Newsgroup: it.comp.os.win.windows10
Titolo: Aggiornamento Windows e server SMTP con crittogtrafia non valida

ho un cliente (lato hardware/software) che mi dice che le sue caselle 
mail non possono più funzionare in USCITA a causa degli ultimi 
aggiornamenti di Windows, stando a quello che gli dice il suo fornitore 
del servizio mail, che suggerisce di cestinare Outlook e passare  
Thunderbird 8-o
 
il messaggio di errore è che la crittografia correntemente impostata 
non è supportata (ho appena chiesto di inviarmi uno screenshot, appena 
lo ho lo posto)
 
eccolo: 
https://i.imgur.com/pVtuJiQ.jpeg
 
 
l'impostazione attuale è porta 587 + STARTTLS, cioè la stessa delle 
caselle 
outlook.com
 (
https://is.gd/47JpQY
)
 
e qui mi domando e dico: come si può permettere Windows di cambiare 
questa impostazione con i miliardi di account outlook che ha in giro? 
forse che tutti adesso dobbiamo migrare a TB?
 
oppure la pecca è sul server del suo fornitore che va in qualche modo 
adeguato a un sempre possibile aggiornamento di MS?
 
-- 
/-\ /\/\ /\/\ /-\ /\/\ /\/\ /-\ T /-\
-=- -=- -=- -=- -=- -=- -=- -=- - -=-
........... [ al lavoro ] ...........

 
outlook.com
 (
https://is.gd/47JpQY
)
 
nota bene: questa casella funziona solo con il protocollo POP, IMAP non 
è supportato


 eccolo: 
https://i.imgur.com/pVtuJiQ.jpeg
 
 
https://community.letsencrypt.org/t/windows-update-kb5018410-breaks-smtp-with-some-certs/186132
 
 
https://is.gd/qft8O0
 
 
che sia questo? provo


 che sia questo? provo
 
non credo, stando al messaggio, il client (Outlook nel caso) sta
tentando di usare un protocollo crittografico non supportato dal
server; gli aggiornamenti rilasciati da Microsoft hanno disattivato il
supporto per SSLv3 e TLS 1.0/1.1 dato che sono universalmente
riconosciuti come non più sicuri (e non solo da Microsoft), solo che se
il SERVER di chi fornisce il servizio email NON è stato aggiornato per
supportare i protocolli TLS 1.2 ed 1.3, ecco che ti trovi di fronte
l'errore di "protocollo non supportato dal server"
 
Un modo per verificare se il problema sia il server del fornitore di
servizi email, è quello di usare questo tool
 
https://github.com/rbsec/sslscan/releases/tag/2.0.15
 
 
per usarlo, basta estrarre l'exe dallo zip e poi, da un prompt comandi
lanciare il comando (esempio)
 
sslscan --starttls-smtp 
mail.example.com:465
 
 
dove "
mail.example.com
" è il server da testare e "465" la porta dello
stesso; il tool mostrerà a video i protocolli supportati dal server,
se tra tali protocolli non appaiono TLS 1.2 e/o 1.3 ma solo TLS 1.0,
1.1 ed SSLv3... il server sta usando dei protocolli vulnerabili
 
per altre info, basta lanciare sslscan senza specificare alcun parametro
 
 
 
 

 sslscan --starttls-smtp 
mail.example.com:465
 
 
 
ecco qua
 
ho mascherato per la privacy ;) il nome del server e l'indirizzo IP
 
la versione 1.2 c'è, manca la 1.3
 
poi dice tante altre cose ma mi sfugge il significato
 
 
 
 
 
 
 
c:\>sslscan --starttls-smtp abcdef.g-hijk.lm:587
Version: 2.0.15 Windows 64-bit (Mingw)
OpenSSL 1.1.1e-dev  xx XXX xxxx
 
Connected to 115.114.111.112 <- falso come Giuda
 
Testing SSL server abcdef.g-hijk.lm on port 587 using SNI name 
abcdef.g-hijk.lm
 
  SSL/TLS Protocols:
SSLv2     disabled
SSLv3     disabled
TLSv1.0   enabled
TLSv1.1   enabled
TLSv1.2   enabled
TLSv1.3   disabled
 
  TLS Fallback SCSV:
Server supports TLS Fallback SCSV
 
  TLS renegotiation:
Secure session renegotiation supported
 
  TLS Compression:
Compression disabled
 
  Heartbleed:
TLSv1.2 not vulnerable to heartbleed
TLSv1.1 not vulnerable to heartbleed
TLSv1.0 not vulnerable to heartbleed
 
