar onversleutelde communicatie. Voor deze scenario's wordt gedwongen TLS of een speciale oplossing voor e-mailversleuteling aanbevolen.

V5: Wat zijn de risico's van het gebruik van opportunistische TLS voor e-mail?

A5: Het primaire risico van opportunistische TLS is dat een aanvaller de TLS-handshake kan downgraden of verstoren, waardoor de e-mail in platte tekst wordt verzonden zonder dat de verzender of ontvanger dit weet. Dit maakt de inhoud kwetsbaar voor afluisteren en onderscheppen.