otwarty relay SMTP

Otwarty relay SMTP to serwer przyjmujący pocztę do przekazania od dowolnego nadawcy — konfiguracja niedopuszczalna.

Jak działa otwarty relay SMTP

Otwarty relay SMTP to serwer pocztowy skonfigurowany tak, że przyjmuje wiadomości do przekazania bez prawidłowego sprawdzenia, czy nadawca albo odbiorca ma prawo korzystać z tego serwera. Serwer może wtedy przyjąć wiadomość od dowolnego hosta dostępnego przez sieć i wysłać ją dalej do domeny odbiorcy. Sam fakt, że usługa SMTP nasłuchuje na porcie 25, nie oznacza jeszcze istnienia otwartego relaya. Problemem jest brak właściwej kontroli uprawnień przy komendzie RCPT TO oraz przy wyborze trasy dostarczenia wiadomości.

W prawidłowej konfiguracji serwer rozróżnia pocztę przeznaczoną dla obsługiwanych domen od poczty kierowanej do domen zewnętrznych. Wiadomość do lokalnej domeny może zostać przyjęta zgodnie z polityką serwera, natomiast przekazanie jej dalej, czyli relay do obcego systemu pocztowego, powinno wymagać spełnienia określonych warunków. Takim warunkiem może być uwierzytelnienie SMTP, połączenie z zaufanej sieci albo zgodność adresu nadawcy i odbiorcy z lokalną konfiguracją. Otwarty relay nie stosuje takiej kontroli w sposób wystarczający.

Dlaczego taka konfiguracja jest wykorzystywana przez spamerów

Serwer działający jako otwarty relay może zostać użyty do masowej wysyłki spamu, ponieważ osoba wysyłająca wiadomości nie musi korzystać z własnego serwera ani ujawniać jego adresu w bezpośredniej komunikacji z serwerem odbiorcy. Atakujący przekazuje wiadomość do błędnie skonfigurowanej usługi, a ta podejmuje próbę dostarczenia jej do kolejnego systemu SMTP. W nagłówkach wiadomości pozostają informacje o kolejnych etapach transportu, ale adres otwartego relaya może pojawić się jako zaufany element ścieżki dostarczenia.

Skutkiem może być szybkie zwiększenie liczby połączeń wychodzących, wzrost obciążenia procesora, pamięci masowej i łącza internetowego oraz zapełnienie kolejki pocztowej. Serwer może również trafić na listy blokad używane przez inne systemy pocztowe. Wtedy problemy z dostarczaniem mogą dotyczyć także legalnej korespondencji, mimo że nie każda wiadomość została wysłana przez właściciela serwera. Dodatkowym sygnałem ostrzegawczym są nietypowe domeny odbiorców, duża liczba komunikatów o błędach dostarczenia oraz wpisy w logach pokazujące przyjmowanie poczty z przypadkowych adresów do zewnętrznych domen.

Kontrola relaya i ślady w logach SMTP

Sprawdzenie, czy serwer jest otwartym relayem, wymaga analizy jego konfiguracji oraz kontrolowanego testu. Należy zweryfikować, jakie sieci są uznawane za zaufane, czy wymagane jest uwierzytelnienie dla połączeń wychodzących oraz czy serwer zezwala na przekazanie wiadomości z obcej domeny do obcej domeny. Ważne są również reguły dotyczące adresu IP klienta, domen lokalnych, list dozwolonych nadawców i odbiorców oraz mechanizmu uwierzytelniania. Sama obecność obsługi AUTH nie gwarantuje bezpieczeństwa, jeżeli relay jest dozwolony także przed uwierzytelnieniem.

W logach warto zestawić adres klienta, czas połączenia, wynik uwierzytelnienia, komendy SMTP, adres nadawcy, adres odbiorcy i decyzję serwera dotyczącą przekazania wiadomości. Szczególnie istotne są odpowiedzi wskazujące akceptację zewnętrznego odbiorcy po połączeniu z niezaufanego adresu. Należy też sprawdzić kolejkę wiadomości pod kątem powtarzalnych tematów, losowych adresów nadawców, wielu odbiorców w różnych domenach oraz wiadomości oczekujących na ponowienie dostarczenia. Test powinien używać kontrolowanej wiadomości i nie może powodować wysyłki do przypadkowych odbiorców.

Naprawa polega na ograniczeniu prawa do relayu do jasno określonych przypadków. Zwykle obejmuje wyłączenie anonimowego przekazywania do domen zewnętrznych, wymaganie uwierzytelnienia dla uprawnionych klientów, zawężenie listy zaufanych sieci oraz sprawdzenie, czy konta i dane uwierzytelniające nie zostały wykorzystane przez osoby nieuprawnione. Po zmianie konfiguracji trzeba ponownie przejrzeć logi, usunąć lub zatrzymać nieautoryzowaną kolejkę zgodnie z procedurą danego serwera i obserwować, czy legalna poczta nadal jest dostarczana prawidłowo.

Otwarty relay SMTP a diagnostyka komputera

Na komputerze użytkownika problem może być widoczny jako nagły wzrost liczby komunikatów o niedostarczeniu poczty, ostrzeżenia o odrzuceniu wiadomości przez zdalne serwery albo nieoczekiwane powiadomienia o wysyłce. Nie zawsze oznacza to, że sam laptop lub komputer PC jest otwartym relayem. Źródłem może być serwer pocztowy, router z przekierowanym portem, nieprawidłowo ustawiony program pocztowy albo złośliwe oprogramowanie korzystające z dostępnych danych logowania.

Diagnostyka powinna rozdzielić trzy elementy: urządzenie, z którego nawiązywane jest połączenie, usługę SMTP przyjmującą wiadomości oraz serwer docelowy. Analizuje się ustawienia konta pocztowego, adres serwera wychodzącego, port, wymaganie szyfrowania i uwierzytelniania, a także procesy tworzące połączenia sieciowe. Jeżeli komputer wysyła pocztę bez udziału programu pocztowego, trzeba dodatkowo sprawdzić autostart, nietypowe zadania i aktywność sieciową. Warszawskie Pogotowie Komputerowe zajmuje się profesjonalną naprawą laptopów, komputerów PC i ich podzespołów, dlatego w przypadku podejrzenia problemu po stronie urządzenia można rozpocząć od diagnostyki komputera i ustalenia, czy przyczyna znajduje się lokalnie.