[Postfixbuch-users] reject_verified-sender geht nicht!?

[Gregor Hermens]

Hallo Ralf,

Am Samstag, 9. Februar 2008 schrieb Ralf Hildebrandt:
> * Gregor Hermens <gregor at a-mazing.de>:
> > "Das Kronjuwel der Postfix-Spam-Schutzmaßnahmen schlechthin ist die
> > envelope-sender-Überprüfung (sender address verification)."
> > Seite 147, Kapitel 9.5.5
> >
> > Ergo: Auch weil etwas in einem Buch steht muss es noch nicht richtig sein.
> >
> > Ralf/Patrick: Das solltet ihr für die nächste Auflage bitte
> > überarbeiten...
>
> Was soll jetzt daran falsch sein?

Ihr geht im ganzen Kapitel nicht auf die Probleme ein, die SAV verursachen 
kann:

- In Verbindung mit Greylisting auf der Gegenseite kann es zu massiven 
Verzögerungen kommen, insbesondere wenn man wie von euch empfohlen die 
Defaultwerte benutzt. address_verify_negative_refresh_time steht per Default 
auf 3h und ist damit um ein Vielfaches länger als eine übliche 
Greylisting-Verzögerung. Richtig lustig wird es, wenn beide beteiligten 
Server sowohl Greylisting als auch SAV einsetzen...

- SAV ermöglicht es einem Angreifer, von meinem Server aus Testmails an 
beliebige Empfänger auszulösen und damit meinen Server für eine (d)DoS zu 
missbrauchen.

- Bei Spam ist der envelope sender übelicherweise gefälscht, wodurch mein 
Server dann zahlreiche Mails an ungültige Adressen loslässt und dadurch auf 
Blacklisten landen kann.

...

Ein "Kronjuwel" ist dem Wortsinn nach eine Edelstein, der so rein und wertvoll 
ist, daß er der Verwendung in einer Krone würdig ist. SAV ist hingegen doch 
eine eher dreckige Angelegenheit.

Gruß,
Gregor
-- 
     @mazing           fon +49 8142 6528665
  Gregor Hermens       fax +49 8142 6528669
Brucker Strasse 12  gregor.hermens at a-mazing.de
D-82216 Gernlinden    http://www.a-mazing.de/