Undelivered Mail Returned to Sender - no TLSA records found

Wieso wird der Status nicht aktualisiert/zurückgesetzt, wenn sich der MX ändert (die Änderung dürfte der mailbox DNS Server ja bereits mitbekommen haben). Unfassbar!

Es funktioniert weiterhin nicht. Bei der dritten Domain wird nur folgendes angezeigt:

Und was macht man als Nicht-Mailbox Kunde, wenn man von euch keine E-Mails mehr empfangen kann? Viele Mailbox Kunden werden vermutlich die Fehlermeldung nicht lesen/verstehen und den Fehler beim Empfangssystem suchen.

Wie gesagt, nur die MX Records wurden verändert und diese sind ja noch signiert. Hier sollte doch schon der Resolver streiken, wenn ein falscher MX vorgegaukelt wird.

Ich werde jetzt beobachten, wie lange das Problem andauert; andere E-Mails kann ich ja weiterhin empfangen.

Wenn tatsächlich nur die NS-Records geändert wurden, dann würde ja am DNSSEC nichts geändert werden...

Und ansonsten zeigt ein MiM-Problem ja genau das. Bis hin zu einer entführten Domain. Wir detektieren hier ein eventuell bedenkliches, in der Praxis normalerweise nicht zu sehendes Phänomen.

Nein, die NS records wurden nicht geändert; nur MX. NS und MX records sind signiert und wenn der MX sich der MX ändert, ist das offenbar gewollt und kein MiM.

Und wofür gibt es secure.mailbox.org? Dort kann man ja "DANE only" konfigurieren.

Sorry, total absurd.

Sorry, wenn jetzt also jemand meine Domäne übernommen und einen Mailserver mit TLSA records hinterlegt hätte, würde ihr die E-Mails normal zustellen? Ich verstehe nicht vor welchem MiM Szenario ihr da schützen wollt und Ich kenne auch keinen anderen E-Mail Anbieter, der tagelang die E-Mail Zustellung deswegen verweigert. Und die wenigsten E-Mail Anbieter bieten DNSSEC/DANE an.

Für mein Verständnis ist dieses Verhalten wohl daran gekoppelt, dass im Webmailer beim Eingeben der Mailadresse die verwendete Verschlüsselung angezeigt wird. Ich finde gut, dass ich bei wichtigen und datenschutzrelevanten Mails (z.B. Mail an Arzt / Notar / Anwalt / etc.) sehen kann, ob und wie die Mail transportverschlüsselt ist und das dann auch seitens mailbox.org garantiert wird, dass keine schlechtere Verschlüsselung (downgrade) verwendet wird. Für mich ist das so ein bisschen eine Versand-Verschlüsselungs-Garantie light. Leider kann ich bei der eigenen Domain keine richtige Verschlüsselungsgarantie einstellen die auch bei Verwendung des Mailclients funktioniert.

Technisch betroffen sind alle Emfpängeradressen, die von einem sicherheitstechnisch sehr gründlichen Anbieter wie z.B. mailbox.org (es gibt aber auch andere Hostinganbieter, die DANE / DNSSEC anbieten) zu einem etwas weniger peniblen Anbieter wechseln. Praktisch sind das vermutlich nur wenige Privatpersonen oder Kleinstgewerbetreibende. Und diese sind dann auch nicht n Monate gesperrt, sondern offenbar nur n Tage. Klar ist es sehr subjektiv, ob die Ablehnung für n Tage kurz ist oder schon zu lang, aber wären es nicht n Tage, sondern nur n Stunden, dann macht diese Verschlüsselungsgarantie (downgrade-schutz) keinen Sinn, bzw. wäre nicht vernünftig nutzbar.

Ich kann mich in der Zeit in der ich hier bin, und das ist schon eine Weile, nicht erinnern, dass das jemals im Forum hier zu einem Problem oder einer Diskussion geführt hat. Klar, früher war das IMHO wichtiger, da da noch einige Empfänger (auch staatliche Stellen und größere Organisationen) im Klartext kommuniziert haben, und heutzutage ist mir keine seriöse Mailadresse mehr über den Weg gelaufen ist, die nicht mindestens TLS 1.2. verwendet, aber trotzdem finde ich das ein wichtiges Feature ... und sei es nur als Schutz gegen MIM- oder sonstige Angriffe.

1. Es wurden nur die MX Records geändert; diese Records sind signiert (DNSSEC). Wenn die MX Records gleich geblieben wären, und plötzlich der TLSA Record fehlt oder nicht passt, würde ich den Fehler ja noch verstehen.
2. Wenn in der Zeit keine E-Mails an die Domain versendet worden wäre, würde der Fehler überhaupt nicht auftreten.
3. Man kann secure.mailbox.org verwenden und "DANE only" einstellen.
4. Welche Hostinganbieter mit DNSSEC/DANE in EU gibt es? Ich konnte nur wenige finden.
5. Und wie viele Ärzte, Notare, Anwälte, Finanzinstitute, Behörden, etc. verwenden überhaupt DANE/DNSSEC?
6. Wie realistisch ist eine MiM-Attacke in diesem Fall?