open relay

Open relay to serwer przekazujący pocztę od dowolnego nadawcy — poważna luka wykorzystywana do rozsyłania spamu.

Na czym polega działanie open relay

Open relay, czyli otwarty przekaźnik poczty, to serwer SMTP skonfigurowany tak, aby przyjmował i przekazywał wiadomości bez właściwego ograniczenia nadawców, odbiorców albo dozwolonych sieci. W prawidłowo zabezpieczonym środowisku serwer pocztowy powinien rozróżniać pocztę przeznaczoną dla własnych domen od wiadomości kierowanych do odbiorców zewnętrznych. Przekazywanie poczty do obcych domen powinno być dostępne wyłącznie dla uprawnionych użytkowników, zaufanych hostów albo po udanym uwierzytelnieniu. Open relay pomija takie ograniczenie lub realizuje je błędnie.

Mechanizm SMTP sam w sobie służy do przekazywania wiadomości między serwerami. Typowa sesja obejmuje polecenia EHLO lub HELO, wskazanie nadawcy za pomocą MAIL FROM, określenie odbiorcy przez RCPT TO oraz przesłanie treści po poleceniu DATA. Sam fakt obsługi tych poleceń nie oznacza jeszcze, że serwer jest open relay. Problem powstaje wtedy, gdy serwer akceptuje wiadomość od nieuprawnionego klienta i przekazuje ją do zewnętrznej domeny bez wymaganej kontroli dostępu.

Dlaczego otwarty przekaźnik jest wykorzystywany do spamu

Osoba rozsyłająca spam może wykorzystać open relay jako pośrednika między własnym systemem a dużą liczbą odbiorców. Serwer przekazujący wykonuje wtedy techniczną pracę związaną z dostarczeniem wiadomości, a adres IP sprawcy może nie pojawić się bezpośrednio w połączeniu z serwerem odbiorcy. W nagłówkach poczty nadal mogą pozostać ślady wcześniejszych połączeń, lecz dla operatorów filtrów antyspamowych źródłem bezpośredniego nadania staje się również niewłaściwie skonfigurowany serwer przekaźnikowy.

Skutkiem może być gwałtowny wzrost liczby wysyłanych wiadomości, przeciążenie kolejki pocztowej, zwiększone zużycie łącza oraz blokowanie adresu IP na listach reputacyjnych. Jeżeli serwer obsługuje własną domenę, jej reputacja może się pogorszyć, a legalne wiadomości zaczną trafiać do folderów spam lub będą odrzucane przez serwery odbiorcze. Otwarty relay może też zostać użyty do rozsyłania wiadomości z fałszywym adresem nadawcy, prób phishingu albo złośliwych załączników. Nie oznacza to jednak, że sam open relay jest mechanizmem podszywania się pod nadawcę; ułatwia jedynie transport wiadomości, której pola nadawcy mogą zostać sfałszowane na wcześniejszym etapie.

Jak rozpoznać i potwierdzić błędną konfigurację SMTP

Pierwszym sygnałem ostrzegawczym jest nietypowy wzrost liczby połączeń SMTP, duża liczba wiadomości oczekujących w kolejce albo logi pokazujące dostarczanie poczty do wielu obcych domen przez klientów, którzy nie powinni mieć takiej możliwości. Warto sprawdzić adresy źródłowe połączeń, wynik uwierzytelniania, użyte konto, domenę odbiorcy i odpowiedzi serwera dla kolejnych poleceń SMTP. Szczególnie istotne jest ustalenie, czy zaakceptowanie polecenia RCPT TO następuje przed uwierzytelnieniem lub bez spełnienia warunku zaufanej sieci.

Test powinien być wykonywany wyłącznie na serwerze, do którego istnieje uprawniony dostęp, ponieważ nieautoryzowane próby wysyłki do obcych odbiorców mogą zostać potraktowane jako nadużycie. Bezpieczna weryfikacja polega na użyciu kontrolowanej skrzynki testowej i adresu odbiorcy w domenie zewnętrznej, bez przesyłania rzeczywistej kampanii. Wynik pozytywny dla open relay oznacza, że serwer zaakceptował przekazanie wiadomości bez właściwego uwierzytelnienia lub ograniczenia. Samo uzyskanie odpowiedzi na EHLO nie jest dowodem istnienia luki, ponieważ publicznie dostępny serwer może poprawnie przyjmować połączenia i odrzucać niedozwolone odbiorniki.

Analizę trzeba uzupełnić przeglądem konfiguracji reguł relay access, list dozwolonych sieci, wyjątków dla adresów lokalnych oraz zasad wymagania SMTP AUTH. Należy również sprawdzić, czy ustawienia dotyczą zarówno połączeń szyfrowanych, jak i nieszyfrowanych, oraz czy nie istnieje osobna ścieżka dla portu używanego przez klientów pocztowych. W praktyce błędna konfiguracja często wynika z nadmiernie szerokiej reguły obejmującej cały zakres adresów, pozostawionego wyjątku testowego albo pomylenia domen lokalnych z domenami, do których serwer może przekazywać pocztę.

Zabezpieczenie serwera przed nieautoryzowanym przekazywaniem

Usunięcie problemu polega na ograniczeniu relay do jasno określonych przypadków. Serwer powinien przekazywać pocztę do zewnętrznych domen tylko po udanym uwierzytelnieniu użytkownika albo z dozwolonych, jednoznacznie zdefiniowanych adresów i sieci. Reguły należy uporządkować tak, aby wyjątki nie omijały końcowej kontroli odbiorcy. Po zmianie konfiguracji trzeba ponownie sprawdzić zarówno prawidłową wysyłkę przez uprawnionego klienta, jak i odrzucenie próby z nieuprawnionego źródła.

Ważne jest także monitorowanie logów SMTP, długości kolejki i kodów odpowiedzi serwera. Odrzucenie niedozwolonego przekazywania powinno być widoczne w logach, a legalna wysyłka nie powinna być mylona z próbą relaying. W razie wcześniejszego wykorzystania serwera należy usunąć pozostawione wiadomości z kolejki zgodnie z procedurą danego systemu, zmienić ujawnione dane uwierzytelniające, sprawdzić konta z podejrzaną aktywnością oraz przeanalizować nagłówki i dzienniki pod kątem zakresu nadużycia. Sama zmiana hasła nie naprawia open relay, jeśli przyczyną była reguła dopuszczająca przekazywanie bez logowania.

Przy ocenie problemu na komputerze biurowym warto rozróżnić błąd lokalnego programu pocztowego od błędu serwera SMTP. Klient może zgłaszać odmowę relay, gdy serwer wymaga uwierzytelnienia, ale taki komunikat nie oznacza, że serwer jest otwartym przekaźnikiem. Potwierdzenie wymaga zestawienia konfiguracji klienta, logów serwera i reguł kontroli dostępu. W przypadku infrastruktury pocztowej kluczowe pozostaje zachowanie ostrożności, ponieważ niekontrolowane testy wysyłkowe mogą zwiększyć obciążenie serwera lub doprowadzić do dalszego pogorszenia jego reputacji.