The Bat! – brak wysyłania i odbioru poczty przez SSL/TLS, porty, certyfikaty, antywirus

Pytanie

nie mogę wysłać ani odebrać po porcie SSL/TLS wiadomości w programie The Bat!

Odpowiedź Sztucznej Inteligencji

Bezpośrednia odpowiedź na pytanie

• Źródłem kłopotów z SSL/TLS w The Bat! niemal zawsze okazują się:
  1) nieprawidłowy port lub tryb szyfrowania (SSL vs STARTTLS),
  2) niezaufany bądź wygasły certyfikat,
  3) blokada połączenia przez zaporę lub moduł AV skanujący pocztę,
  4) przestarzała wersja programu nieobsługująca aktualnych protokołów (TLS ≥ 1.2).
• W praktyce wystarczy zweryfikować/zmienić porty i tryb, odświeżyć bazę certyfikatów, zaktualizować The Bat! oraz wyeliminować (lub prawidłowo skonfigurować) filtrację SSL/TLS w antywirusie – po tych czynnościach połączenia powinny ruszyć.

Szczegółowa analiza problemu

1. Podstawy teoretyczne

   • Klient i serwer uzgadniają wersję TLS oraz zestaw szyfrów („cipher suite”) już w pierwszych 2 pakietach (ClientHello/ServerHello). Nieobsługiwane wersje/cyphery, błędy w nazwie serwera (SNI) lub weryfikacji certyfikatu przerywają „handshake”.
   • The Bat! umożliwia pracę w dwóch trybach:
     • SSL/TLS od pakietu 1 („Secure to dedicated port (TLS)”) – porty 465/995/993
     • STARTTLS („Secure to regular port (STARTTLS)”) – początkowo czysty tekst na 25/587/110/143, następnie przejście w TLS po komendzie STARTTLS.

2. Diagnostyka krok-po-kroku

   a) Sprawdź poprawność tabeli portów

   Protokół	Tryb	Port	Ustawienie w The Bat!
   SMTP	SSL	465	Secure to dedicated port (TLS)
   SMTP	STARTTLS	587	Secure to regular port (STARTTLS)
   POP3	SSL	995	Secure to dedicated port (TLS)
   IMAP	SSL	993	Secure to dedicated port (TLS)
   IMAP	STARTTLS	143	Secure to regular port (STARTTLS)

   b) Aktualizuj The Bat! – od wersji 10.4 (2024-03) klient domyślnie negocjuje TLS 1.3, starsze buildy zatrzymują się na TLS 1.1 i są odrzucane przez większych dostawców (Google, Microsoft, Proton).

   c) Odśwież bazę CA

   • Zamknij The Bat!, zmień nazwę pliku RootCA.ABD w katalogu profili, uruchom klienta – baza zostanie zbudowana ponownie z aktualnymi CA.

   d) Wyklucz ingerencję AV/FW

   • Tymczasowo wyłącz „Mail Shield” (Avast/AVG) lub moduł „SSL scanning” (ESET, Kaspersky).
   • Jeżeli problem znika, wyeksportuj certyfikat pośredniczący AV i zaimportuj go w Narzędzia → Menedżer certyfikatów, albo całkowicie wyłącz przechwytywanie SSL dla thebat.exe.

   e) Analiza logu

   • Centrum Połączeń → PPM → „Zapisz log wydarzeń”. Zwroty typu:
     • Handshake failure – brak wspólnej wersji TLS/cypher,
     • unknown_ca – certyfikat nieznanego CA,
     • unexpected_message – zły tryb (np. STARTTLS na 465).

   f) Test poza The Bat!

   openssl s_client -connect smtp.domena.pl:465 -servername smtp.domena.pl
   openssl s_client -starttls smtp -connect smtp.domena.pl:587

   Komenda pokaże wersję TLS, użyty cypher i pełny łańcuch certyfikatów.

