next up previous contents
Next: biff Up: Protokollbeschreibungen und Portlisten für Previous: RTP - Realtime Transport   Contents

SMTP - Simple Mail Transfer Protocol

SMTP ist eines der einfachsten, aber auch am meisten verbreiteten Protokollen. SMTP-Server sind aber aufgrund der Verbreitung auch häufig Angriffsziele. Das von SMTP verwendete TCP-Port 25 ist bei vielen Firewalls offen. Es sollten niemals SMTP-Pakete vom Internet direkt ins lokale Netz gelangen, sondern immer über einen Bastion-Host geführt werden. Für den internen Mailverkehr sollte ein Mailserver im lokalen Netz betrieben werden, damit keine vertraulichen Daten in die gefährdete DMZ gelangen können.

SMTP fungiert selbst schon als Proxy, da ein Mailserver die Mails immer von einem Server zum anderen weiterreicht.

NAT ist möglich, da ein Mailserver aber mit dem eigenen Rechnernamen begrüßt wird, könnte es Probleme geben, falls die IP-Adresse nicht zum Hostnamen passt. Werden die Mails über einen Mailserver des Internetproviders versandt und dieser akzeptiert solche Unstimmigkeiten, ist das OK. Möchte man seine Mails aber direkt an den Ziel-Mailserver senden, so muss sichergestellt werden, dass IP-Adresse und Hostnamen einem Test mittels 'double-reverse DNS-Lookup' bestehen. Sonst werden Mails von manchen Servern nicht angenommen.

Der Mailer am Bastionhost darf nur Mails aus dem Internet annehmen, deren Zieladresse sich im lokalen Netz befindet (andernfalls wird der Server für SPAM-Mail missbraucht!). Mails, die vom internen Netz nach außen gehen, sollen an den Bastionhost geschickt werden, der sie dann erst weiterleitet.

Auf Bastionhosts sollte kein Mailsystem eingesetzt werden, das üblicherweise proprietäre Protokolle verwendet und SMTP lediglich aus Kompatibilitätsgründen unterstützt (z.Bsp. Microsoft Exchange oder Lotus Notes). Die Implementierung von SMTP ist manchmal schlecht und unsicher38, im Internet ist aber nur SMTP von Nutzen.

Richtung Proto- Port
Status
Anmerkung
Client Server koll Quelle Ziel
 
         
 
>   TCP 1024: 25
NEW, ESTABLISHED
Sender an Empfänger
  < TCP 25 1024:
ESTABLISHED
Empfänger an Sender

Eines der ätesten, mächtigsten und am weitesten verbreiteten Mailsysteme ist 'sendmail'. Es hat traurige Berühmtheit durch eine Vielzahl von entdeckten Sicherheitslücken erlangt. Teils durch seine starke Verbreitung, teils aber auch durch den monolithischen Aufbau und seiner Komplexität. Sehr viele der Sicherheitsprobleme sind behoben und es ist (gute Konfiguration vorausgesetzt) vermutlich nicht unsicherer als kommerzielle Produkte. Vor allem im Zusammenhang mit 'sendmail' bietet sich die Verwendung des smap-Paketes an, das als Wrapper für sendmail arbeitet. Es erhöht die Sicherheit dadurch, dass der Prozess smap, der die Mails entgegennimmt, keine root-Rechte besitzt. Erst smapd reicht die Mails an sendmail weiter. Ein Angreifer hat dadurch keinen direkten Kontakt mit dem komplexen SMTP-Server.

Einige Mailserver, wie z.Bsp. Postfix vermeiden schon aufgrund ihrer Architektur viele der Probleme von sendmail und sind einfacher zu konfigurieren.



Subsections
next up previous contents
Next: biff Up: Protokollbeschreibungen und Portlisten für Previous: RTP - Realtime Transport   Contents
Ernst Pisch 2003-05-17