El smtp es el Simple Mail Transfer Protocol (definido en RFC 821). Entre otras tareas, su trabajo es recibir el correo aceptando conexiones en el puerto 25 del TCP de los servidores alejados del correo. Por defecto, UNIX viene con el programa del sendmail, un programa histórico que ponga el protocolo del smtp (y más en ejecucio'n).
|
|
Sendmail es uno de esos programas que cada administrador se parece haber oído hablar. Su historia de los problemas de la seguridad es bien sabido. Podía ser el software calumniado de UNIX escrito siempre. Con esa reputación, debe estar claro que algo está fundamental mal con el sendmail—y que algo es su diseño monolítico.
Sin embargo, la seguridad del sendmail ha mejorado perceptiblemente en años recientes debido a los esfuerzos de su autor, Eric Allman, en respuesta a los muchos problemas de la seguridad que sufrió. Es discutible sin embargo si el sendmail está totalmente "fuera de las maderas," o estará siempre, debido a su diseño.
Más bien que repita una historia de los defectos de seguridad aquí (no pienso que hay espacio), éstos son algunos problemas genéricos que una instalación del defecto del sendmail presenta:
· Sendmail es "otro demonio" esos funcionamientos como raíz. Por lo tanto, una vulnerabilidad explotable en sendmail puede significar dar la raíz ausente a un atacante. Aunque rai'z-funcione el programa pudo caer temporalmente los privilegios, un atacante que es shellcode capaz del funcionamiento (con un desbordamiento del almacenador intermediario o una hazaña del formato de la secuencia) puede hacer simplemente una llamada al seteuid() para reestablecer esos privilegios y para tener su funcionamiento del código de la cáscara como raíz.
· Sendmail es increíblemente complejo—sus aplicaciones m4 del archivo de la configuración—el tion del implementa del GNU del macroprocesador de UNIX. Pocos personas entienden verdad m4, y menos todavía entienden la configuración del sendmail. Consecuentemente, es fácil hacer equivocaciones y duro trabarla abajo sin ayuda del exterior.
· Sendmail se puede utilizar para sacar usernames. Conectando con el puerto 25 y publicando comandos de VRFY y de EXPN, el sendmail confirmará usernames válidos. Éste es el primer paso en asumir el control una cuenta. Los atacantes pueden después utilizar servicios del remote login y procurar conjeturar contraseñas. Este ataque que conjetura puede ser automatizado y utilizar un diccionario grande de usernames comunes para aumentar las ocasiones de encontrar un username válido.
· Más viejas versiones del sendmail permiten que los spammers retransmitan el correo a través de su sistema. Aparte de usar sus recursos, esto puede hacer le muy impopular y resultado en su sitio que es enumerado en RBL (lista en tiempo real de Blackhole en http://mail-abuse.org/rbl/). Ésta es malas noticias para usted pues cualquier servidor del correo sus tentativas del sitio de conectar con la voluntad cae la conexión si él sigue la lista de RBL.
· Si está configurado incorrectamente, el sendmail se escapó la información interna de la dirección al exterior. Los atacantes pueden enviar E-maices de la punta de prueba a un correo-servidor de la compañía. Enviando un mensaje malformado, pueden sacar un mensaje de despedida posiblemente incluyendo direcciones internas del IP. Esto asiste a un atacante en traz la red interna.
· El demonio del sendmail hace salir su número de versión sobre la conexión del cliente. Esta información ayuda al atacante selecciona una hazaña relevante.
En mi experiencia, pocas máquinas en la necesidad de la red de una organización de escuchar correo—apenas suceden realmente estar porque el sendmail es activo por defecto. Para ponerlo simplemente, no funcione la transferencia del correo a menos que usted la necesite. El dar vuelta de su agente de transferencia del correo no afecta su capacidad de los sistemas de enviar realmente correos (por ejemplo para la salida de los trabajos del cron).
· Considere el usar de Qmail en vez de sendmail. Se ha diseñado y se ha cifrado después de principios sanos de la seguridad y tiene agujeros impresionantes de la seguridad de pista—de una seguridad del expediente cero. Visita http://www.qmail.org/ para más detalles. Las versiones recientes de Qmail entran más lejos en facilitar la migración del sendmail. Qmail está disponible en una amplia gama de plataformas.
· El posfijo (formalmente Vmailer), escrito por Wietse Venema, es un alternativa sendmail-compatible popular escrito para ser rápido, fácil de instalar y de asegurar. Los detalles completos están en http://www.postfix.org/. Si usted no puede hacer frente a Qmail, compruebe fuera de posfijo.
· Si usted debe funcionar el sendmail, no lo funcione como estructura—de la raíz un ambiente del chroot y no lo funcione como usuario sin privilegios. Russell Coker ha detallado cómo él hace esto en http://www.coker.com.au/~russell/sendmail.html.
· Una idea falsa común entre administradores es que el sendmail necesita escuchar la red para enviar el correo de la máquina local. Mientras que éste es el defecto en muchos sistemas, no se requiere. Sendmail se puede invocar vía cron con "- la bandera de q" para mantener la coleta de mensajes de salida sobre una base regular. Si lo único que usted desea es la capacidad de enviar el correo, después inhabilita la escritura de lanzamiento del sendmail—usted no necesita el sendmail que escucha en el puerto 25.
Nota
Los autores de Qmail y del posfijo han trabado público los cuernos un número de veces en listas que enviaban seguridad-relacionadas. No hay claramente amor perdido entre ellos pues intentan y encuentran insectos de la seguridad en uno a software. Aunque esto no pudo ser una vista agradable a uninitiated, él da una penetración valiosa en las ediciones de seguridad para los diseñadores de los agentes de transferencia del correo (MTA), por ejemplo donde están las debilidades y cómo evitarlos. El fondo es, si usted desea los servidores seguros del correo, el uso dedicado, sistemas endurecidos con el acceso de la cáscara dado a los usuarios confiados en solamente
Online: 417 users browsing the articles directory
|
|