Forums:
Saludos,
¿Es posible "securizar" la comunicación entre postfix y amavis?
Administro varios servidores de correo con una configuración típica de Postfix + amavis-new.
En estas configuraciones amavis escucha en un puerto (10025) por el que recibe los correos a analizar desde postfix y le devuelve el resultado a postfix por otro puerto (10026).
La comunicación entre amavis y postfix por estos puertos es SMTP, sin cifrar y sin autenticar.
Todo esto me lleva a que un usuario que tenga acceso a la máquina podría conectarse con un simple "telnet localhost 10026" y enviar un correo suplantando la identidad de otra persona. Postfix está configurado para que a través del puerto estandar (25) haya que autenticarse y además la comunicación vaya cifrada.
Hasta hace muy poco Amavis era capaz de retransmitir una autenticación fijada en postfis con el fin de evitar estos problemas, pero en la última versión ha desaparecido esta capacidad.
¿Alguna idea?
Gracias de antemano
hum, disculpa que te
hum, disculpa que te pregunte: y para qué la seguridad? Es decir, esa comunicación será seguramente sobre un correo que acaba de llegar via smtp al servidor, el smtp seguramente no fue encriptado, o sí?
Saludos
epe
--
EcuaLinux.com
Ecuador: +(593) 9 9246504, +(593) 2 3412402
USA: +1 305 675 1512, España: +34 917617884
Saludos
epe
EcuaLinux.com
+(593) 9 9924 6504
Servicios en Software Libre
Me imagino que el postfix
Me imagino que el postfix que escucha en el puerto 10026 debería solo permitir conexiones de localhost, con eso nadie de afuera puede enviar correos haciendo telnet al 10026. Y no está demás complementar con un firewall
Saludos
Saludos,
antares
¿Comunicaciones seguras entre postfix y amavis?
En realidad el "problema" se presenta cuando pretendes, como es mi caso, emplear la misma máquina para dar servicio de correo electrónico y además ofrecer cuentas de sistema a usuarios.
Esto implica que dado que los usuarios pueden conectarse a la máquina, pueden hacer un telnet a localhost a cualquiera de esos puertos por medio del interfaz localhost. Esto implica que, dado que no puedo solicitar usuario/contraseña, pueden suplantar una identidad a la hora de enviar un correo.
eso ya es otro tema, quizá
eso ya es otro tema, quizá si implementaras smtpauth podrías estar seguro de que no usen tu email desde tu mismo servidor.
ahora, desde otro servidor podrían hacerlo, en realidad el protocolo smtp no está preparado para que los mails salgan solamente desde el servidor autorizado.
Te sugiero que para lograr un poquito más de certeza, firmes los documentos con GPG y además implementes SPF. Aquí en la sección de COMOS indicó cómo se implementa SPF.
Insisto, todas las medidas son vanas a la postre, porque si alguien no se ocupa de verificar la firma GPG o no se ocupa de verificar el SPF está igual dejando pasar posibles correos provenientes de otros lugares y haciendose pasar por tí
Saludos
epe
--
EcuaLinux.com
Ecuador: +(593) 9 9246504, +(593) 2 3412402
USA: +1 305 675 1512, España: +34 917617884
Saludos
epe
EcuaLinux.com
+(593) 9 9924 6504
Servicios en Software Libre
muchas gracias
muchas gracias
duplicada por error en el
duplicada por error en el servidor. Favor ignorar
Saludos,
antares
De hecho, si desde el
De hecho, si desde el cliente de correo (léase outlook, thunderbird, evolution, etc...) cambian la dirección del remitente, en la mayoría de los casos el servidor enviará el correo usando el FROM que ponen los usuarios, no necesariamente lo hacen con telnet a localhost. De hecho desde tu red lan pueden hacer telnet al mail server y podrán hacer lo mismo, porque al estar el servidor y el cliente en la misma red, le permitirá hacer relay a los clientes.
La opción del smtpauth me parece muy acertada.
Saludos.
Saludos,
antares