STARTTLS en DANE

Inhoudsopgave

Content

Introductie

voice-over: DANE en DMARC

Iedereen die mailt met de overheid, wil erop kunnen vertrouwen dat berichten niet onderweg worden meegelezen.

En dat een bericht van de overheid echt van de overheid afkomstig is.

Daarom is het heel belangrijk dat overheidsorganisaties hun mailverkeer goed beveiligen.

Met de open standaarden DANE en DMARC.

DANE verzekert dat de verbinding wordt versleuteld.

En DMARC voorkomt dat iemand anders zich als afzender kan voordoen, bijvoorbeeld bij het versturen van een phishingmail.

Alle overheidsorganisaties zijn verplicht om DANE en DMARC te gebruiken, zowel bij het verzenden als het ontvangen van mail.

Dit betekent dat overheidsorganisaties van hun mailproviders moeten eisen dat zij deze standaarden toepassen.

Zo wordt e-mail voor iedereen veiliger.

Meer weten? Ga dan naar forumstandaardisatie.nl


Status

Lijst status
  • ‘Verplicht ('Pas toe of leg uit’)' betekent dat de standaard verplicht moet worden uitgevraagd en toegepast volgens de Instructie rijksdienst bij aanschaf ICT-diensten of ICT-producten.
  • ‘Aanbevolen’ betekent dat dit een gangbare of opkomende standaard is waarvan het Forum Standaardisatie het gebruik aanbeveelt.
  • ‘In behandeling’ betekent dat de standaard wordt getoetst voor opname op een van de lijsten.
  • ‘Archief’ betekent dat de standaard in het verleden op de lijst heeft gestaan of in behandeling is geweest en nu niet (meer) verplicht of aanbevolen wordt.
Verplicht (pas toe leg uit)
Functioneel toepassingsgebied

Beschrijft de toepassing(en) waarvoor het gebruik van de standaard verplicht is of aanbevolen wordt (afhankelijk van de lijststatus).

STARTTLS en DANE moeten in combinatie worden toegepast op ontvangende en verzendende e-mailservers.
Organisatorisch werkingsgebied

Benoemt de organisaties waarvoor de verplichting geldt.

Nederlandse overheden (Rijk, provincies, gemeenten en waterschappen) en instellingen uit de (semi-) publieke sector.
Aanvullende verplichtingen

Soms legt het Overheidsbreed Beleidsoverleg Digitale Overheid (OBDO) voor een standaard verplichtingen op die verder gaan dan de verplichtingen zoals beschreven in de Instructie rijksdienst bij aanschaf ICT-diensten of ICT-producten.

Voor STARTTLS en DANE heeft het Overheidsbreed Beleidsoverleg Digitale Overheid (OBDO) een streefbeeldafspraak gemaakt, waarvan de voortgang ieder halfjaar wordt gemeten.
Europese status

‘Ja’ betekent dat de standaard is erkend door het Multi Stakeholder Platform on ICT Standardisation van de Europese Commissie.
Ja

Nut en werking

Typering
Beveiligde verbinding tussen mailservers
Nut

Mailverkeer tussen mailservers verloopt via SMTP. STARTTLS in combinatie met DANE gaan, in aanvulling op SMTP, afluisteren of manipuleren van dit mailverkeer door internetcriminelen tegen. 
Werking

STARTTLS maakt het mogelijk om SMTP-verkeer tussen mailservers over een met TLS versleutelde verbinding te laten lopen.



DANE, dat voortbouwt op DNSSEC, geeft zekerheid over de identiteit van de ontvangende mailserver. Dit voorkomt dat een aanvaller zich kan uitgeven als ontvangende-mailserver, waardoor hij het mailverkeer kan onderscheppen. Daarnaast dwingt DANE het gebruik van TLS af. Dit voorkomt dat een aanvaller de opzet van STARTTLS kan blokkeren, om zo toegang tot de onversleutelde berichten te krijgen.
Domein
Relatie met andere standaarden
Relatie met andere standaarden
Relatie met andere standaarden
Trefwoorden

Detailinformatie

Volledige naam

SMTP Service Extension for Secure SMTP over Transport Layer Security (STARTTLS) en SMTP Security via Opportunistic DNS-Based Authentication of Named Entities (DANE)
Versie
RFC 3207 en RFC 7672
Specificatiedocument
Beheerorganisatie
IETF

Toepassing

Community

Organisaties waarbij men terecht kan voor adoptieondersteuning, best practices, use cases en/of nadere informatie over de standaard.

