Lo smtp è il Simple Mail Transfer Protocol (definito in RFC 821). Tra altre mansioni, il relativo lavoro deve ricevere la posta accettando i collegamenti sull'orificio 25 di TCP dagli assistenti a distanza della posta. Per difetto, UNIX viene con il programma del sendmail, un programma antichissimo che effettua il protocollo dello smtp (e più).
|
|
Sendmail è uno di quei programmi che ogni coordinatore sembra sentire parlare. La relativa storia dei problemi di sicurezza è ben nota. Ha potuto essere il software di UNIX malignato su scritto mai. Con quella reputazione, dovrebbe essere chiaro che qualcosa è fondamentalmente male con sendmail—e che qualcosa è il relativo disegno monolitico.
Tuttavia, la sicurezza di sendmail ha migliorato significativamente negli ultimi anni a causa degli sforzi del relativo autore, Eric Allman, in risposta ai molti problemi che di sicurezza ha sofferto. È discutibile comunque se il sendmail è completamente "dai legno," o mai sarà, a causa del relativo disegno.
Piuttosto che ripeti una storia dei difetti di sicurezza qui (non penso che ci sia spazio), questi sono alcuni problemi generici che un'installazione di difetto di sendmail presenta:
· Sendmail è "ancora un altro daemon" quei funzionamenti come radice. Di conseguenza, una vulnerabilità utilizzabile nel sendmail può significare dare la radice assente ad un attacker. Anche se radice-faccia funzionare il programma potrebbe temporaneamente cadere i privilegi, un attacker che è shellcode in grado di funzionamento (con un trabocco dell'amplificatore o un'impresa di disposizione della stringa) può fare semplicemente una chiamata a seteuid() per ristabilire quei privilegi e per avere suo funzionamento di codice delle coperture come radice.
· Sendmail è incredibilmente complesso—i relativi usi m4 della lima di configurazione—il tion di implementa di GNU del processor a macroistruzione di UNIX. Poca gente allineare capisce m4 e meno ancora capiscono la configurazione del sendmail. Di conseguenza, è facile da fare i blunders e duro bloccarla giù senza aiuto dalla parte esterna.
· Sendmail può essere usato per trarre i usernames fuori. Collegando all'orificio 25 e pubblicando gli ordini di EXPN e di VRFY, il sendmail confermerà i usernames validi. Ciò è il primo punto nell'assumere la direzione di un cliente. I attackers possono allora usare i servizi di remote login e tentare di indovinare le parole d'accesso. Questo attacco d'ipotesi può essere automatizzato ed usare un grande dizionario dei usernames comuni per aumentare le probabilità di individuazione del username valido.
· Le più vecchie versioni di sendmail permettono che gli spammers trasmettano la posta attraverso il vostro sistema. Oltre a usando le vostre risorse, questo può rendere voi molto impopolare ed il risultato nel vostro luogo che è elencato su RBL (lista in tempo reale di Blackhole a http://mail-abuse.org/rbl/). Ciò è notizie difettose per voi poichè tutti gli assistenti della posta i vostri tentativi del luogo di collegare alla volontà cadono il collegamento se seguono la lista di RBL.
· Se configurato in modo errato, il sendmail fuoriesce le informazioni interne di indirizzo alla parte esterna. I attackers possono trasmettere i E-maihi della sonda ad un posta-assistente dell'azienda. Trasmettendo un messaggio deforme, possono trarre un messaggio fuori di rimbalzo possibilmente compreso gli indirizzi interni del IP. Ciò aiuta un attacker nel tracciato della rete interna.
· Il daemon del sendmail produce il relativo numero di versione sul collegamento del cliente. Queste informazioni aiutano il attacker selezionano un'impresa relativa.
Nella mia esperienza, poche macchine su necessità della rete dell'organizzazione realmente di ascoltare posta—sembrano appena essere perché il sendmail è attivo per difetto. Per metterlo semplicemente, non faccia funzionare il trasferimento della posta a meno che lo abbiate bisogno. Girando fuori del vostro agente di trasferimento della posta non interessa la vostra capacità dei sistemi realmente di trasmettere le poste (quale per l'uscita dei lavori del cron).
· Studii la possibilità di usando Qmail anziché il sendmail. È stato progettato e codificato stato dopo i principii sani di sicurezza ed ha fori impressionanti di sicurezza di pista—di sicurezza dell'annotazione zero. Chiamata http://www.qmail.org/ per più particolari. Le versioni recenti di Qmail vanno più ulteriormente nel facilitare l'espansione da sendmail. Qmail è disponibile su una vasta gamma delle piattaforme.
· Il suffisso (formalmente Vmailer), scritto da Wietse Venema, è un'alternativa sendmail-compatibile popolare scritta per essere veloce, facile da installare e fissare. I dettagli completi sono a http://www.postfix.org/. Se non potete affrontare Qmail, verific il suffisso.
· Se dovete fare funzionare il sendmail, nonlo faccia funzionare come configurazione—della radice un ambiente del chroot e nonlo faccia funzionare come utente non-privileged. Russell Coker ha dettagliato come fa questo a http://www.coker.com.au/~russell/sendmail.html.
· Un'idea sbagliata comune fra i coordinatori è che il sendmail deve ascoltare la rete per trasmettere la posta dalla macchina locale. Mentre questo è il difetto su molti sistemi, non è richiesto. Sendmail può essere invocato via cron con "- la bandierina di q" per assistere la coda dei messaggi uscenti in maniera regolare. Se tutta che desideriate è la capacità di trasmettere la posta, quindi inabilita lo scritto startup del sendmail—non avete bisogno del sendmail che ascoltate sull'orificio 25.
Nota
Gli autori di Qmail e del suffisso hanno bloccato pubblicamente i corni un certo numero di volte sulle liste spedenti sicurezza-relative. Non ci è chiaramente amore perso fra loro poichè provano e trovano gli insetti di sicurezza nel software di ciascuno. Anche se questo non potrebbe essere una vista piacevole al uninitiated, esso dà una comprensione importante nei problemi di sicurezza che pongono ai progettisti degli agenti di trasferimento della posta (MTA), come dove le debolezze sono e come evitarli. La linea inferiore è, se desiderate gli assistenti sicuri della posta, uso dedicato, sistemi induriti con accesso delle coperture dato agli utenti di fiducia soltanto
Online: 352 users browsing the articles directory
|
|