SMTP

SMTP هو بروتوكول نقل البريد البسيط (الذي يعرف في المضيقين 821). ومن بين المهام الأخرى ، وظيفتها هي لاستلام رسالة بريد الكتروني من خلال قبول وصلات على مشاريع التعاون التقني الميناء 25 الناءيه من خدمة البريد. بشكل افتراضي ، يونيكس يأتي مع برنامج sendmail ، قديم البرنامج الذي ينفذ بروتوكول SMTP (وأكثر).

SMTP المخاطر

Sendmail هو واحد من تلك البرامج كل مدير البرنامج يبدو انه قد سمع. تاريخها من المشاكل الامنية هو معروف. ويمكن ان يكون اكثر من اي وقت مضى يفتري يونيكس البرمجيات مكتوب. مع ان سمعه ، وينبغي ان يكون واضحا ان ثمة شيئا ما المعيب مع sendmail - وان ثمة شيئا ما عن تصميم متراصه.

ومع ذلك ، فان الامن من sendmail قد تحسنت تحسنا كبيرا في السنوات الاخيرة بفضل جهود صاحبه ، اريك allman ، فى استجابة للعديد من المشاكل الامنية التي تكبدها. وهو قابل للنقاش وان كان هو تماما ما اذا كان sendmail "الى بر الامان ،" او من اي وقت مضى وسيكون ، بسبب تصميمها.

بدلا من تكرار تاريخ من العيوب الامن هنا (ولا اظن ان هناك الفضاءيه) ، وهذه هي بعض المشاكل العامة ان التقصير تركيب sendmail يعرض :

• sendmail هو "شيطان اخر" كما انه يتعارض مع جذورها. ولذا فان استغلال الضعف في sendmail يمكن ان يعني اعطاء بعيدا الى جذور المهاجم. ورغم ان جذور تديرها البرنامج قد مؤقتا اسقاط الامتيازات ، وهو المهاجم الذي بوسعه ان تدير shellcode) من خلال الفائض عازلة او شريطا شكل استغلال) يمكن ببساطة جعل الدعوة الى seteuid () لاعادة انشاء هذه الامتيازات ولقد قالت شركة شل مدونة بالظهور كما الجذريه.

• sendmail هي بالغة التعقيد - دورته تشكيل ملف استخدامات M4 - gnu تنفيذ نشوئها اليونيكس الكلي معالج. قلة من الناس حقا فهم طرفيه ، وأقل ما زال يفهم sendmail التشكيل. وكنتيجه لذلك ، فمن السهل لجعل الأخطاء ويصعب لوك خفضه دون مساعدة من الخارج.

• sendmail يمكن استخدامها للحصول على اسماء المستخدمين. من خلال ربط الميناء الى 25 واصدار اوامر vrfy وexpn ، sendmail سيؤكد صالحة اسماء المستخدمين. هذه هي الخطوة الاولى في اخذ اكثر من حساب. ويمكن عندئذ استخدام المهاجمين الناءيه تسجيل دخول خدمات ومحاولة لتخمين كلمات السر. الحزر هذا الهجوم يمكن ان يكون الآلي واستخدام قاموس كبير من مستخدمي المشترك لزيادة فرص العثور على اسم مستخدم صحيح.

• الاصدارات القديمة من sendmail تسمح لمرسلي البريد عن طريق تقوية النظام الخاص بك. وفضلا عن استخدام الموارد الخاصة بك ، وهذا يمكن ان يجعل لكم ونتيجة لعدم شعبية جدا في موقعك يجري المدرجه على rbl (الوقت الحقيقي blackhole قائمة في http://mail-abuse.org/rbl/). هذه هي الأخبار السيءه لأنك مثل اي خدمة البريد موقعك محاولات لربط لارادة اسقاط الصدد اذا ما اتبع rbl قائمة.

• اذا كان صحيح ، sendmail التسريبات الداخلية معالجة المعلومات الى الخارج. بحث المهاجمين يمكن ارسال رسائل البريد الالكتروني الى شركة البريد - الخادم. عن طريق ارسال رسالة مشوها ، يمكنهم الحصول على رسالة أ تنطط ربما بما الداخلية عناوين بروتوكول انترنت. وهذا يساعد على وجود المهاجم رسم الخرائط في الشبكه الداخلية.

· Sendmail شيطان النواتج نسخته على عدد الزبائن الصدد. هذه المعلومات تساعد المهاجم اختر ذات الصلة استغلال.

تأمين SMTP

في تجربتي ، وآلات قليلة على شبكة المنظمه فعلا بحاجة الى الاستماع لمجرد انهم البريد - الى ان يحدث ذلك لان sendmail تنشط بشكل افتراضي. وببساطة ، ولكن لا يمكن تشغيل ونقل البريد الا اذا كنت في أمس الحاجة اليها. تنفير بريدك نقل الوكيل لا يؤثر على القدرة على النظم الخاصة بك فعلا ارسال البريد (مثل لالناتج من الوظائف كرون).

• النظر في استخدام qmail بدلا من sendmail. وقد صمم وترميزها التالية امنية سليمة المبادئ ومثيرا للاعجاب الامن قد سجل الصفر الامن الثقوب. زيارة http://www.qmail.org/ لمعرفة المزيد من التفاصيل. النسخ الأخيرة من qmail نذهب الى ابعد من ذلك في تخفيف الهجره من sendmail. Qmail متاحة على نطاق واسع من المنابر.

• postfix (رسميا vmailer) ، التي كتبها wietse venema ، هو شعبي sendmail - متوافق البديله الى ان تكون مكتوبة سريعه وسهلة لتركيب وأمنه. التفاصيل الكاملة هي في http://www.postfix.org/. اذا كنت لا تستطيع مواجهة qmail ، قم postfix.

• اذا كنت تدير يجب sendmail ، ولكن لا يمكن تشغيل انها الجذريه - بناء بيئة chroot والبعيد كما أنها غير مميزة المستخدم. راسل كوكر قد مفصل كيف يفعل هذا في http://www.coker.com.au/ ~ راسل / sendmail.html.

• مشترك بين مديري الاعتقاد الخاطئ هو ان sendmail بحاجة الى الاستماع الى هذه الشبكه من اجل ارسال الرسائل من الاله المحلي. ولئن كان هذا هو التقصير عن كثير من النظم ، وأنه غير مطلوب. Sendmail يمكن الاستناد اليها عبر كرون مع "- ف" العلم لخدمة طابور من الرسائل الصادرة على اساس منتظم. اذا كنت ترغب في جميع هو القدرة على ارسال البريد ، ثم تعطيل sendmail بدء النصي - لست بحاجة sendmail الاستماع على 25 ميناء.

ملاحظه

واضعو qmail وpostfix علنا مقفل قرون عدة مرات على الامن ذات الصلة والقوائم البريديه. ومن الواضح انه لا فقدت الحب بينهما وهم يحاولون العثور على الامن والبق في الطرف الآخر البرمجيات. ورغم ان هذا قد لا تكون سعيدة وشيكة لغير مستهل ، فانه يعطي نظرة متعمقه في القضايا الامنية التى تواجه مصممي نقل البريد من وكلاء (mta) ، مثل الحاله التي يكون فيها نقاط الضعف وكيفية تفاديها. وخلاصة القول ، اذا كنت تريد تأمين خدمة البريد ، واستخدام المتفانيه ، نظم العتاه مع شركة شل الوصول نظرا لثقته المستخدمين فقط