DANE users mailinglist
Hulpmiddelen

Vrij beschikbare hulpmiddelen en software die de adoptie van de standaard ondersteunen. Dit kunnen zijn: referentie-implementaties, open source libraries, test tools, e.d.
Conformiteitstest

Hulpmiddelen of processen waarmee producten kunnen worden getest op conformiteit met de standaard.

Toetsingsinformatie

Toelichting bij opname

Tijdens de procedure was er een nieuwe concept-standaard (SMTP MTA Strict Transport Security (MTA-STS)) gepubliceerd waarbij de grotere mail platformen betrokken zijn o.a. Gmail en Yahoo!). Deze standaard kan gezien worden als potentiële concurrent van DANE, maar is nog dermate prematuur dat het geen reden was om STARTTLS en DANE op de lijst op te nemen. Zie voor meer informatie het Aanvullend onderzoek SMTP STS. 

STARTTLS en DANE werden in 2016 op de 'Pas toe of leg uit'-lijst geplaatst met verplichting voor ontvangende e-mail servers. Verplichting voor verzendende e-mail servers werd in 2016 prematuur geacht vanwege de nog weinig ontwikkelde marktondersteuning. In 2018 heeft het Forum Standaardisatie de marktondersteuning voor STARTTLS en DANE voor verzendende e-mail servers nogmaals getoetst. Op advies van het Forum Standaardisatie heeft het OBDO het functioneel toepassingsgebied van STARTTLS en DANE op 29 november 2018 uitgebreid naar ontvangende en verzendende e-mail servers.

In diverse baselines zoals de Baseline Informatiebeveiliging Rijksdienst (BIR), Baseline Informatiebeveiliging Nederlandse Gemeenten (BIG) en de Baseline Informatiebeveiliging waterschappen (BIWA) is opgenomen dat persoonsgegevens niet onversleuteld over onbeveiligde/onvertrouwde netwerken verzonden mogen worden. Deze baselines verplichten zodoende afgedwongen versleuteling van verbindingen zoals STARTTLS die in combinatie met DANE ondersteunt.

Het Overheidsbrede Beleidsoverleg Digitale Overheid (OBDO) heeft in 2018 het functioneel toepassingsgebied aangepast conform de in 2017 vastgestelde standaardsyntaxis.
Adoptieadviezen

De formele adoptieadviezen die het Forum Standaardisatie meegeeft bij plaatsing van de standaard op de 'Pas toe of leg uit'-lijst of lijst aanbevolen standaarden.

Het Forum en Nationaal Beraad gaf in 2016 ten aanzien van de adoptie van STARTTLS en DANE de volgende adviezen:

  1. Het Forum Standaardisatie wordt opgeroepen om een infographic over e-mailbeveiligingsstandaarden op te stellen om zodoende de relatie met andere e-mailstandaarden (zoals DKIM en SPF) beter inzichtelijk te maken.
  2. NCSC wordt opgeroepen om, in aanvulling op de whitepaper ‘ICT beveiligingsrichtlijnen voor Transport Layer Security (TLS)’, een advies uit te brengen over het implementeren van STARTTLS en DANE.
  3. Platform Internetstandaarden wordt opgeroepen om het advies van NCSC als uitgangspunt te hanteren in de e-mailtest op Internet.nl.
  4. Forum Standaardisatie wordt opgeroepen bij de mailstandaarden op de lijst met gangbare standaarden die tussen mailclient en mailserver gebruikt kunnen worden (SMTP, IMAP en POP3), aan te geven dat deze bij voorkeur met TLS beveiligd moeten worden.
  5. VNG wordt opgeroepen om beveiligingsstandaarden als STARTTLS en DANE op te nemen in de GEMMA Softwarecatalogus.
  6. Forum Standaardisatie worden opgeroepen om met behulp van Internet.nl een overheidsbrede 0-meting te laten uitvoeren naar het gebruik van STARTTLS en DANE.
  7. De Shared Service Centra van het Rijk (zoals SSC-ICT en DICTU) worden opgeroepen om STARTLS en DANE te implementeren en hen hierop via ICCIO of CTO-raad aan te spreken.
  8. Forum Standaardisatie wordt opgeroepen om een jaar na opname van de standaarden te toetsen (in samenspraak met de expertgroep) hoe het verloopt met de implementatie en of het functioneel toepassingsgebied ook moet worden uitgebreid tot uitgaande mailstromen.
  9. NCSC wordt opgeroepen de ontwikkelingen rondom de aanverwante concept-standaard MTA-STS in de gaten te houden en wanneer MTA-STS een ontwikkelde standaard is de relatie tussen de standaarden opnieuw te duiden.

