• admin@kibc
• 29 czerwca 2026
• Brak komentarzy

Miliony e-maili wysyłanych między serwerami pocztowymi do dziś wędrują przez internet jako zwykły, nieszyfrowany tekst. Każdy, kto znajdzie się na trasie tej transmisji, może je odczytać, skopiować, a nawet podmienić ich treść. Pełnomocnik Rządu do Spraw Cyberbezpieczeństwa uznał to za wystarczająco poważne zagrożenie, by wydać oficjalną rekomendację, której pełną treść prezentujemy poniżej.

Przesyłanie poczty elektronicznej bez szyfrowania wygląda trochę tak, jakbyś wysyłając list zamiast zaklejonej koperty użył przezroczystej folii. Tym samym, każdy listonosz po drodze może go przeczytać, skopiować, a nawet podmienić treść.

Komunikacja drogą mailową może odbywać się na dwa sposoby – kanałem jawnym lub szyfrowanym. W przypadku tradycyjnego, jawnego połączenia treść wiadomości jest przesyłana otwartym tekstem. Z kolei użycie protokołu TLS (Transport Layer Security) zabezpiecza transmisję — nawet jeśli ktoś ją przechwyci, zobaczy jedynie niezrozumiały ciąg znaków.

Czym jest atak Man-in-the-Middle?

Rekomendacja Ministerstwa Cyfryzacji wskazuje na zagrożenie atakiem Man-in-the-Middle (MitM). To scenariusz, w którym przestępca lub służby obcego państwa niepostrzeżenie wchodzą między dwóch korespondentów — czytają wiadomości, modyfikują je lub kradną poświadczenia logowania. Ofiary przez cały czas są przekonane, że komunikują się bezpiecznie.
Jak podkreśla rekomendacja:

– Brak skonfigurowanego TLS sprawia, że transmisja poczty może odbywać się w postaci jawnej, co zwiększa ryzyko przechwycenia korespondencji, a także otwiera infrastrukturę na ataki Man-in-the-Middle.

Pełnomocnik Rządu ds. Cyberbezpieczeństwa zawarł w dokumencie cztery precyzyjne zalecenia techniczne, które każda instytucja objęta krajowym systemem cyberbezpieczeństwa powinna wdrożyć:

Weryfikacja certyfikatów TLS

Serwery pocztowe muszą sprawdzać ważność, zaufanie i zgodność nazwy hosta w certyfikatach partnerskich serwerów. Połączenie z nieznanym lub wygasłym certyfikatem powinno być automatycznie blokowane.

Rekordy PTR w DNS

Prawidłowe odwrotne wpisy DNS (PTR) dla serwerów pocztowych wspierają filtry antyspamowe i budują reputację nadawcy. To proste ustawienie, które zapobiega wpadaniu legalnej korespondencji do folderu spam.

Wyłączenie przestarzałych algorytmów szyfrowania

RC4, DES, 3DES, wszystkie wersje SSL oraz TLS 1.0 i TLS 1.1 — to protokoły, które zostały złamane lub uznane za niebezpieczne. Rekomendacja nakazuje ich wyłączenie. Dopuszczalne minimum to TLS 1.2, zalecane TLS 1.3.

Certyfikaty od zaufanych urzędów certyfikacji (CA)
Certyfikaty używane przez serwery pocztowe powinny być wystawiane przez urzędy z europejskiej listy zaufanych dostawców usług zaufania (EU Trusted List / EUTL), a nie przez wewnętrzne, niezweryfikowane urzędy.

Formalnie rekomendacja jest skierowana do podmiotów krajowego systemu cyberbezpieczeństwa — instytucji publicznych, podmiotów ważnych i kluczowych oraz dostawców usług cyfrowych. Jednak opisane zagrożenia i rozwiązania dotyczą w równym stopniu każdej organizacji używającej poczty elektronicznej – również firm prywatnych, szpitali, uczelni i samorządów.

Jak sprawdzić, czy Twoje serwery są bezpieczne?

CSIRT NASK udostępnia bezpłatne narzędzie do weryfikacji konfiguracji serwerów pocztowych pod adresem bezpiecznapoczta.cert.pl. Pozwala ono wykonać test w kilka minut, bez specjalistycznej wiedzy technicznej. W ramach projektu Artemis (cert.pl/skanowanie) prowadzone są również cykliczne automatyczne skany infrastruktury podmiotów KSC — w tym sprawdzenie, czy serwery pocztowe umożliwiają zestawienie połączenia szyfrowanego.

Co robić dalej?

Priorytetem jest przegląd konfiguracji serwera pocztowego przez administratora IT lub zewnętrznego audytora. Kluczowe pytania do weryfikacji obejmują sprawdzenie czy TLS jest wymuszany przy połączeniach wychodzących i przychodzących, czy wygasłe lub samopodpisane certyfikaty są odrzucane, czy stare protokoły (SSLv3, TLS 1.0/1.1) są wyłączone oraz czy serwer używa certyfikatu od zaufanego urzędu CA?

Jeśli Twoja organizacja nie skonfigurowała TLS na serwerach pocztowych, nie jest to wyłącznie kwestia zgodności z przepisami — to realne ryzyko utraty danych, szpiegostwa przemysłowego lub naruszenia tajemnicy korespondencji.
Z pełną treścią rekomendacji można zapoznać się pod poniższym linkiem: Rekomendacja – czytaj

Dokument powstał we współpracy Ministerstwa Cyfryzacji z trzema krajowymi zespołami reagowania na incydenty: CSIRT NASK, CSIRT MON i CSIRT GOV.