ruby-on-rails - 即使在同一台计算机上，使用不带 SSL/TLS 的 SMTP 发送电子邮件是否不安全？

Question

我正在编写一个 Rails 应用程序，我必须在其中发送电子邮件(用于密码重置/联系表单等)。我可以在没有 SSL/TLS 的情况下使电子邮件正常工作，但使用 SSL/TLS 时它总是会导致超时。

我的问题是不使用 SSL/TLS 有多不安全？如果我的 Rails 应用程序和邮件服务器位于同一台机器上，那么不使用 SSL/TLS 不是问题吗？不使用 SSL/TLS 是否意味着只有我的 Rails 应用程序和邮件服务器之间的通信不安全，但邮件服务器和收件人之间的通信仍然是安全的？

供您引用，以下是我的铁路邮件配置。你认为这有什么问题吗？

  config.action_mailer.delivery_method = :smtp
  config.action_mailer.smtp_settings = {
                  address:              'secure.mailserver.com',
                  port:                 465,
                  user_name:            'no-reply@mydomain.org',
                  password:             'password',
                  enable_starttls_auto: true,
                  authentication:       "plain"
          }

Answer 1

Is not using SSL/TLS not a problem if my rails application and the mail server are located in the same machine?

一般而言，使用从 localhost 到 localhost 的 SSL/TLS 意义不大。

Does not using SSL/TLS mean that only the communication between my rails app and the mail server is not secure but the communication between the mail server and recipient will still be secure?

您的邮件服务器(MSA)和收件人之间的通信不能假设是安全的(MSA 和 MTA 通常不在它们之间使用 SSL/TLS，或者至少您永远不能做出这种假设).

如果您希望收件人的电子邮件安全，请使用邮件级加密(例如 S/MIME)。

邮件用户代理(您的 Rails 应用程序或 Thunderbird 等)和您的 MSA(它连接到的服务器)之间的 SSL/TLS 加密通常在您需要提供密码以对该服务器进行身份验证时很有用.它对于一般传输级安全性也很有用，至少可以抵御位于您的用户代理和服务器之间的潜在攻击者(例如，如果您在公共(public)网络上)。

在您的配置中，您使用的是端口 465 和 STARTTLS。通常，端口 465 用于 SMTPS(基于 SSL/TLS 的 SMTP，首先建立 SSL/TLS channel )，而端口 587 用于 SMTP+STARTTLS(在升级到 SSL/TLS 之前有一些普通的 SMTP 流量通过 STARTTLS)。 (更多详情 here .)