Мы — долго запрягаем, быстро ездим, и сильно тормозим.

RFC
Программирование
FreeBSD
man
EXIM
  4.62
  часть 1
  часть 2
  часть 3
  часть 4
  часть 5
  часть 6
  часть 7
  часть 8
  часть 9
  часть 10
  часть 11
  часть 12
  часть 13
  часть 14
  часть 15
  часть 16
  часть 17
  часть 18
  часть 19
  часть 20
  часть 21
  часть 22
  часть 23
  часть 24
  часть 25
  часть 26
  часть 27
  часть 28
  часть 29
  часть 30
  часть 31
  часть 32
  часть 33
  часть 34
  часть 35
  часть 36
  часть 37
  часть 38
  часть 39
  часть 40
  часть 41
  часть 42
  часть 43
  часть 44
  часть 45
  часть 46
  часть 47
  часть 48
  часть 49
  часть 50
  часть 51
  часть 52
  часть 53
  filter facility
  4.70


www.lissyara.su —> документация —> EXIM —> 4.62 —> часть 51

51. Обсуждение безопасности


    Эта глава обсуждает множество проблем связанных с безопасностью, некоторые из которых также охвачены в других частях этого руководства.
   По причинам, которые автор не понимает, некоторые люди продвигают exim как
особенно безопасный почтовый сервер. Возможно - из-за существования этой главы документации. Однако, цель главы - просто описать способы работы exim`a относительно проблем безопасности, а не сделать утверждения относительно эффективности его безопасности в сравнении с другими MTA.
   То, что следует далее - описание того, каким exim должен быть. Наибольшие усилия были направлены на попытку гарантировать, что код соответствует теории, но отсутствие ошибок гарантировать нельзя. Любая о которой сообщено, будет исправлена как только возможно.

51.1 Сборка более защищённого exim`a

   Есть несколько компиляционных опций, которые могут быть установлены в Local/Makefile, для создания более защищённого от атак exim`a, в частности от жуликоватых администраторов exim`a, которые не владеют паролем root`a, или кого-то, кто проник через аккакунт exim`a (но не root`a). Эти опции таковы:

  • ALT_CONFIG_PREFIX - может быть установлена в строку, которая должна совпадать с началом любых имён файлов используемых с опцией -C. Когда она установлена, этим именам файлов, также, не разрешается содержать последовательность /../. (Однако, если значение опции -C идентично со значением CONFIGURE_FILE в Local/Makefile, exim игнорирует -C и работает как обычно.) Для ALT_CONFIG_PREFIX нет значения по умолчанию.
       Если разрешённые конфигурационные файлы ограничены директорией к которой имеет доступ только root, это предохраняет тех, кто взломал аккаунт exim`a от работы с произвольным конфигурационным файлом, и использования его для взлома других аккаунтов.
  • ALT_CONFIG_ROOT_ONLY - если она задана, привилегии root`a сохраняются для опций -C и -D лишь если вызывающий exim - root. Без этого, пользователь exim`a также может использовать -C и -D и сохранять привилегии. Установка этой опции блокирует возможность тестирования конфигурации используя -C напрямую через приём и доставку сообщения, если вызывающий - root. Приём работает, но к этому времени exim работает как пользователь exim`a, таким образом, когда он перезапускается для восстанавления привилегий для доставки, использование -C вызывает потерю привилегий. Однако, root может тестировать приём и доставку используя две раздельные команды. По умолчанию, ALT_CONFIG_ROOT_ONLY не установлена.
  • DISABLE_D_OPTION - если задана, отключено использование -D в командной строке.
  • FIXED_NEVER_USERS - может быть установлена в список пользователей, разделённый двоеточиями, которые никогда не могут использоваться для доставки. Это похоже на рабочую опцию never_users, но не может быть перезадана; рабочая опция добавляет дополнительных пользователей в этот список. Дефолтовая установка - root; это предотвращает не-root`овых пользователей, кому разрешено изменять файл рабочей конфигурации, от использования exim как способ получить root`овые привилегии.