3. Praktyczne scenariusze

   • Gmail / Google Workspace: IMAP 993 SSL, SMTP 587 STARTTLS + hasło aplikacji lub OAuth2 (The Bat! 10+).
   • Outlook (O365): IMAP 993 SSL, SMTP 587 STARTTLS + modern auth.
   • Serwery firmowe Exchange/Postfix: coraz częściej wymuszone TLS 1.2+ i restrykcyjna lista cypherów (ECDHE-RSA-AES256-GCM-SHA384 i wyżej). Starsze Windows 7 bez patchy KB3140245 nie przeprowadzą handshake’u.

Aktualne informacje i trendy

• Duzi operatorzy (Google, Microsoft, Yahoo) od 2024 r. odrzucają TLS < 1.2, a w końcówce roku planują wyłączenie TLS 1.0/1.1 w SMTP SUBMISSION.
• Rosnąca popularność OAuth2 w klientach poczty – The Bat! 10 posiada już natywny moduł „GoogleXOAUTH2 / MS OAuth 2.0”.
• Antywirusy przechodzą z interceptingu SSL na API TLS Inspection firmy Microsoft, co zmniejszy liczbę błędów „unknown_ca”, lecz wymaga najnowszych wersji silników AV.

Wspierające wyjaśnienia i detale

• Jeśli porównamy SSL-on-connect (465/993/995) do STARTTLS (587/143/110), różnica przypomina przejazd autostradą wprost do tunelu (SSL) kontra dojazd zwykłą drogą i dopiero wjazd do tunelu (STARTTLS). Błędny „wjazd” kończy się zderzeniem (błąd handshake).
• Certyfikaty serwerów pocztowych są zwykle wystawiane na smtp, imap lub *.domena.pl; brak zgodności CN/SAN z polem „nazwa hosta” powoduje ostrzeżenie.

Aspekty etyczne i prawne

• Szyfrowanie TLS jest wymagane przez RODO do przesyłania danych osobowych pocztą elektroniczną. Wysyłka bez TLS (lub z wyłączonym AV-MITM, gdzie certyfikat nie jest zaufany) może zostać uznana za naruszenie art. 32 ust. 1 lit. a RODO (odpowiedni poziom poufności).
• Importowanie certyfikatu AV do The Bat! przenosi odpowiedzialność za poufność z dostawcy AV na administratora – należy formalnie udokumentować ryzyko interceptingu.

Praktyczne wskazówki

1. Użyj kreatora kont (Konto → Nowe) – ostatnie wersje The Bat! pobierają konfiguracje z serwera autodiscover.
2. Zawsze wymuś „Authenticate after POP before SMTP” tylko u dostawców, którzy tego wymagają (rzadkie przypadki).
3. Utwórz osobny profil Windows/PCI jeśli do celów audytu musisz zachować logi TLS.
4. Po zmianach testuj telnet smtp 25 → oczekiwany wynik to „530 Must issue STARTTLS first” – oznacza, że serwer wymusza szyfrowanie.

Ewentualne zastrzeżenia lub uwagi dodatkowe

• Bardzo stare wersje The Bat! (v5 i starsze) używają OpenSSL 0.9.8 i nie obsługują SNI – certyfikat wildcard może być wtedy źle dopasowany.
• Na części łącz VPN split-tunnel ruch na port 465 bywa blokowany polityką firmową; użyj 587/STARTTLS.
• Jeżeli serwer stosuje certyfikat self-signed, jedynym bezpiecznym wyjściem jest import jego CA, a nie permanentne zaakceptowanie ostrzeżenia.

Sugestie dalszych badań

• Monitoruj handshake w Wireshark (tls.handshake filter) aby wychwycić konkretny błąd alertu TLS.
• Przetestuj klienta w trybie Portable The Bat! na czystym systemie – wykluczy to konflikty systemowe.
• Rozważ migrację do protokołów z OAUTH2 i MTA-STS/DANE (szczególnie w środowiskach korporacyjnych).

Krótkie podsumowanie

Kluczem do rozwiązania problemu jest dopasowanie portu i trybu szyfrowania do wymogów serwera, aktualizacja The Bat! (TLS 1.2/1.3), uporządkowanie certyfikatów i wyeliminowanie filtracji SSL przez oprogramowanie zabezpieczające. Po przeprowadzeniu opisanych kroków 99 % przypadków braku połączenia po SSL/TLS w The Bat! udaje się usunąć.