relay abuse

Relay abuse to nadużycie serwera pośredniczącego do rozsyłania cudzej korespondencji, zwykle spamu.

Mechanizm działania otwartego przekaźnika i geneza zjawiska

Protokół SMTP (Simple Mail Transfer Protocol), opisany pierwotnie w dokumencie RFC 821, opierał się na założeniu wzajemnego zaufania między węzłami sieci. Mechanizm przekazywania poczty, czyli relaying, był natywną i pożądaną funkcją tego standardu. Pozwalał on na dostarczanie wiadomości do serwerów docelowych poprzez łańcuch maszyn pośredniczących, co w realiach wczesnego Internetu z nieregularnymi połączeniami zapewniało niezbędną ciągłość komunikacji. Zjawisko relay abuse zdefiniowano, gdy podmioty komercyjne zaczęły masowo rozsyłać niezamówioną korespondencję, eksploatując serwery nieposiadające restrykcji dotyczących adresów źródłowych. Otwarty przekaźnik (open relay) to serwer pocztowy (MTA - Mail Transfer Agent), który przyjmuje wiadomość od dowolnego nadawcy i podejmuje próbę jej dostarczenia do dowolnego odbiorcy bez weryfikacji tożsamości klienta.

W architekturze klient-serwer nieautoryzowane użycie zasobów następuje w momencie, w którym oprogramowanie serwerowe nie weryfikuje przynależności docelowej domeny odbiorcy. Spamerzy wykorzystują tę podatność, aby przenieść obciążenie obliczeniowe oraz koszty transferu danych na infrastrukturę ofiary. Dodatkowym wektorem ataku jest maskowanie pierwotnego adresu IP. Serwer pośredniczący, wpisany poprawnie w globalną strukturę usługi DNS oraz posiadający poprawne rekordy PTR (Reverse DNS), staje się w oczach docelowych serwerów pocztowych prawowitym i zaufanym nadawcą. Zmienia to punkt ciężkości w ocenie wiarygodności, a serwery filtrujące przepuszczają początkowo taki ruch, analizując jedynie parametry techniczne węzła pośredniczącego.

Ewolucja standardów transmisji wymusiła zmianę domyślnych konfiguracji w popularnych demonach pocztowych, takich jak Postfix, Exim czy Microsoft Exchange. Producenci oprogramowania zastąpili historyczny model otwartego przesyłania ścisłymi regułami autoryzacji sesji. Obecnie zjawisko nadużyć wynika najczęściej z błędów konfiguracyjnych. Powstają one, gdy administratorzy wdrażają złożone reguły routingu poczty wewnątrz sieci firmowych i omyłkowo wystawiają niezabezpieczone interfejsy na publicznych adresach WAN, na przykład podczas prac konserwacyjnych lub migracji usług między centrami danych.

Metody uwierzytelniania i techniki weryfikacji konfiguracji SMTP

Poprawna konfiguracja serwera MTA wymaga wdrożenia mechanizmów ściśle ograniczających dostęp do funkcji przekazywania. Standardem branżowym jest implementacja SMTP AUTH (zdefiniowana w specyfikacji RFC 4954), która wymusza na kliencie użycie protokołu SASL (Simple Authentication and Security Layer) przed przetworzeniem komendy RCPT TO. Procedura ta obowiązuje zawsze, jeśli domena docelowa nie jest przypisana do lokalnych skrzynek obsługiwanych przez dany serwer. Poświadczenia weryfikuje się z użyciem zapytań do lokalnych relacyjnych baz danych, usług katalogowych LDAP lub scentralizowanych systemów uwierzytelniania. Metodą komplementarną jest filtrowanie ruchu na poziomie warstwy sieciowej, gdzie przekazywanie poczty dozwolone jest wyłącznie dla precyzyjnie zdefiniowanych, zaufanych podsieci.

Podmioty poszukujące niezabezpieczonych przekaźników automatyzują proces detekcji, tworząc specjalistyczne skrypty skanujące przestrzeń adresową IPv4. Nasłuch prowadzony jest dla standardowych portów komunikacyjnych: 25 (SMTP), 465 (SMTPS) oraz 587 (Submission). Po pomyślnym nawiązaniu sesji TCP, zautomatyzowane boty inicjują komunikację poleceniem EHLO, a następnie próbują zadeklarować zewnętrznego adresata, wysyłając odpowiednie komendy protokołu. Serwer poprawnie zabezpieczony przed nadużyciami na tym etapie odrzuca żądanie, zwracając kod błędu serii 5xx, najczęściej z komunikatem o braku uprawnień do przekazywania (Relay access denied). Kod powrotu 250 OK identyfikuje serwer podatny i uruchamia algorytm masowej wysyłki danych.

Współczesne wektory ataków na systemy pocztowe uległy modyfikacji ze względu na marginalizację klasycznych otwartych przekaźników. Atakujący ukierunkowują działania na przejmowanie legalnych poświadczeń użytkowników za pomocą ataków słownikowych lub wykorzystują braki walidacji danych wejściowych w aplikacjach webowych. Luki w formularzach kontaktowych (email header injection) pozwalają napastnikom wstrzykiwać pola kopii ukrytej (BCC) bezpośrednio do nagłówków wysyłanej wiadomości. Z perspektywy ścisłej definicji protokołu nie jest to klasyczny open relay, jednak obciążenie zasobów obliczeniowych ofiary oraz degradacja reputacji adresu IP są identyczne jak w pierwotnym modelu tego nadużycia.