    51.2 root`овые привилегии

       На бинарник exim`a, обычно, установлен бит setuid на root`a, что означает, что в начале выполнения он получает root`овые привилегии (работает от root). В некоторых специальных случаях (например, когда не используется даемон, и нет локальных доставок), возможно запускать exim с setuid на иного пользователя, чем root. Это обсуждается в следующей секции. Однако, в большинстве инсталляций, root`овые привилегии требуются по двум причинам:

  • Для установления соединения сокета на стандартный порт SMTP (25) при инициализации слушающего даемона. Если exim запускается из inetd, это привелигированное действие не требуется.
  • Чтобы быть в состоянии изменить uid и gid для чтения пользовательских файлов .forward, и выполнения локальных доставок от получающего пользователя или как задано в конфигурации.
       Не требуется root`овых привилегий для ещё чего-то, что делает exim, типа получения сообщений и доставки их наружу через SMTP, и очевидно, более безопасно, если exim не работает от root`a кроме случаев, когда это необходимо. Поэтому, пользователь и группа exim`a должны быть заданы в
    Local/Makefile. Они известны как the Exim user и the Exim group. Их значения могут быть изменны в рабочей конфигурации, хотя это не рекомендуется. Часто используется пользователь с именем exim, но некоторые сервера используют вместо него mail или другой имя пользователя.
       Exim использует
    setuid() каждый раз, когда он сбрасывает привилегии root`a. Это - постоянное сложение полномочий; впоследствии, процесс не может восстановить привлегии. До релиза 4.00, setuid() использовалась в некоторых обстоятельствах, но больше такого не имеет места.
       После того, как новый процесс exim`a интерпретировал опции своей командной строки, он изменяет uid и gid в следующих случаях:
  • Если используется опция -C для задания альтернативного конфигурационного файла, или bcgjkmpetncz опция -D для определения макрозначения для конфигурации, и вызывающий процесс не запущен как root или пользователь exim`a, uid и gid изменяются на заданные вызывающим процессом. Однако, если в Local/Makefile задана ALT_CONFIG_ROOT_ONLY, лишь вызывающий root может использовать -C и -D без потери привилегий, и если задана DISABLE_D_OPTION, опция -D не может использоваться вообще.
  • Если используется опция тестирования раскрытия (-be), или одна из опций тестирования фильтра (-bf или -bF), uid и gid изменяются на таковые из вызывающего процесса.
  • Если процесс - не процесс даемона, и не процесс обработчика очереди, или процесс доставки, или процесс тестирования роутинга адреса (запущенный с -bt), uid и gid изменяются на пользователя и группу exim`a. Это означает, что при получении сообщений exim всегда работает под своим собственным uid и gid. Это также применяется когда тестируется проверка адреса (опция -bv), и тестируется политика входящих сообщений (опция -bh).
  • Для даемона, обработчика очереди, доставки, или процесса тестирования адресов, на данном этапе uid остаётся root, но gid изменяется на группу exim`a.

       Процессы, которые изначально сохраняют root`овые привилегии, ведут себя следующим образом:
  • Процесс даемона изменяет gid на группу exim`a и uid на пользователя exim`a после установки одного или нескольких слушающих сокетов. Вызывается функция initgroups(), таким образом, чтобы если пользователь exim`a находится в каких-то дополнительных группах, они использовались в процессе доставки.
  • Процесс обработчика очереди сохраняет привилегии root`a в процессе выполнения. Его работа - запустить контролируемую последовательность процессов доставки.
  • Процесс доставки сохраняет привилегии root`a в большинстве своих выполнений, но любые актуальные доставки (т.е. - непосредственно транспорты) запускаются в субпроцессах, которые всегда изменяются на не-root`овые uid и gid. Для локальных доставок, это, обычно, uid и gid владельца почтового ящика; для удалённых доставок, используются uid и gid пользователя exim`a. Как только все субпроцессы доставки запущены, процесс доставки изменяется на uid и gid exim`a, пока производятся последоставочные работы, типа обновления БД повторов, и генерации рикошетов и предупреждающих сообщений.
       Когда роутятся адреса получателей сообщения, процес доставки работает от root`a. Однако, если обрабатывается пользовательский файл фильтра, он завершается в субпроцессе который работает под индивидуальным пользовательским gid и uid. Системный фильтр запускается от root`a, если не задана
    system_filter_user.
  • Проверяющий адреса процесс (опция -bt), запускатеся от root`a, таким образом роутинг делается в том же окуржении, что и доставка сообщения.

