[Postfixbuch-users] verschlüsselung für die Verbindung mir relayserver

[Patrick Ben Koetter]

* David Nawrot <nawrot at flyfishing.homelinux.com>:
> > Postfix smtp client kann TLS. Dazu mußt Du das CA cert von Arcor ("Thawte"
> > laut mail.arcor.de) in den CA root store für Postfix packen, damit OpenSSL für
> > Postfix das server cert Deines Relayservers verifizieren kann.
> 
> > Wenn du das im Griff hast, kannst Du in einer map eine Policy definieren:
> 
> > $ /etc/postfix/tls_per_site
> > dom.ain NONE
> > host.dom.ain MAY
> > important.host MUST
> > some.host.dom.ain MUST_NOPEERMATCH
> 
> > Die Map bindest Du dann z.B. wie folgt ein:
> 
> > smtp_tls_per_site = hash:/etc/postfix/tls_per_site
> 
> > p at rick
> 
> Danke erstmal für die schnelle Antwort auch wenn ich nur bedingt folgen
> kann. Ich werde mich mal zu dem thema belesen und dann (vermutlich) ernetut
> fragen. Mir scheint es doch irgendwie zu aufwendig. Kann man auch nur das
> passwort verschlüsseln?

Also...
generell gibt es drei Arten der Verschlüsselung bei E-Mail und die kommen
jeweils zu drei verschiedenen Momenten zum Zuge und sie unterscheiden sich vor
allem darin, was sie verschlüsseln:

GPG/PGP/S-MIME
Damit verschlüsselst Du die E-Mail. Sie kann nur von Dir und vom Empfänger
gelesen werden. Sie wird verschlüsselt übertragen und verschlüsselt im
Filesystem abgelegt. Die SMTP Kommunikation findet im Klartext statt wenn also
während der SMTP Kommunikation ein Kennwort übertragen wird, wird es im
Klartext gesendet.

TLS (Transport Layer Security)
Damit verschlüsseln der Mailclient und der Mailserver die Transportschicht.
Die SMTP Kommunikation beginnt unverschlüsselt und sobald sich Client und
Server auf Verschlüsselung geeinigt haben, beginnt die SMTP Kommunikation noch
einmal von vorne und die SMTP Kommunikation findet verschlüsselt statt.
Die E-Mail selbst wird im Klartext übertragen, ist aber während des
Transports zwischen den beiden Rechnern durch die verschlüsselte
Transportschicht vor Fremden geschützt. Ist sie auf dem Server angekommen,
erlischt der Schutz, sobald sie im Dateisystem abgelegt wird.

SMTP AUTH
SMTP AUTH kann verschiedenste Methoden zur Authentifizierung benützen. Die
sog. plaintext-Mechanismen übertragen Benutzername und Kennwort codiert, aber
nicht verschlüsselt. Alle anderen Mechanismen benützen eine andere Strategie
zur Authentifizierung. Streng genommen setzen sie dazu keine Verschlüsselung
ein. Shared-Secret Mechanismen übertragen z.B. gar nicht das Kennwort, sondern
berechnen auf Basis des ihnen bekannten Kennworts einen neuen Wert (challenge)
und wenn der andere Rechner nachweisen kann (response) das er dieses
Geheimnis (challenge) lösen konnte sind sich beide sicher, daß sie über
dieselben Authentifizierungsdaten verfügen. Es gibt noch andere Mechanismen,
da mußt Du dann einfach googlen. ;)
Diese Mechanismen schützen die Authentifizierungsdaten bei SMTP AUTH, aber
nicht die E-Mail selbst.


Alle drei Arten der Verschlüsselung kannst Du kombiniert einsetzen und je nach
Kombination kannst Du damit verschiedene Level von Sicherheit erreichen.

Für Dein Vorhaben solltest Du entweder TLS (das hatte ich in meiner ersten
Mail erwähnt) oder SMTP AUTH mit shared-secret Mechanismen einsetzen.

Bei SMTP AUTH mußt Du dazu SMTP AUTH für den Postfix smtp client aktivieren,
relayserver, Benutzername und Kennwort in eine smtp_sasl_password_map(s)
eintragen und dann dafür sorgen, das dein Postfix keine plaintext-Mechanismen
zur SMTP Authentifizierung benützt. Wenn du das explizit einstellen willst,
mußt Du dazu im Moment (ab 2.2 ist das fest in Postfix mit dabei) ein
aktuelles Postfix Snapshot einsetzen. Dann kannst Du einen
smtp_sasl_mechanism_filter einsetzen der Postfix anweist, die plaintext
Mechanismen PLAIN und LOGIN wegzufiltern und nur andere Mechanismen zu nutzen.


> oder ist die Frage jetzt naja semiporfessionell ?

Das ist doch eine Mailingliste hier und kein Wettbewerb für "sich keine Blöße
geben" ;)


> Nicht böse gemeint. Ich bin wirklich noch am lernen und wunderte mich,
> warum so viel über verschlüsselung bei den Clients zu meinem Server geredet wird,
> jedoch einen "fremden" Relayserver anzusprechen so ungeschützt
> passiert. Das ist doch auch ein möglicher Spamzugang, für den ich
> geradestehen muß.

Es ist verhältnismäßig aufwendig für einen Spammer, [die|deine] SMTP
Kommunikation mitzulesen. Da kann er sicherlich mit weniger Aufwand und somit
kostengünstiger Spammen. Vom Ansatz her, hast Du allerdings recht und ich
empfehle Dir aus Prinzip die gebotene Gewissenhaftigkeit walten zu lassen. Wie
der Spruch schon sagt: Sicherheit ist kein Gerät, sondern ein Konzept. ;)

p at rick

-- 
SMTP AUTH
Howto: <http://postfix.state-of-mind.de/patrick.koetter/smtpauth/>
Debug: <http://postfix.state-of-mind.de/patrick.koetter/saslfinger/>