Frage zu einem Eintrag in /var/log/mail

[s4fuser]

Hallo,
logdigest lieferte mir folgenden Eintrag, der mich zwar etwas beunruhigt, aber mit dem ich leider nichts anfangen kann:

Code: Select all

Messages matching keywords in the "alarming" list:
=-=-=-=-=-=-=-=-=-=-=-=-=-=-=-=-=-=-=-=-=-=-=-=-=-
(1 lines)
Oct 20 19:59:21 servername sendmail[4131]: STARTTLS=client, relay=mail.fremdedomain.tld., version=TLSv1/SSLv3, verify=FAIL, cipher=EDH-RSA-DES-CBC3-SHA, bits=168/168

Es ist der einzige Eintrag im /var/log/mail (SuSE 8.2, sendmail), den logdigest in den letzten Tagen als "alarming" gekennzeichnet hat.

Kann mir jemand von Euch erläutern, was derjenige da versucht hat?

[captaincrunch]

Der gegenerische Server konnte keine vernpnftige SSL-Vebindung zu deinem aufbauen, da es anscheinend ein Problem mit dem Zertifikat gab. Was genau das war, lässt sich anhand der Meldung nicht sagen.

[s4fuser]

SSL-POP3 gibt es auf meinem Server nicht.
Und Kunden oder andere Leute ausser mir, die von dem Server Mails versenden dürfen, gibt es auch nicht.
Wollte da jemand mein sendmail als relay verwenden? Oder testen, ob es ein offenes Relay ist?

Ich frage deswegen so genau, weil mir die fremdedomain.tld nicht unbekannt ist und ich ihrem Besitzer auch nicht...

[captaincrunch]

SSL-POP3 gibt es auf meinem Server nicht.

Es geht dabei auch nicht um POP3, sondern SMTP. ;)

[s4fuser]

Gut, aber auch dafür gibt es keine SSL-Verschlüsselung bei mir.

[captaincrunch]

Anscheinend schon.

[s4fuser]

Hmm, jetzt verunsicherst Du mich etwas.
Ich bin mir 99%ig sicher, dass es das nicht gibt. Alles andere würde mich sehr wundern. Dann wäre ich blinder als ich unwissend bin...

[captaincrunch]

Dem Log zufolge wollte der Client jedenfalls eine TLS-Verbindung zu deinem sendmail aufnehmen, was fehlgeschlagen ist, da das Zertifikat (wie gesagt : aus welchem Grund auch immer) nicht gepasst hat.

So sieht's jedenfalls aus.

[flo]

Wenn Du Sendmail-TLS drauf hast, z.B. für SMTP-Auth, dann macht der auch TLS, also Verschlüsselung ...

Grüße,

flo.

[s4fuser]

Aha. Jetzt geht mir ein Licht auf.
SMTP-Auth ist drauf.

Aber was genau versuchte derjenige da? Hat er versucht, mein sendmail als relay zu verwenden? Bzw. nur einen Test gemacht, ob mein Server das erlaubt?

Ich meine, so ein Zugriff passiert doch nicht zufällig. Und erst recht nicht zufällig von einer Domain, die mir bekannt ist (und ich ihrem Inhaber auch).

[Joe User]

da ich Sandfüll nicht kenne, tippe ich mal darauf, dass Dir Dein Bekannter eine eMail mit einem TLS uterstützendem MUA schicken wollte, da Dein Sandfüll TLS angeboten hat und am fehlendem Zertifikat scheiterte...

[captaincrunch]

Aber was genau versuchte derjenige da? Hat er versucht, mein sendmail als relay zu verwenden? Bzw. nur einen Test gemacht, ob mein Server das erlaubt?

Sofern auch derjenige einen SSL-fähigen MTA nutzt, ist es um einiges wahrscheinlicher, dass er dir einfach eine Mail zukommen lassen wollte, und sein MTA daraufhin eine Verbindung zu deinem aufgenommen und gesehen hat, dass dieser TLS unterstützt. Daraufhin wollte der MTA eine verschlüsselte Verbindung aufbauen (STARTTLS), was aber aufgrund des Zertifikats fehlgeschlagen ist.

Die Frage, die sich dabei stellt ist nur, warum das Zertifikat nicht gepasst hat.

[s4fuser]

Danke an Euch für die Aufklärung. Jetzt ist mir einiges klarer.

Die Frage, die sich dabei stellt ist nur, warum das Zertifikat nicht gepasst hat.

Die Frage stellt sich mir auch. Aber leider kann ich das im Moment mangels Kenntnis nicht weiter nachprüfen.
Bei der Einrichtung und Absicherung des Servers habe ich Hilfe in Anspruch genommen. Mit den meisten Sachen komme ich mittlerweile alleine klar. Aber da fehlt es mir einfach an der Kenntnis.
Ich werde einfach mal googlen und schauen, ob ich was dazulernen kann.

[dodolin]

Ich werde einfach mal googlen und schauen, ob ich was dazulernen kann.

Das wäre sehr sinnig, denn es ist äußerst beschissen, wenn ein Server als EHLO-Response STARTTLS ankündigt, dann aber mangels Zertifikat dieses nicht machen kann. Das qualifiziert für ein LART.

[s4fuser]

Danke für den Hinweis.

Das qualifiziert für ein LART.

Wirklich ein komischer Zufall, dass kurz vor diesem Posting mein MTA von mehreren Open-Relay-Test-Diensten geprüft wurde, obwohl ich hier weder meine IP noch eine meiner Domains veröffentlicht habe (ausser meiner Mailadresse bei der Registrierung). Und komischerweise war das der erste solche Test, der nicht von mir selbst beantragt wurde, seit ich den Server habe.
Zufälle gibt es. :lol:

[dodolin]

Wirklich ein komischer Zufall, dass kurz vor diesem Posting mein MTA von mehreren Open-Relay-Test-Diensten geprüft wurde

Falls du hiermit etwas unterstellen möchtest, dann bist du paranoid. Außerdem mache ich mir nicht die Mühe, irgendwelche Nachforschungen anzustellen - bin ich viel zu faul für.

[s4fuser]

Mag sein, dass ich paranoid bin. 8)
Aber das wäre ja halb so schlimm. Schliesslich habe ich ja schon einen Psychoanalytiker gefunden. 8O

Aber ich wollte natürlich nichts damit unterstellen. Ich fand nur den Zufall lustig.

Aber jetzt mal im Ernst. Da scheint wohl bei der Konfiguration was in die Hose gegangen zu sein. Da ich das nicht selbst gemacht habe, werde ich erstmal denjenigen fragen, der das für mich gemacht hat. Im Zweifelsfall werde ich mich wohl selbst da durchwühlen müssen.