Thunderbird：SSL/TLS 与 STARTTLS

Question

在 ServerFault 问题“ STARTTLS 比 TLS/SSL 更安全吗？ ”时，有人提出这个问题实际上是关于 Thunderbird 而不是实际协议。此外，如果您搜索有关此主题的 Google，您会发现许多不同的答案相互矛盾。

Thunderbird（谈论当前版本 17，但从版本 3 开始就是这样）在配置对话框中提供了三种加密传输的方法：

• 没有任何
• SSL/TLS
• 开始TLS

在版本 3之前的Thunderbird 中，有以下选项：

• 没有任何
• 安全证书
• TLS
• TLS，如果可用

在 Thunderbird 版本 3 中，“SSL”选项被重命名为“SSL/TLS”，最后两个选项被合并并重命名为“STARTTLS”。STARTTLS 成为默认配置选项。

但是，根据这个问答，在使用 STARTTLS 时，Thunderbird 可能会在不通知我的情况下回退到明文传输！

我的问题是：

1. Thunderbird 真的可以在不告诉我的情况下退回到明文传输，并且无论如何都可以建立连接（这会带来安全风险）吗？
2. Thunderbird 支持哪些版本的 SSL、TLS 和 STARTTLS？
3. Thunderbird 中是否有一些指示器可以显示实际使用的是哪种加密方法（协议和版本）？
4. 有没有办法强制 Thunderbird 使用 TLS，如果服务器不支持则根本不连接？（“SSL/TLS”选项似乎无法处理 TLS（我尝试过），而可以执行 TLS 的 STARTTLS 可能具有“静默回退”安全风险。）

Answer 1

1. 这是可能的。根据规范：

2.3. 明文密码要求

实现 STARTTLS 的客户端和服务器必须可配置为拒绝所有明文登录命令或机制（包括标准跟踪和非标准机制），除非足够强度的加密层处于活动状态。

因此，必须有一个复选框专门限制纯文本登录。但没有。我预计这是 Thunderbird 中的默认行为，但我不确定，所以我们可以期待这一点。

2. 我想它支持所有使用的主要版本。SSL 已过时，并慢慢被 TLS 取代。然而与它的名字相矛盾的是，STARTTLS 可以使用 SSL 作为加密协议，这一切都取决于服务器支持的协议。

3. 我不知道有这样的可能性。

4. 我想 1) 也回答了这个问题（即你不能强迫它，但很可能这是默认行为）。注意：“SSL/TLS”和“STARTTLS”不是可互操作的协议（这就是它们使用不同端口的原因）。