Личный блог Suvan`a.

Работая и играя с Linux... И что из этого иногда получается.

Безопасность

Подписаться на эту рубрику по RSS

Даже если РОРЗ/IМАР-сервер не поддерживает ни один из вариантов безопасных протоколов (SPOP и IMAPS), можно применить Stunnel, который дает возможность создавать TCP-туннели, по которым данные пересылаются в зашифрованном виде.

     Stunnel предназначен для универсального туннелирования ТСР-соединений. Если Stunnel еще не установлен, можно загрузить его с сайта: http://www.stunnel.org (конечно, понадобится SSL-библиотека, к примеру OpenSSL). Co стороны сервера можно употреблять Stunnel, чтобы предоставлять сервисы SPOP и IMPAS пользователям.

Далее...

Краткий обзор Qmail.

Рубрика: Безопасность | Защита сервисов
Метки: | | | |
Дата: 13/10/2009 12:06:59

     Qmail была разработана как альтернатива Sendmail и представляется, наверное, самым защищенным МТА в мире Unix. Чего только стоит тот факт, что любому, кто найдет уязвимость в системе безопасности Qmail, полагается приз в 500$. Наверно такой уровень безопасности поясняется малым размером Qmail, но в основном это заслуга сокращения степени применения SUID (ведь необоснованное применение SUID - это центровая причина большинства уязвимостей Sendmail).

     Если будет решено применять Qmail и, кроме данного, будет нужен РОРЗ-сервер, лучшим выбором будет qmail-pop3d от разработчиков Qmail - он ставится по умолчанию, но не запускается.

     Установка Qmail - это изрядно сложный процесс, поэтому рекомендуется прочитать руководство «Жизнь с Qmail» («Life with Qmail») по адресу http://www.lifewithqmail.org. Конечно, каждый день изучать новый МТА - занятие не очень перспективное, но Qmail данного стоит. Тем более что Qmail существенно облегчает переход с Sendmail, обеспечивая поддержку forward-файлов, базы данных accesss, псевдонимов и даже TLS.

Далее...

     Transport Layer Security.

     Протокол TLS основан на SSL, который предоставляет кодирование и целостность сообщения с помощью применения РКС. Конкретно к Sendmail (поддержка TLS появилась в версии 8.11), TLS предлагает:

  • Аутентификацию: можно быть точно уверенным в том, что удаленный узел именно тот, кем он и должен быть на самом деле.
  • Секретность: защиту от «подслушивания».
  • Целостность: можно не волноваться: данные не могут быть изменены.

     С помощью следующих опций можно конфигурировать сертификаты, используемые TLS, их можно добавить в файл generic-linux.mc:

Далее...

Sendmail имеет несколько опций, которые дают возможность хоть как-то защититься от DoS-атаки. Эти опции должны быть определены в файле sendmail.mc:

    Define(confCONNECTION_RATE_THROTTLE',43')dnl - максимальное число соединений в секунду. Если частота превышена, дополнительные соединения будут поставлены в очередь (не отброшены).

    Define(confMAX_DAEMON_CHILDREN',40')dnl - максимальное число дочерних процессов sendmail. Если это число будет превышено, дополнительные соединения будут поставлены в очередь (не отброшены).

    Define(4configSIN_FREE_BLOCKS',100')dnl - если на диске осталось указанное количество блоков, сервер больше не будет принимать сообщения. По умолчанию - 100.

    Define(confMAX HEADERS LENGTH', 4024')dnl - максимальный размер заголовка входящего сообщения, в байтах.

    Define(confMAX_MESSAGE_SIZE',4194304')dnl - максимальный размер тела входящего сообщения. Значение по умолчанию равно 4 Мб (4 194 302 байта). Не нужно устанавливать слишком маленькое значение, так как оно может быть легко превышено вложениями (attachments).

Далее...

Немного о Sendmail.

Рубрика: Безопасность | Защита сервисов
Метки: |
Дата: 02/10/2009 13:49:55

Sendmail представляется наиболее часто применяемым МТА в Интернете - он установлен на 40% почтовых серверов, он входит в состав всех дистрибутивов Linux и в большинстве случаев ставится по умолчанию. Однако у Sendmail не самая хорошая репутация в плане безопасности. Частично виной тому возраст Sendmail - Sendmail разрабатывался еще в те времена, когда о безопасности никто не задумывался. Не надо считать, что Sendmail «древнее» приложение - оно регулярно обновляется, просто трудно нарастить мясо, когда кости плохие - это я о безопасности, фундамент которой очень слаб.

     К тому же Sendmail достаточно сложно конфигурируется - разобраться в файле конфигурации изрядно сложно, а программы-конфигураторы, упрощающие этот процесс, напрочь забывают о безопасности. Следующая причина - это то, что Sendmail'y можно запускаться от имени root, что делает уязвимости в данной программе очень серьезными - в случае взлома Sendmail крекер получит права root. Запускать Sendmail в chroot-окружении также нет смысла, так как с правами root очень легко из него выбраться.

Далее...

Почтовые сервисы.

Рубрика: Безопасность | Защита сервисов
Метки: | |
Дата: 22/09/2009 11:00:23

Для защиты почтовых сервисов надо понимать, для чего применяется тот или иной субъект системы электронной почты.

     Агент передачи почты (Mail Transfer Agent, MTA) - программа, передающая почту с одной машины на другую. Наиболее известным МТА представляется, конечно, же Sendmail. MTA - это боец невидимого фронта - очень часто пользователь даже и не подозревает о его существовании. Для чтения и отправки e-mail пользователи используют Почтовый Пользовательский Агент (Mail User Agent, MUA). Примеры MUA: Mutt, Pine, Kmail, Evolution.

Далее...

Сервер имен выполняет две роли: разрешает запросы клиентов и выступает в роли авторитетного сервера для какой-то зоны. Представим, что у нас есть средняя компания. Имеется домен www.test.net. Целесообразно разделить функции серверов имен.

     Один сервер имен будет находиться во внутренней сети и разрешать запросы клиентов - это будет сервер для внутреннего употребления. Второй сервер будет авторитетным для зоны - он будет отвечать на запросы интернет-пользователей для этой зоны. Месторасположение данного сервера - нейтральная зона (DMZ).

Далее...