Mail in der Nussschale

Transkript

1 Mail in der Nussschale Jour-Fix des RZ der Universität Bayreuth am Dr. Martin Bahr Dr. Martin Bahr, Universität Bayreuth 1

2 Plausibilitätsprüfungen Überprüfung auf Viren Mailbox-Server Accesslisten Bewertung als Spam WebMail-Server Greylisting POP3-/IMAP-Server mailhub-ext1 (btr0x4) mailhub-in (redundant) (gepl. 2Q2008) mail (redundant) (gepl. 2Q2008) Benutzer-Mailboxen Internet mailhub-ext2 (btr0x5) mailhub-in (btr0xj) mail (btr0xh) mailhub-out (btr0xn) LAN mailhub-out (redundant) (gepl. 2Q2008) Mailsystem Uni Bayreuth (Stand ) Dr. Martin Bahr, Universität Bayreuth 2

3 Volumen des ankommenden Mailverkehrs: Dr. Martin Bahr, Universität Bayreuth 3

4 Volumen des ausgehenden Mailverkehrs: Dr. Martin Bahr, Universität Bayreuth 4

5 Überprüfung von Mail auf Viren/Würmer: amavisd-new / amavis-milter Sophos Antivirus für Solaris/SPARC Alle Mails enthalten Kopfzeilen (Header) der Form: X-Virus-Scanned: amavisd-new at uni-bayreuth.de Wird von der Antiviren-Software ein Virus/Wurm innerhalb der Mail entdeckt, dann werden der betreffenden Mail weitere Kopfzeilen hinzugefügt: X-Amavis-Modified: Original mail wrapped as attachment (defanged) by mailhub-in.unibayreuth.de X-Amavis-Alert: INFECTED, message contains virus: W32/Mytob-C X-Amavis-Alert: BANNED, message contains part: P=p003,L=1,M=multipart/mixed P=p002,L=1/2,M=application/octet=stream,T=exe,T=exems,N=mplay.exe Dr. Martin Bahr, Universität Bayreuth 5

6 Eine viren-/wurmbehaftete Mail wird modifiziert (defanged): Der Inhalt der Mail enthält eine Warnung mit der Bezeichnung des enthaltenen Virus, die ursprüngliche Mail wird als Attachment unverändert angefügt Dr. Martin Bahr, Universität Bayreuth 6

7 Was geschieht mit viren-/wurmbehafteten Mails? Eingehende Mails: Alle Mails, auch viren-/wurmbehaftete Mails werden (gegebenenfalls defanged) zugestellt. An Empfänger viren-/wurmbehafteter Mails werden seit einiger Zeit keine gesonderten Mails verschickt, die eine Warnung enthalten. Ausgehende Mails: Viren-/wurmbehaftete Mails werden nicht zugestellt. Weder an Sender noch am Empfänger viren-/wurmbehafteter Mails werden Mails verschickt, die eine Warnung enthalten Dr. Martin Bahr, Universität Bayreuth 7

8 Überprüfung von Mail auf Spam: SpamAssassin milter-spamc Jede Mail wird aufgrund eines heuristischen Verfahrens mit einer Spam- Verdachtskennziffer bewertet. Diese ist mehr oder minder mit der Wahrscheinlichkeit korreliert, dass es sich bei der vorliegenden Mail um Spam handelt. Alle Mails enthalten Kopfzeilen (Header) der Form: X-Spam-Status: No, hits= tagged_above=-999 required=6.31 tests=awl, NO_REAL_NAME X-Spam-Level: Oder X-Spam-Status: No, hits=4.224 tagged_above=-999 required=6.31 tests=bayes_00, FROM_ENDS_IN_NUMS, HTML_20_30, HTML_MESSAGE, NA_DOLLARS, SUBJ_ALL_CAPS, SUBJ_YOUR_FAMILY, UPPERCASE_75_100 X-Spam-Level: **** Dr. Martin Bahr, Universität Bayreuth 8