    51.3 Работа exim без привилегий

       Некоторые инсталляции любят запускать exim под непривилигированным пользователем, для дополнительной безопасности. Поддержка для этого режима предоставляется путём глобальной опции deliver_drop_privilege. Когда она установлена, uid и gid изменяются на пользователя и группу exim`a в начале процесса доставки (и, также, обработчик очереди и процесс тетстирования адресов). Это означает, что роутинг адресов не работает от root`a, и сами доставки не могут измениться на иной uid.
       Оставление на бинарнике setuid на root`a, но установка
    deliver_drop_privilege означает, что даемон всё ещё может запуститься обычным способом, и он может корректно ответить на SIGHUP, поскольку перевызов восстанавливает привилегии root`a.
       Альтернативный подход состоит в том, чтобы сделать exim setuid на пользователя exim`a, и, также, сделать его setgid на группу exim`a. Если вы сделаете это, даемон должен запускаться с root`овыми правами. (Вызов exim`a из процесса root`a заставляет его вести себя так, как он себя ведёт когда setuid на root.) Однако, даемон не может перезапуститься после сигнала SIGHUP, поскольку он не может восстановить привилегии.
       В этом случае, всё ещё полезно установить
    deliver_drop_privilege, поскольку это помещает exim`y повторно перевызвать самого себя, для проведения доставки после получения сообщения. Такой перевызов - растрата ресурсов, поскольку он не имеет эффекта.
       Если перезапуск даемона - не проблема (например, если установлен
    mua_wrapper, или вместо даемона используется inetd), обладание бинарником setuid на пользователя exim кажется совершенным подходом, но есть одно осложнение:
       В этом стиле действия, exim работает с реальным uid и gid, установленным к тем же что и увызывающего процесса, и эффективный uid/gid установлен в значения exim`a. Идеально, любая ассоцииация с uid/gid вызывающего процесса должан быть отброшена, т.е. реальный uid/gid должен быть сброшен в эффективные значения, чтобы отказаться от любых привилегий, которые мог иметь вызывавший. Некоторые операционные системы обладают функцией, которая разрешает это действие для не-root`ового эффективного uid, но многие её не имеют. Из-аз этой недостаточной стандартизации, exim не обращается к этой проблеме в настоящее время.
       Поэтому, рекомендованный подход для
    совсем непривелигированного запуска состоит в том, чтобы оставить бинарник exim`a setuid на root, и установить deliver_drop_privilege. Это, также, имеет преимущество - разрешение работы даемона прямым способом.
       Если вы конфигурируете exim не начинать процесс доставки от root`a, есть множество ограничений на то, что вы можете сделать:

  • Вы можете доставлять лишь как пользователь/группа exim`a. Вы должны явно использовать опции user и group для перезадания роутеров и локальных транспортов которые обычно доставляют под получателем. Этим удостоверяется, что конфигурация работающая в этом режиме работает точно таким же способом как ив обычном режиме. Любое явное или неявное задание другого пользователя вызывает ошибку.
  • Использование файлов .forward строго ограничено, так что, обычно, не стоит их включать в конфигурацию.
  • Пользователи использующие .forward должны сделать чтобы их домашний каталог был доступен пользователю exim`a. Трубы и добавления в файл, и их эквививаленты в фильрах exim`a, не могут использоваться. Можно было бы включить их под пользователем exim`a, что небезопасно и не очень полезно.
  • Если не все локальные почтовые ящики принадлежат пользователю exim`a (возможно в некоторых окружениях использующих только POP3 или IMAP):
    1. Они должны принадлежать группе exim`a и у этой группы должно быть право записи в них. Это подразумевает, что вы должны установить
    mode в конфигурации appendfile, так же как режим для самих почтовых ящиков.
    2. Вы должны установить
    no_check_owner, поскольку большинство или все файлы не будут принадлежать пользователю exim`a.
    3. Вы должны установить
    file_must_exist, поскольку exim не может корректно установить владельца новых создаваемых почтовых ящиков, когда у него нет привилегий. Также это подразумевает, что новые почтовые ящики необходим создавать вручную.
       Эти ограничения строго ограничивают то, что может быть сделано в локальных доставках Однако, они не оказывают влияния на удалённые доставки. Если вы запускаете шлюз, не делающий локальных доставок, установка
    deliver_drop_privilege не добавляет безопасности.
       Если вы используете средство
    mua_wrapper (смотрите раздел 47), опция  deliver_drop_privilege обязательно должна быть истинной.

