E-Mail-Server in Gefahr (?)

[ffl]

Hi, lest den mal:

http://www.netzeitung.de/internet/281321.html

Jetzt die Frage: wie krieg ich raus ob das bei mir der Fall ist und was kann man dagegen tun?


Gruß
ff

[cybermage]

die sprechen immer von "ungesicherten mailservern" mit denen man die anonym tun könne ... meinen die open relay mailserver?

[evoluzzer]

hört sich eher nach einer Dos-Attacke an.....

[dodolin]

Also warum die das gerade _jetzt_ schreiben, weiß ich auch nicht, das Problem ist schon so alt, wie SMTP selbst und wurde schon hinreichend diskutiert.

Gegen eine solche DoS Attacke kann man sich nur sehr begrenzt schützen, aber man kann sehr wohl verhindern, dass der eigene Server dazu benutzt wird, eine solche Attacke gegen Dritte Server zu fahren. Und zwar ganz einfach dadurch, dass man schon während des SMTP-Dialogs den Empfänger (RCPT TO) prüft und nur solche Empfänger annimmt, die zu lokalen Domains gehören und auch existieren.

Leider tut das z.B. QMail per Default nicht und lässt sich nur mittels Patch zu einem "sicheren" Verhalten überreden.

[arnee]

Ich habe das ganze eben noch mal mit einem Postfix-System getestet. Sobald das RCPT TO:<foo@bar.tld> eingegeben wird und bar.tld keine dem Mailserver bekannte Domain ist, wird der Versuch entsprechend mit Relay Access Denied verwehrt.
Damit ist Postfix dafür nicht anfällig?

[rouven]

Leider tut das z.B. QMail per Default nicht und lässt sich nur mittels Patch zu einem "sicheren" Verhalten überreden.

welchen patch meinst du

[lim_dul]

Also warum die das gerade _jetzt_ schreiben, weiß ich auch nicht, das Problem ist schon so alt, wie SMTP selbst und wurde schon hinreichend diskutiert.

Gegen eine solche DoS Attacke kann man sich nur sehr begrenzt schützen, aber man kann sehr wohl verhindern, dass der eigene Server dazu benutzt wird, eine solche Attacke gegen Dritte Server zu fahren. Und zwar ganz einfach dadurch, dass man schon während des SMTP-Dialogs den Empfänger (RCPT TO) prüft und nur solche Empfänger annimmt, die zu lokalen Domains gehören und auch existieren.

Wobei das natürlich den Nachteil hat, dass man so mittels eines scripts überprüfen kann welche E-Mail Adressen existieren. Ideal für Spammer um Adressen zu verifizieren.

Wäre es nicht auch sinnvoll, anstelle der Mail Delivery failed die komplette orginal Nachricht dranzuhängen nur sagen wir maximal 1 kb der orginalen Nachricht dranzuhängen?

[dodolin]

welchen patch meinst du

k.a., wie der heißt, bin kein QMail Experte.
Halt einer, der macht, dass QMail nicht lokale oder nicht existierende RCPT TO gleich abweist, anstatt alles ungeprüft anzunehmen und dann Bounces zu verschicken.

Wobei das natürlich den Nachteil hat, dass man so mittels eines scripts überprüfen kann welche E-Mail Adressen existieren. Ideal für Spammer um Adressen zu verifizieren.

Dieses Thema wurde schon öfter hier diskutiert. Siehe z.B. hier:
http://www.rootforum.org/forum/viewtopic.php?t=23527 die letzten paar Beiträge.

Wäre es nicht auch sinnvoll, anstelle der Mail Delivery failed die komplette orginal Nachricht dranzuhängen nur sagen wir maximal 1 kb der orginalen Nachricht dranzuhängen?

Nein, denn damit trägst du nicht zur Lösung des Problems "Spam" bei, sondern bist selbst Teil des Problems. Siehe hierzu auch:
http://www.f-prot.com/news/gen_news/ope ... t2003.html
http://www.f-prot.com/news/gen_news/ope ... n2004.html

Obs da jetzt um Antivirus geht oder nicht, ist egal. Das Thema ist das selbe: Man sollte (unnötige) Bounces auf ein _Minimum_ reduzieren.

[lim_dul]

Gut, jetzt sehe ich was klarer :)

Mit dem Mail Delivery Failed bin ich aber noch nicht ganz zufrieden mit der Antwort :P

Ich wäre dennoch dafür, nicht die komplette Mail bei einem Mail Delivery failed zu verschicken.
Gibt ja auch noch andere Gründe, warum eine Mail nicht zugestellt werden kann. (Postfach voll etc.) ;)

[dodolin]

Ich wäre dennoch dafür, nicht die komplette Mail bei einem Mail Delivery failed zu verschicken.

Du magst dich vielleicht jetzt wundern, aber "anständige" MTAs tun das bereits heute. Zumindest Exim tut das bzw. kann so eingestellt werden. Ich weiß jetzt nicht, wie der Default hier aussieht...

Was aber bei einem Bounce _nie_ (!) fehlen sollte, ist der komplette Header der Originalmail (um das zurückverfolgen zu können). Leider fehlt der meisten kaputten AV-Software sogar schon das!

[lim_dul]

Wundern ist relativ, das das manche machen bereits machen ist mir bewusst ;)
Ich war einmal schon ganz froh, dass sie das machen, da ich sonst eine endlos Mailschleife produziert hätte. :D (Weiterleitungen und Bodychecks können manchmal böse sein)

[flotte]

sieh auch hier

http://www.heise.de/security/artikel/46496