9 Spamschutz: Greylisting Greylisting ist eine effektive Methode zur Abwehr von unerwünschter Massenmail (Spam). Sie wird inzwischen u.a. von der Mehrzahl der deutschen Universitäten und Forschungseinrichtungen erfolgreich angewendet. Sie macht sich zu Nutze, dass Spammer Mails überwiegend nach der Methode Fire and forget versenden, Grundsätzliche Funktionsweise: Beim Empfangen einer Mail erhält der empfangende Host unter anderem drei wesentliche Informationen: IP-Adresse des sendenden Rechners (z.b ) Adresse des Senders (z.b. Adresse des Empfängers (z. B. Diese drei Angaben werden als Tripel noch mit dem Zeitstempel des Empfangs versehen Dr. Martin Bahr, Universität Bayreuth 9

10 Möglichkeit 1: Das Tripel ist dem empfangenden Rechner unbekannt (noch nie Mail von dem Sender an den Empfänger registriert): Das Tripel nebst Zeitstempel wird vom empfangenden Rechner gemerkt. Die Annahme der Mail wird mit einem temporärem Fehler abgewiesen ( normaler Vorgang: Überlastung des Rechners, mangelnder Speicher, Wartung usw.). Jetzt nicht! Dr. Martin Bahr, Universität Bayreuth 10

11 Möglichkeit 2: Das Tripel ist bekannt, aber der Zeitstempel ist noch nicht hinreichend alt (Totzeit dynamisch, in der Regel Minuten, max. 35 Minuten): Die Annahme der Mail wird erneut mit einem temporärem Fehler abgewiesen. Noch nicht! Dr. Martin Bahr, Universität Bayreuth 11

12 Möglichkeit 3: Das Tripel ist bekannt, der Zeitstempel ist hinreichend alt : Die Mail wird angenommen. Jede weitere Mail, die dem betreffenden Tripel zugeordnet werden kann, wird künftig angenommen. Der Zeitstempel wird durch jede weitere Mail aktualisiert Dr. Martin Bahr, Universität Bayreuth 12

13 Beispiel: SMTP-Verbindung von IP > MAIL FROM: < Sender ok -> RCPT TO: Prüfen: Kennen wir das Tripel ( , schon? NEIN: < temporarily greylisted, please retry in a few minutes JA: < Recipient ok -> DATA <- 354 Enter mail ->... < Message accepted for delivery Dr. Martin Bahr, Universität Bayreuth 13

14 Auswirkungen (kein Heilmittel ohne Risiken und Nebenwirkungen ): Reguläre Mailserver werden bei unbekanntem Tripel (erstmaliger Mailkontakt zwischen Sender und Empfänger) eine zunächst zurückgewiesene Mail aufheben und später senden -> Mail wird verzögert zugestellt. Spam- (und Viren-) Sender haben in der Regel keine Möglichkeit, in großem Umfang Mails aufzubewahren und erneut zu senden (z.b. keine Queue-Verwaltung -> Zustellung wird nicht wieder versucht. Problematisch kann die initiale Wartezeit sein. Diese hängt ausschließlich von Konfiguration und betrieblichem Zustand des sendenden Rechners ab. Parameter an der Uni Bayreuth: Lebenszeit eines Tripels nach dem ersten Versuch: 2 Tage Lebenszeit eines Tripels nach erfolgreicher Mailzustellung: 36 Tage Das Spam-Aufkommen hat sich seit Einführung von Greylisting deutlich verringert (siehe die folgende Statistik). Dies begrüßen viele unsere Benutzer Dr. Martin Bahr, Universität Bayreuth 14

15 Warum Greylisting? Die Belästigung durch Spam hat in der letzten Zeit noch mehr zugenommen, so wurden von der Spamerkennungssoftware "Spamassassin" teilweise bis zu 70% der eingehenden Mails als Spam markiert. Hinzu kam es zu einem stark erhöhten Mailaufkommen durch Mail-Viren wie Sobig-F, Gibe-F und MyDoom-A, von denen zu Spitzenzeiten weit über täglich von unseren Virenscanner bereinigt werden mussten und an die Mailkonten zugestellt wurden. Weil die Empfängeradressen häufig zufällig generiert wurden, waren bei diesen Viren- und Werb s der grössere Anteil nicht zustellbar. Für nicht zustellbare werden vom Mailserver Fehlermeldungen (Bounces) generiert, um sie dem Absender zuzustellen. Da auch die Absenderadresse der Mail in der Regel ungültig ist, versucht das Mailsystem über 5 Tage hinweg vergeblich die Fehlermeldung an den Absender zuzustellen. Die Queues enthielten daher regelmässig fast s, die auch den normalen Betrieb verlangsamten. Eine Löschung bzw. Filterung von nicht zustellbaren Bounces ist genauso schwierig wie das Filtern und Löschen von Spams, also nicht wirklich praktikabel. Da das Aufkommen von Mail-Würmern und Spam immer weiter steigt, würde eine Anschaffung zusätzlicher Hardware auch nur kurzfristig eine Verbesserung bringen. Aufgrund zu hoher Last auf den Eingangsrelays, haben diese immer häufiger keine Mails mehr angenommen, so dass Mails an die RWTH Aachen zeitweise nicht zustellbar waren. Wie haben uns daher enschlossen, unsere Eingangsrelays mit dem System Greylisting auszustatten. (RWTH Aachen, Dr. Martin Bahr, Universität Bayreuth 15