    51.4 Доставка в локальные файлы

       Полная детализация проверок применяемых путём appendfile до записи в файл даны в главе 26.

    51.5 Источник роутинга IPv4

       Много операционных систем подавляют пакеты IP маршрутизации источника в ядре, но некоторые не делают этого, таким образом, exim производит свою собственную проверку. Он логгирует входящие вызовы TCP маршрутизации источника IPv4, и, затем, обрывает их. Это отличается от IPv6. В настоящее время, никакой специальной проверки не делается.

    51.6 Команды VRFY, EXPN, и ETRN в SMTP

       Поддержка этих SMTP команд по умолчанию отключена. Если требуется, они могут быть включены путём задания подходящих ACL.

    51.7 Привелигированные пользователи

       Exim распознаёт два набора пользователей со специальными привилегиями. Доверенные пользователи имеют возможность локально посылать новые сообщения exim`y, подставляя их собственные адреса отправителя и информацию о хосте отсылки. Для других пользователей посылающих локальные сообщения, exim устанавливает адрес отправителя из uid, и не позволяет задавать удалённый хост.
       Однако, недоверенным пользователям разрешено использовать опцию командной строки
    -f, в специальной форме -f <>, для индикации, что неудача доставки не должна вызвать отчёт о ошибке. Это затрагивает конверт сообщения, но не затрагивает заголовок Sender:. Недоверенным пользователям также может быть разрешено использовать специфическую форму адресов с опцией -f, путём установки опции untrusted_set_sender.
       Доверенные пользователи используются для запуска процессов которые получают почтовые сообщения с одних почтовых доменов и передают их exim`y для их локальной доставки, или через интернет. Exim доверяет вызывающему работающему от root`a, от пользователя exim`a, или под любым пользователем перечисленным в конфигурационной опции
    trusted_users, или под любой группой перечисленной в опции trusted_groups.
       Административным пользователям разрешено производить действия над сообщениями в очереди exim`a. Они могут замораживать или оттаивать сообщения, вызывать их возвращение к их отправителю, полностью удалять их, или модифицировать их различными способами. Дополнительно, административные пользователи могут запускать монитор exim`a и видеть всю информацию которую он может предоставить, включая содержимое файлов спула.
       По умолчанию, использование опций
    -M и -q, вызывающих exim для попытки доставить сообщения в его очереди, ограничено административными пользователями. Это ограничение может быть ослаблено путём установки опции no_prod_requires_admin. Точно также, использование -bp (и её вариантов) для получения списка содержимого очереди, также ограничено административными пользователями. Это ограничение может быть ослаблено путём установки опции no_queue_list_requires_admin.
       Exim распознаёт административного пользователя если вызывающий процесс запущен как root или как пользователь exim`a, или любая группа ассоциированная с процессом  - группа exim`a. Нет необходимости фактически работать от группы exim`a. Однако, если административные пользователи не являющиеся root`ом или пользователем exim`a должны получить доступ к содержимому файлов spool`a через монитр exim`a (который работает непривелигированным), exim должен быть собран с разрешением группе доступа на чтение к его файлам спула.

    51.8 Файлы спула

       Директория спула exim`a, и всё что она содержит, принадлежит пользователю exim`a и его группе. Режим файлов спула задаётся в конфигурационном файле Local/Makefile, и по умолчанию - 0640. Это означает, что любой, кто является пользователем группы exim`a может получить доступ к этим файлам.

    51.9 Использование argv[0]

       Exim проверяет последний компонент argv[0], и если он совпадает с одной из установленных специфических строк, exim предполагает определённые опции. Например, вызов exim с последним компоненом argv[0] установленным в rsmtp - точный эквивалент его вызова с опцией -bS. Никаких значенией безопасности в этом нет.

