STARTTLS

STARTTLS，是一種明文通信協定的擴展，能夠讓明文的通信連線直接成為加密連線（使用SSL或TLS加密），而不需要使用另一個特別的連線埠來進行加密通信，屬於機會性加密。

基本介紹

• 中文名：STARTTLS
• 外文名：STARTTLS

簡介

STARTTLS，是一種明文通信協定的擴展，能夠讓明文的通信連線直接成為加密連線（使用SSL或TLS加密），而不需要使用另一個特別的連線埠來進行加密通信，屬於機會性加密。

STARTTLS本身是一個與套用層無關的協定，可以搭配許多套用層協定一同運作。在IMAP及POP3中使用STARTTLS，被定義在RFC 2595。在SMTP中使用，定義在RFC 3207，在FTP中使用，定義在RFC 4217。在XMPP中使用，定義在RFC 6120。在LDAP中使用，在RFC 2830，在NNTP中，在RFC 4642。

機會性加密

機會性加密或伺機加密（英語：Opportunistic encryption，簡稱OE；有時也稱非認證加密、隨機加密）是一種網路通信加密機制，即當創建通信連線時，首先嘗試請求加密，如果對方也支持加密連線，連線則開始加密，期間不進行身份驗證；如果加密請求嘗試失敗，則回退到明文通信機制。這種加密不須雙方進行事先配置，能夠抵抗被動的流量竊聽，但無法防禦中間人攻擊等主動攻擊。因此，它不能替代完整的加密方案。使用機會性加密時，用戶也不會看到任何連線安全的提示。

大多數網際網路安全協定中，開始加密通信前都會進行身份驗證，以防止中間人攻擊，從而確保通訊安全。但是，這將涉及到身份驗證與密鑰管理，且須進行事先配置，否則無法開始安全通信。這使加密變成了“有或無”的一個問題，只能在“完全安全”或“完全不安全”兩個極端選項之間選擇，沒有條件時便只能放棄加密，使用不安全的明文連線。這限制了加密連線在網際網路上的大規模套用，使被動的攻擊者也能夠竊聽大量網際網路流量。

機會性加密則並不要求進行身份驗證，目的是在條件允許時就儘可能使用加密通信方式。雖然機會性加密只能防止被動竊聽，對攻擊者的主動攻擊無能為力（例如降級攻擊或中間人攻擊），但它使大規模加密網際網路通信成為可能，從而防止網際網路遭到大規模監控、“在大多數時候，提供一定程度的安全性”。