16 Pro Greylisting: Weniger Last (Virenschutz, Spambewertung) für das gesamte Mailsystem, daher geringere Latenzzeiten Deutlich weniger Situationen, die Queueing erfordern, ein weiterer Grund für geringere Latenzzeiten Weniger Spam und Viren/Würmer im lokalen Netz, daher geringere Gefahr der Infektion von Endgeräten Für die Gesamtheit der Nutzer deutlich besserer Durchsatz des Mailsystems gegenüber der Zeit vor Einführung von Greylisting Kontra Greylisting: Initiale Verzögerung beim ersten Versuch der Zustellung einer Mail Effekt: Derzeit ca Mails pro Tag ankommend, durch Einsatz von Greylisting Reduzierung auf ca pro Tag Dr. Martin Bahr, Universität Bayreuth 16

17 Empfangen von Mail: Zentraler Mailserver (mail.unibayreuth.de) Der zentrale Mailserver verwaltet die ankommenden Mails für Benutzer mit RZ- Kennung Ankommende Mails werden in der Inbox des Benutzers abgelegt. Zusätzlich kann ein Benutzer seine Mails nach Themengebieten in Folder verteilen. Protokolle: pop3 (Port 110, passwortgeschützter Zugriff auf die Inbox, Passwort wird unverschlüsselt übertragen ohne TLS und verschlüsselt mit TLS) imap (Port 143, passwortgeschützter Zugriff auf Inbox und Folder, Passwort wird unverschlüsselt übertragen ohne TLS und verschlüsselt mit TLS) pop3s (Port 995, passwortgeschützter Zugriff auf die Inbox, Passwort wird verschlüsselt übertragen) Imaps (Port 993, passwortgeschützter Zugriff auf Inbox und Folder, Passwort wird verschlüsselt übertragen) Dr. Martin Bahr, Universität Bayreuth 17

18 http (Port 80, Webmail, passwortgeschützter Zugriff auf Inbox und Folder, Passwort wird unverschlüsselt übertragen, imap-basierend) https (Port 443, Webmail, passwortgeschützter Zugriff auf Inbox und Folder, Passwort wird verschlüsselt übertragen, imap-basierend) Interaktiver Login auf dem Mailserver ist nach wie vor möglich. Vorhandene Clientprogramme (evtl. mit eingeschränkter Funktionalität): Mail/mail, elm, pine Imap/imaps bzw. Webmail bietet gegenüber pop3/pop3s die Möglichkeit der zusätzlichen Verwendung von Foldern. Jedem Benutzer steht für Inbox plus ggf. Folder Speicherplatz von 1 GByte zur Verfügung (Anzeige der Auslastung des verfügbaren Speicherplatzes mittels Webmail): Dr. Martin Bahr, Universität Bayreuth 18

19 Besonderheiten: Caching von PHP-Skripten Dr. Martin Bahr, Universität Bayreuth 19

20 Besonderheiten: Caching von imap-/pop-logins Sonstiges: Ca Logins pro Tag Dr. Martin Bahr, Universität Bayreuth 20

21 Bei verschlüsselter Übertragung bietet der Mailserver ein Zertifikat an. Dieses Zertifikat kann überprüft werden (sollte so aussehen wie untenstehend abgebildet) und muss temporär oder permanent akzeptiert werden Dr. Martin Bahr, Universität Bayreuth 21