    51.10 Использование форматирования %f

       Единственное использование сделанное exim`ом с использованием %f - форматирование значений средней загрузки. Фактически они сохранены в цифровых переменных как 1000 времён средней загрузки. Следовательно, их диапазон ограничен, и поэтому - это длина конвертированного вывода.

    51.11 Встроенные пути exim`a

       Exim использует своё собственное имя пути, которое встроенно в код, лишь когда ему необходимо перезапуститься для восстановления root`овых привилегий. Поэтому, он не работает от root`a, когда это делает. Если бы какая-то ошибка позволила перезадать путь, это привело бы к запуску произвольной программы от root`a, а не exim`a.

    51.12 Использование sprintf()

       Большое количество sprintf в коде - фактические вызовы string_sprintf(), функции которая возвращает результат сохранения malloc. Промежуточное форматирование сделано в большой фиксированный буфер, путём функции которая запускается через непосредственное форматирование строки, и проверки длинны каждого преобразования до его выполнения, что предотвращает переполнение буфера.
       Оставшиеся использования
    sprintf() происходят при контролируемых обстоятельствах, где выходной буфер заведобо достаточной длинны, чтобы содержать конвертированную строку.

    51.13 Использование debug_printf() и log_write()

       Обоим этим функциям передаются произвольные строки, но они производят их форматирование путём вызова функции string_vformat(), которая непосредственно обрабатывает форматируемую строку, и проверяет длину каждого преобразования.

    51.14 Использование debug_printf() и log_write()

    Они используются лишь когда известно, что выходной буфер достаточно большой для хранения результата.


    =============
    translated by lissyara



    Ссылка на обсуждение: http://forum.lissyara.su/viewforum.php?f=20.



  • Хостинг HOST-FOOD

    2014-07-27, lissyara
    gmirror

    Удалённое создание софтверного зеркала средствами gmirror, на диске разбитом с использованием gpart. Использование меток дисков для монтирования разделов.
    2013-08-20, zentarim
    Scan+Print server FreeBSD 9

    Настройка сервера печати и сервера сканирования под управлением операционной системы FreebSD 9 для МФУ Canon PIXMA MP540
    2011-11-20, BlackCat
    Разъём на WiFi-карту

    Делаем съёмной несъёмную антену на WiFi-карте путём установки ВЧ-разъёма
    2011-09-14, manefesto
    Настройка git+gitosis

    Настройка системы контроля версия исходного кода в связке git+gitosis+ssh
    2011-08-14, zentarim
    Wi-FI роутер + DHCP + DNS

    Настройка Wi-Fi роутера на Freebsd 8 + DNS сервер + DHCP сервер: чтобы Wi-Fi клиенты были в одной подсети с проводными, проводные и беспроводные клиенты получали адреса автоматически по DHCP, кэширующ
    2011-06-15, -ZG-
    Охранная система на FreeBSD+LPT

    В этой статье описана попытка реализации простой охранной системы на базе FreeBSD с подключением к ней охранных устройтсв на LPT порт и видеорегистрацией.
    2011-03-13, terminus
    ng_nat

    Описание работы ng_nat, практическое использование, достоинства и недостатки в сравнении с ipfw nat
    2011-02-20, Капитан
    Nagios+Digitemp

    Статья описывает создание системы оповещения о превышении температуры в специальных помещениях на основе Nagios с использованием программы Digitemp.
    2011-02-17, Le1
    Zyxel Configuration

    Скрипт для массового изменения конфига свичей Zyxel. Берет из файла iplist список ip-шек, заходит последовательно на каждый и выполняет комманды из файла commands, записывая происходящее в лог файл.
    2011-02-16, fox
    hast carp zfs ucarp cluster

    HAST (Highly Available Storage), CARP, UCARP, ZFS, Cluster настройка и одаптация плюс личные размышления…
    2011-02-04, BlackCat
    Восстановление ZFS

    История о том, как был восстановлен развалившийся RAIDZ ZFS-пул (перешедший в FAULTED) с помощью скотча и подручных средств. Или о том, какие приключения ожидают тех, кто не делает резервных копий.
    2011-02-03, Капитан
    1-Wire