Identyfikacja niepożądanego ruchu i skutki dla właścicieli adresów IP

Proces diagnostyczny incydentów związanych z nadużyciem węzła pośredniczącego wymaga szczegółowej analizy metryk wydajnościowych oraz logów systemowych z warstwy aplikacyjnej. Pierwszym objawem jest nagłe zapotrzebowanie na przepustowość łącza internetowego w kierunku wychodzącym (uplink). Towarzyszy temu utylizacja czasu procesora na skutek ciągłego wykonywania reguł filtrujących, skanowania antywirusowego oraz negocjacji kluczy kryptograficznych TLS dla tysięcy równoległych sesji. Rejestruje się również bardzo wysoki wskaźnik operacji wejścia i wyjścia (I/O) na macierzach dyskowych. Każdy pakiet e-mail musi zostać zapisany fizycznie do kolejki w systemie plików. Alokacja wolnej przestrzeni dyskowej oraz struktury iNode'ów skutkuje awariami pozostałych, niezależnych procesów funkcjonujących na tej samej maszynie.

Główną konsekwencją utrzymywania podatnego serwera jest umieszczenie jego publicznego adresu IP na globalnych listach RBL (Real-time Blackhole List), zarządzanych przez organizacje takie jak Spamhaus czy SORBS. Wprowadzenie rekordu do bazy reputacyjnej sprawia, że docelowe serwery wymiany ruchu na całym świecie automatycznie przerywają sesję TCP podczas próby doręczenia poczty z obciążonego adresu. Odcina to całą organizację od możliwości wysyłania jakiejkolwiek korespondencji biznesowej. Dzienniki zdarzeń zwracają wtedy kody błędów z bezpośrednim wskazaniem nazwy listy blokującej, która zastosowała sankcje wobec nadawcy.

Identyfikacja usterki konfiguracyjnej opiera się na kontrolowanym wywołaniu połączeń z adresów zewnętrznych za pomocą programów takich jak telnet lub netcat. Inżynier symuluje pełen cykl protokołu SMTP, deklarując parametry nadawcy i odbiorcy, które nie występują w lokalnym środowisku produkcyjnym serwera. Połączenie logów demona pocztowego z informacjami o aktywności warstwy sieciowej z netfilter pozwala dokładnie wskazać węzeł generujący zbędny ruch. Usunięcie adresu z czarnej listy RBL bywa czasochłonne i wymaga przedstawienia dowodów usunięcia usterki w postaci logów potwierdzających odrzucanie nieskrzyżowanych sesji.

Poziom sprzętowy urządzeń konsumenckich a administracja sieciowa

Kwestie zarządzania demonami pocztowymi, tworzenia polityk dostępu, filtrowania na poziomie aplikacji oraz utrzymania serwerów w serwerowniach należą w całości do dziedziny administracji sieciowej IT. Przedmiotowe hasło wykracza poza kompetencje warsztatów zajmujących się sprzętem klienckim. Działalność naszego serwisu polega wyłącznie na naprawie warstwy fizycznej (hardware) i komponentów komputera. Koncentrujemy się na lutowaniu elementów SMD i BGA, diagnostyce płyt głównych, wymianie uszkodzonych podzespołów takich jak matryce, pamięci, procesory czy układy zasilania, a także na odzyskiwaniu danych z nośników HDD i SSD. Nie obsługujemy infrastruktury serwerowej ani nie zarządzamy korporacyjnymi serwerami poczty.

Usterki konsumenckie związane z masową wysyłką poczty to obecnie rzadkość, choć mają swoje historyczne korzenie. We wcześniejszych fazach rozwoju sieci problematyka ta częściowo dotykała użytkowników domowych, gdy ich stacje robocze infekowano złośliwym oprogramowaniem implementującym lokalny moduł MTA w tle. Tworzyło to rozproszone sieci botnet obciążające system operacyjny komputera klienckiego. Dzisiaj dostawcy usług internetowych (ISP) wdrożyli prewencyjne rozwiązania sieciowe i standardowo blokują ruch wychodzący na porcie 25 dla wszystkich dynamicznych adresów konsumenckich. Mechanizm ten eliminuje ryzyko działania otwartych przekaźników na domowych komputerach, przenosząc ciężar bezpieczeństwa na infrastrukturę operatora.

Jeżeli jednak maszyna klienta wykazuje symptomy spowolnienia na skutek funkcjonowania ukrytych procesów komunikujących się z siecią zewnętrzną, procedura serwisowa ogranicza się do działań lokalnych. Technik dokonuje przeglądu nośnika danych, usuwa wykryte oprogramowanie modyfikujące tablice routingu systemu, a w skrajnych wypadkach wykonuje formatowanie dysku i czystą instalację oprogramowania. Z wszelkimi problemami polegającymi na błędach autoryzacji serwerów, odrzucaniem wysyłanych e-maili przez systemy docelowe czy obecnością domeny firmowej na czarnych listach RBL właściciel domeny musi zgłosić się do pomocy technicznej odpowiedniego dostawcy hostingu lub wykwalifikowanego inżyniera infrastruktury IT.