Gmail will officially cease support for the Triple Data Encryption Standard (3DES) for all incoming SMTP connections on May 30, 2025, a move Google describes as vital for bolstering user security against the cipher’s well-documented weaknesses.
According to Google, this change means that any email systems still exclusively relying on the antiquated 3DES protocol for sending messages will be Det går inte att leverera dem till Gmail-användare efter deadline. Detta kan orsaka betydande kommunikationsstörningar om administratörer inte uppgraderar sina system till moderna, säkra TLS-chiffer, som rekommenderas i Google’s Help Center . href=”https://news.ycombinator.com/item?id=43922975″Target=”_ blank”> Hackernyheter , där nioåriga gapet sedan 3Des allvarliga sårbarheter (CVE-2016-2183) var offentliga detaljerade har varit en punkt i kandidat. Hacker News-användaren’Londons_explore’påpekade,”Oroa dig inte-det tog bara 9 år mellan 3DE: er som offentligt känt för att ha allvarliga sårbarheter och Google beslutar att det inte är lämpligt för att skydda kanske det mest känsliga datasättet i världen (privata e-postmeddelanden).”
While some users debate the practical severity of 3DES for SMTP given typical session limits, the overwhelming sentiment acknowledges the need of the update for a service Lika kritiskt som Gmail.
Google har bekräftat att administratörer av domäner som nyligen använder 3DE: er har meddelats direkt, och slutanvändare som får e-postmeddelanden via 3DEs också kommer att se varningar. Denna förändring kommer att påverka alla Google Workspace-kunder och pressar på ett bredare antagande av starkare krypteringsstandarder över e-postekosystemet. 3des 64-bitars blockstorlek gör den sårbar över tid.
Mekaniken för förändrings-och branschsammanhang
Den praktiska implikationen av denna policyskift är enkel: när en extern e-postserver försöker ansluta. Hacker News-användaren’Tialaramex’uttryckte det,”Googles förändring här är när en klient kallar Gmail och bekänner att den minst hemska chifferet det vet är 3DES, det är synd, anslutning misslyckades.”
Denna proaktiva blockering syftar till att förhindra dataledning genom föråldrad kryptering. Google Workspace-administratören hjälper till att ytterligare klargöra att administratörer kan identifiera 3DES-användning i sin utgående posttrafik; Det specifika värdet som indikerar att denna chiffer i BigQuery-loggar är”värdet som visas i detta fält som indikerar användning av en 3DES-chiffer är Des-CBC3-Sha.”
Detta drag av Google, även om det är betydande, är en del av en större branschtrend bort från 3DES. For instance, Microsoft detailed its deprecation plans for 3DES in Office 365, with support for the TLS_RSA_WITH_3DES_EDE_CBC_SHA CIPHER Suite tas bort från och med den 28 februari 2019. Tillbaka 2016, med hänvisning till Sweet32-sårbarheten.
Sweet32-attacken ( cve-2016-2183
Påverkan på äldre system och bredare säkerhetsinsatser
Ett viktigt problem som uppstår från denna avskrivning är påverkan på mycket gamla e-postsystem. Hacker News-användaren’ZZQ1015’framhöll detta och säger:”Du kan aldrig föreställa dig hur många som fortfarande använder WINXP, eller andra glömda äldre klienter/servrar som bara stöder upp till TLS 1.0 och RC4/DES/3DES utan att inse det.”
Även om det ofta har varit en faktor för större tjänsteleverantörer att hålla bakåtkompatibilitet har varit en faktor för större tjänsteleverantörer. I själva verket uttryckte vissa i teknikgemenskapen överraskning över att Gmail stödde det så länge.
Kärnsårbarheten ligger inte bara med nyckellängden utan med 3des 64-bitars blockstorlek, vilket gör det mottagligt för födelsedagsattacker över utökade sessioner. Mer information om Sweet32-attacken finns på Sweet32.Info .
Googles avfasning av 3DES är förenlig med sin bredare strategi för att förbättra e-postsäkerhet. Till exempel rapporterade WinBuzzer tidigare om en beta-funktion för Gmail i april som introducerade en växling för klientsidan kryptering (CSE) för företagsanvändare.
Det underliggande CSE-systemet uppnådde Allmänt tillgänglighet i februari 2023 , enligt en Google-arbetsbloggaruppdaterar blogg. Medan 3DES-avskrivning behandlar en grundläggande kryptering av transitering, erbjuder CSE ett annat lager som krypterar innehåll innan det lämnar användarens webbläsare. Google Cloud har också sagt att det inte använder 3DE: er internt men hade hållit det tillgängligt på slutpunkter för kompatibilitet, med FedRamp-kunder som kan begära att det är borttaget.
Navigera e-postens integritet och åtkomst
diskussioner kring e-post säkerhet alltid beröring av datainriktningen. 3DES-tillkännagivandet kanske vill att du ska besöka konsekvenserna av Electronic Communications Privacy Act (ECPA) . less than a full warrant, Googles officiella policy hävdar ett krav på en ECPA-sökord för Gmail-innehåll, baserat på fjärde ändringsskydd. Denna position ekas av andra tekniska jättar; Apple’s Law Enforcement Guidelines och Metas riktlinjer återspeglar liknande ståndpunkter och belyser en pågående branschövergripande navigering av juridiska krav och användarnas integritet i digital kommunikation.
