Dotaz: Postfix akceptuje SASL prihlaseni i se spatnym heslem

[Lukas]

Ahoj,

zjistil jsem, ze mi postovni server akceptuje vzdalene pripojeni i v pripade zadani spatneho hesla. Staci, aby uzivatel pouzil existujici jmeno a postfix to vzdy akceptuje. Pokud zkusim overeni pres testsaslauthd, tak projde jen v pripade zadani spravneho hesla. System je aktualni Debian, MTA Postfix. Nepodarilo se mi to nikde najit, jen stejny dotaz na http://www.gnulinux.in/forum/postfix-accept-mail-without-password, ovsem bez konkretni odpovedi. Mel by nekdo napad, co mam spatne? Dekuju.

Nejvtipnejsi na tom je, ze se overeni akceptuje i v pripade, ze v postfixu nastavim smtpd_sasl_auth_enable = no.

/etc/postfix/main.cf

smtpd_sasl_type = cyrus
smtpd_sasl_auth_enable = yes
smtpd_sasl_security_options = noanonymous
broken_sasl_auth_clients = no
smtpd_sasl_path = smtpd

smtpd_client_restrictions =
        check_client_access     hash:/etc/postfix/client_access,
        permit_mynetworks,
        permit_sasl_authenticated,
        reject_unknown_client_hostname,
        reject_unknown_reverse_client_hostname,
        reject_unauth_pipelining

smtpd_recipient_restrictions =
        check_recipient_access  hash:/etc/postfix/recipient_access,
        permit_mynetworks,
        permit_sasl_authenticated,
        reject_unauth_destination,
        reject_non_fqdn_recipient,
        reject_unauth_destination,
        reject_unknown_recipient_domain,
        reject_unverified_recipient

smtpd_sender_restrictions =
        check_sender_access     hash:/etc/postfix/sender_access,
        permit_mynetworks,
        permit_sasl_authenticated,
        reject_non_fqdn_sender,
        reject_unknown_sender_domain

smtpd_helo_restrictions =
        check_helo_access       hash:/etc/postfix/helo_access,
        permit_mynetworks,
        permit_sasl_authenticated,
        reject_invalid_helo_hostname,
        reject_non_fqdn_helo_hostname,
        reject_unknown_helo_hostname

/etc/postfix/sasl/smtpd.conf

pwcheck_method: saslauthd
mech_list: PLAIN LOGIN

---

---

Odpovědi

[Jirka]

Zdar, pokud to zkousis ze stejne site, tak se pouzije pravidlo permit_mynetworks a test se ukonci. Zkus to z cizi site, nebo prehod pravidla.

[Lukas]

Diky. Chova se to stejne z moji site i zvenku. V tom je prave ten problem, uz se nasli spammeri kteri mi pouzivaji muj server pro rozesilani spamu. Navic v logu postfixu vidim jasny zaznam o tom, ze spojeni povazuje za overene pres SASL, i kdyz heslo zadam umyslne spatne. Napr.

Feb 23 20:32:21 white postfix/smtpd[32474]: 5DC4E10070FC7: client=h1821589.stratoserver.net[85.214.223.16], sasl_method=LOGIN, sasl_username=test

[Jirka]

Nemuze tam vadit check_client_access a dalsi? Zkusil bych minimalni konfiguraci, treba:

smtpd_sasl_auth_enable = yes
smtpd_sasl_type = cyrus
smtpd_sasl_path = smtpd
smtpd_recipient_restrictions = permit_mynetworks, 
                               permit_sasl_authenticated, 
                               reject_unauth_destination

[Lukas]

Bohuzel toto neprineslo zadnou zmenu.

[timeos]

Tento zaznam hovori o tom, ze autentifikacia prebehla uspesne. To nasledne znamena, ze je splnena podmienka permit_sasl_authenticated v jednotlivych restriction pravidlach. Preco prebehla autentifikacia uspesne aj napriek tomu, ze ste pri autentifikacii zadali zle credentials je otazka na konfiguraciu SASL backendu resp. toho, ako mate SASL nakonifugurovane (PAM, LDAP, MYSQL, FILES, ...).

[Lukas]

Overeni probiha (doufam) proti systemovemu heslu, podle testsaslauth to vypada ze to overuje spravne

root@white:~# testsaslauthd -u svoboda -p [spatne_heslo]
0: NO "authentication failed"
root@white:~# testsaslauthd -u svoboda -p [spravne_heslo]
0: OK "Success."

[timeos]

saslauthd uz nepouzivam, ale malo by v nom ist zapnut debugovanie autentifikacie userov. podla vypisov potom porovnat zaznam v postfix logu so zaznamom v saslauthd logu na tu istu udalost.

[Ragzid]

Tak jsem to asi nasel. Nastaveni backendu pro saslauthd je v Debianu v souboru /etc/default/saslauthd. Jako vychozi backend je tam nastaveno MECHANISMS="pam" (coz nevim co je, uznavam, asi je to ostuda). Pri instalaci jsem tuto hodnotu zapomnel prenastavit na "shadow". Sice je divne, ze to fungovalo tak jak to fungovalo, ale nyni se to konecne zda byt OK. Kdyz v postovnim klientu zadam spatne heslo, zakrici na me a odmitne email poslat.

[Lukas]

Jo abych nezapomnel, dekuji za rady a nakopnuti spravnym smerem. :)