    Статья описывает самостоятельное изготовление контроллера DS9097 для съёма показаний с датчиков температуры DS1820 с помощью программы Digitemp.
    2011-01-28, Капитан
    Температура в серверной

    Статья описывает построение системы наблюдения за температурой в помещении серверной с использованием программы Digitemp и выводом графиков в MRTG
    2011-01-21, m4rkell
    Syslog server

    Как то буквально на днях, у нас завалилось, что то в еве) или не в еве не суть. Суть в том, что когда захотели снять логи с хостов esx обнаружили, что хранят эти негодяи логии только за последнии сутк
    2011-01-07, lissyara
    Canon/gphotofs

    Монтирование цифровых фотоаппаратов Canon (PTP) как файловой системы, автоматизация этого процесса через события devd и внешние скрипты.
    2010-12-13, Al
    IPSec

    Описание принципов работы IPSEC и способов аутентификации.
    2010-12-07, manefesto
    FreeBSD on flash

    Было принято решении переехать на USB Flash и установить минимальный джентельменский набор для работы своего роутера. Делаем =)
    2010-12-05, Fomalhaut
    root ZFS, GPT

    Инструкция по установке FreeBSD с использованием в качестве таблицы разделов GPT и в качестве основной файловой системы - ZFS
    2010-09-05, Cancer
    Настройка аудиоплеера на ximp3

    Цели: Простенький аудиоплеер, для того что бы тетя продавец в магазине утром пришла нажала на кнопку Power и заиграла в зале музыка, так же был доступ по сети, общая шара куда можно заливать музыку, к
    2010-08-31, Cancer
    Установка и настройка OpenVPN

    На днях появилась задача - объединить головной офис и 3 филиала в одну сеть через интернет посредством OpenVPN, чтобы люди могли подключаться через RDP к базам 1С на серверах.
    2010-08-25, manefesto
    freebsd lvm

    Использование linux_lvm для работы с LVM разделами из-под FreeBSD. Проблемы которые возники при монтирование lvm раздела
    2010-04-30, gonzo111
    proftpd file auth&quota

    Proftpd - квоты и авторизация из файлов, без использования базы данных и/или системных пользователей
    2010-04-22, lissyara
    tw_cli

    Пошаговая инструкция по восстановлению RAID на контроллере 3ware, из которого выпал один диск. Настройка мониторинга состояния рейда и отчётов о его состоянии на email.
    2010-04-14, fox
    MySQL Master+Master

    MySQL (Master Master) and (Master Slave) Как настроить репликацию…
    2010-03-22, Mufanu
    named 9.7.0

    Система доменных имен (Domain Name Service, DNS) - одна из тех незаметных, закулисных программ, которым не уделяется и половины того внимания, которого они заслуживают.
    2010-03-09, terminus
    DNS zones

    Краткий ликбез про управление DNS зонами. Примеры проведения делегирования прямых и обратных DNS зон.
    2010-03-09, aspera
    Squid+AD (group access)

    Настройка прокси сервера SQUID с автроризацией пользователей в AD. Разделение пользователей на группы
    2010-03-02, BlackCat
    Шлюз: Часть 4

    Настройка дополнительных сервисов: синхронизация времени (OpenNTPD), клиент DynDNS.org.
    подписка

        вверх      
    Статистика сайта
    Сейчас на сайте находится: 9 чел.
    За последние 30 мин было: 44 человек
    За сегодня было
    835 показов,
    156 уникальных IP
     

      Этот информационный блок появился по той простой причине, что многие считают нормальным, брать чужую информацию не уведомляя автора (что не так страшно), и не оставляя линк на оригинал и автора — что более существенно. Я не против распространения информации — только за. Только условие простое — извольте подписывать автора, и оставлять линк на оригинальную страницу в виде прямой, активной, нескриптовой, незакрытой от индексирования, и не запрещенной для следования роботов ссылки.
      Если соизволите поставить автора в известность — то вообще почёт вам и уважение.

    © lissyara 2006-10-24 08:47 MSK

    Время генерации страницы 0.1267 секунд
    Из них PHP: 53%; SQL: 47%; Число SQL-запросов: 56 шт.
    Исходный размер: 112744; Сжатая: 21328