Bij de uitbreiding van het functioneel toepassingsgebied in 2018 werden de volgende aanvullende adviezen gedaan:

  1. Het OBDO wordt opgeroepen de ondersteuning van STARTTLS in combinatie met DANE door leveranciers nader te laten onderzoeken en als vertegenwoordiger van de Nederlandse overheid de leveranciers om betere ondersteuning te vragen.
  2. Het Forum Standaardisatie wordt opgeroepen om over een jaar de stand van zaken rond de alternatieve technologie MTA-STS te evalueren.
  3. Het Forum Standaardisatie wordt opgeroepen om de infographic over e-mailbeveiligingsstandaarden uit te breiden om zodoende de relatie van STARTTLS en DANE met onder andere S/MIME, PGP, IMAP(S), POP3(S), x509, DMARC, SPF en DKIM beter weer te geven.
  4. Organisaties die STARTTLS en DANE toepassen worden opgeroepen de standaarden te implementeren volgens de adviezen van het NCSC.
  5. SIDN wordt opgeroepen om DANE voor mail onderdeel te maken van de incentiveregeling op basis van de Registrar Scorecard.
  6. VNG-Realisatie wordt opgeroepen om de GEMMA Softwarecatalogus aan te passen als het OBDO instemt met uitbreiding van het functioneel uitbreidingsgebied van STARTLS en DANE met uitgaande e-mail-servers. Daarmee krijgen gemeenten beter inzicht in de toepassing van deze standaarden.

De opgeroepen partijen worden gevraagd om één jaar na opname van de standaard over de voortgang op deze punten te rapporteren aan het Forum Standaardisatie.
Uitstekend beheer
  • ‘Ja’ betekent dat een nieuwe versie van de standaard na aanmelding op de lijst wordt overgenomen zonder aanvullende toetsing door het Forum Standaardisatie.
  • ‘Nee’ betekent dat een nieuwe versie van de standaard na aanmelding eerst door het Forum Standaardisatie wordt getoetst voordat de huidige versie op de lijst door de nieuwe versie kan worden vervangen.
Nee
Expertadvies

20160215-Expertadvies-STARTTLS-en-DANE-1.0.pdf

PDF Document | 555.9 KB
Expertadvies

20180803-Expertadvies-STARTTLS-en-DANE-itbreiding-functioneel-toepassingsgebied.pdf

PDF Document | 817.98 KB
Advies

Advies-Nationaal-Beraad-STARTTLS-en-DANE.pdf

PDF Document | 149.45 KB
Consultatie

Commentaar uit de openbare consultatie uitbreiding functioneel toepassingsgebied STARTTLS en DANE.pdf

PDF Document | 197.97 KB
Intakeadvies

FS 151216.2C Intakeadvies DANE en StartTLS.pdf

PDF Document | 316.99 KB
Forumadvies

FS 160420.2E Forumadvies 1 STARTTLS en DANE.pdf

PDF Document | 519.29 KB
Onderzoek

FS 160608.3D Aanvullend onderzoek SMTP STS 1 0.pdf

PDF Document | 240.85 KB
Forumadvies

FS 160608.3E Forumadvies 2 opname STARTTLS icm DANE.pdf

PDF Document | 336.72 KB
Forumadvies

FS 181010.3C Forumadvies uitbreiding toepassingsgebied STARTTLS en DANE.pdf

PDF Document | 249.64 KB
Datum van aanmelding

Datum waarop een organisatie de standaard heeft aangemeld voor verplichten aan de overheid ('Pas toe of leg uit') of aanbevelen aan de overheid door plaatsing op een van de lijsten. Als een standaard voldoet aan de criteria om in behandeling genomen te worden, vindt een toetsingsprocedure plaats. Deze duurt ongeveer zeven maanden.

16-12-2015
Datum van besluit

Datum waarop het Overheidsbreed Beleidsoverleg Digitale Overheid (OBDO) of een van zijn voorgangers heeft besloten de standaard op de lijst te plaatsen.

19-09-2016