22 Allgemein zur Frage von Zertifikaten: Alle verwendeten Zertifikate besitzen vorläufigen Charakter. Die Ausstellung von Serverzertifikaten durch eine PKI, die beim Nutzer keine zusätzlichen Aktionen (explizites, u.u. mehrfaches Akzeptieren von Zertifikaten) erfordern, ist für 2Q2008 vorgesehen. Einbindung in die DFN-Zertifizierungs-Hierarchie Sogenannte Wurzelzertifikate für die DFN-Hierarchie sind in den einschlägigen Browsern bereits vorhanden Dr. Martin Bahr, Universität Bayreuth 22

23 Zwei unterschiedliche Formate für (imap-)folder: Mbox-Format: Die Folder sind mit ASCII-Editor les- und (zur Not) edierbar Direkter interaktiver Zugriff mittels elm, pine usw. möglich Durch sequentiellen Zugriff langsamere Methode Maildir-Format: Folder gehasht im Binärformat, nicht mit ASCII-Editor lesbar Kein direkter Zugriff mittels elm, pine usw. Durch Verwendung von binären Suchverfahren deutlich schnellere Methode Verknüpft mit Namespace #maildir Dr. Martin Bahr, Universität Bayreuth 23

24 Besonderheiten, die nur über Webmail verwaltet werden können: Abwesenheitsbenachrichtigung ( vacation ) Nachrichtenweiterleitung ( forward ) Serverseitige Filter (benutzerspezifisch): Nutzung des Spamlevels für Löschen oder Verschieben von Spam in spezielle Ordner Automatisches Löschen viren-/wurmbefallenen Mails Generelles Verschieben von ankommenden Mails in dafür vorgesehene Ordner Anleitung für die Benutzung von Webmail unter: Dr. Martin Bahr, Universität Bayreuth 24

25 Senden von Mail: Zentraler Mailausgangsserver (mailhub-out.uni-bayreuth.de) Der zentrale Mailausgangsserver ist zuständig für den Weitertransport von Mails, die von Clients innerhalb der Domain uni-bayreuth.de generiert werden. Alle Clientprogramme (Eudora, Pegasus, Mozilla Thunderbird usw.) sollten mailhub-out.uni-bayreuth.de als Mailausgangsserver verwenden. Sozialverträglicher Versand von Mail Durch Limitierung von Senderaten (Verbindungen/s, Mails/s) Schutz vor Spammern Überprüfung von abgehenden Mails auf Vorhandensein von Viren oder Würmern (wichtig, damit die Domain uni-bayreuth.de nicht auf Blacklists gesetzt wird) Derzeit Versenden von Mails ohne Senderverifikation durch Angabe von Passwörtern (Clients dementsprechend einstellen), erst bei Vorliegen endgültiger Zertifikate Derzeit nur für Versand von Mails aus der Domain uni-bayreuth.de, evtl. unter Verwendung von VPN-Client Dr. Martin Bahr, Universität Bayreuth 25

26 Instituts-/Lehrstuhleigene Mailserver innerhalb der Domain uni-bayreuth.de Der Betrieb instituts-/lehrstuhleigener Mailserver ist möglich: Zuteilung einer eigenen Maildomain ist notwendig Serverbetriebssystem/MTA-Software spielt grundsätzlich keine Rolle, solange die Spielregeln eingehalten werden. Senderaten werden bedarfsbedingt angepasst Künftig Bekanntgabe der gültigen Mailadressen notwendig, wenn ein Mailserver eigene Mailboxen bedient Dr. Martin Bahr, Universität Bayreuth 26

27 Listserver im Mailsystem Für den Versand von Massenmails: listserv.uni-bayreuth.de Software Listserv LITE Version 1.8d Bedienung derzeit rein mit , sofern ein Upgrade in Frage kommt, auch via http/browser Der Betrieb einer Liste erfordert einen oder mehrer Listenverantwortliche, die sich um Ein- und Austragen der Adressen kümmern Drei unterschiedlichen Listentypen (modifizierbar): Private/Geschlossene Liste Moderierte Liste Verteilerliste Fügt sich in die Sozialverträglichkeit des Mailversands ein Kleinere Verteiler auch über den eigenen Client/PC realisierbar Dr. Martin Bahr, Universität Bayreuth 27