  Supported Server Cipher(s):
Preferred TLSv1.2  256 bits  ECDHE-RSA-AES256-GCM-SHA384   Curve P-256 
DHE 256
Accepted  TLSv1.2  256 bits  DHE-RSA-AES256-GCM-SHA384     DHE 2048 
bits
Accepted  TLSv1.2  128 bits  ECDHE-RSA-AES128-GCM-SHA256   Curve P-256 
DHE 256
Accepted  TLSv1.2  128 bits  DHE-RSA-AES128-GCM-SHA256     DHE 2048 
bits
Accepted  TLSv1.2  256 bits  ECDHE-RSA-AES256-SHA384       Curve P-256 
DHE 256
Accepted  TLSv1.2  256 bits  DHE-RSA-AES256-SHA256         DHE 2048 
bits
Accepted  TLSv1.2  128 bits  ECDHE-RSA-AES128-SHA256       Curve P-256 
DHE 256
Accepted  TLSv1.2  128 bits  DHE-RSA-AES128-SHA256         DHE 2048 
bits
Accepted  TLSv1.2  256 bits  ECDHE-RSA-AES256-SHA          Curve P-256 
DHE 256
Accepted  TLSv1.2  256 bits  DHE-RSA-AES256-SHA            DHE 2048 
bits
Accepted  TLSv1.2  256 bits  DHE-RSA-CAMELLIA256-SHA       DHE 2048 
bits
Accepted  TLSv1.2  128 bits  ECDHE-RSA-AES128-SHA          Curve P-256 
DHE 256
Accepted  TLSv1.2  128 bits  DHE-RSA-AES128-SHA            DHE 2048 
bits
Accepted  TLSv1.2  128 bits  DHE-RSA-CAMELLIA128-SHA       DHE 2048 
bits
Accepted  TLSv1.2  256 bits  AES256-GCM-SHA384
Accepted  TLSv1.2  128 bits  AES128-GCM-SHA256
Accepted  TLSv1.2  256 bits  AES256-SHA256
Accepted  TLSv1.2  128 bits  AES128-SHA256
Accepted  TLSv1.2  256 bits  AES256-SHA
Accepted  TLSv1.2  256 bits  CAMELLIA256-SHA
Accepted  TLSv1.2  128 bits  AES128-SHA
Accepted  TLSv1.2  128 bits  CAMELLIA128-SHA
Preferred TLSv1.1  256 bits  ECDHE-RSA-AES256-SHA          Curve P-256 
DHE 256
Accepted  TLSv1.1  256 bits  DHE-RSA-AES256-SHA            DHE 2048 
bits
Accepted  TLSv1.1  256 bits  DHE-RSA-CAMELLIA256-SHA       DHE 2048 
bits
Accepted  TLSv1.1  128 bits  ECDHE-RSA-AES128-SHA          Curve P-256 
DHE 256
Accepted  TLSv1.1  128 bits  DHE-RSA-AES128-SHA            DHE 2048 
bits
Accepted  TLSv1.1  128 bits  DHE-RSA-CAMELLIA128-SHA       DHE 2048 
bits
Accepted  TLSv1.1  256 bits  AES256-SHA
Accepted  TLSv1.1  256 bits  CAMELLIA256-SHA
Accepted  TLSv1.1  128 bits  AES128-SHA
Accepted  TLSv1.1  128 bits  CAMELLIA128-SHA
Preferred TLSv1.0  256 bits  ECDHE-RSA-AES256-SHA          Curve P-256 
DHE 256
Accepted  TLSv1.0  256 bits  DHE-RSA-AES256-SHA            DHE 2048 
bits
Accepted  TLSv1.0  256 bits  DHE-RSA-CAMELLIA256-SHA       DHE 2048 
bits
Accepted  TLSv1.0  128 bits  ECDHE-RSA-AES128-SHA          Curve P-256 
DHE 256
Accepted  TLSv1.0  128 bits  DHE-RSA-AES128-SHA            DHE 2048 
bits
Accepted  TLSv1.0  128 bits  DHE-RSA-CAMELLIA128-SHA       DHE 2048 
bits
Accepted  TLSv1.0  256 bits  AES256-SHA
Accepted  TLSv1.0  256 bits  CAMELLIA256-SHA
Accepted  TLSv1.0  128 bits  AES128-SHA
Accepted  TLSv1.0  128 bits  CAMELLIA128-SHA
 
  Server Key Exchange Group(s):
TLSv1.2  128 bits  secp256r1 (NIST P-256)
TLSv1.2  192 bits  secp384r1 (NIST P-384)
TLSv1.2  260 bits  secp521r1 (NIST P-521)
 
  SSL Certificate:
Signature Algorithm: sha256WithRSAEncryption
RSA Key Strength:    2048
 
Subject:  abcdef.g-hijk.lm
Altnames: DNS:abcdef.g-hijk.lm
Issuer:   R3
 
Not valid before: Oct 25 05:08:31 2022 GMT
Not valid after:  Jan 23 05:08:30 2023 GMT


 poi dice tante altre cose ma mi sfugge il significato
 
hmm... quindi il server supporta TLS... a questo punto il mistero si
infittisce, ossia stando al messaggio di OL, sembra che il client vada
a richiedere al server una "cipher suite" che il server non supporta...
 

 a richiedere al server una "cipher suite" che il server non supporta...
 
farò una prova appena possibile configurando un account MS, non vedo 
che altro si possa pensare
