użycie open relay

Użycie open relay to poważne naruszenie bezpieczeństwa, prowadzące do wykorzystania serwera do rozsyłania spamu.

Open relay jako nieautoryzowane przekazywanie poczty

Open relay, czyli otwarty przekaźnik pocztowy, to serwer SMTP skonfigurowany tak, aby przekazywał wiadomości od nieuprawnionych nadawców do dowolnych odbiorców, także poza własną domeną. W prawidłowo zabezpieczonej konfiguracji serwer rozróżnia pocztę przeznaczoną dla obsługiwanych domen od żądań przekazywania wiadomości do zewnętrznych adresatów. Otwarty relay nie stosuje wystarczającej kontroli nad nadawcą, odbiorcą albo uprawnieniem do wysyłki i może przyjąć wiadomość od przypadkowego klienta internetowego, a następnie dostarczyć ją do wskazanego serwera odbiorcy.

Samo przyjmowanie wiadomości od użytkowników spoza lokalnej sieci nie zawsze oznacza open relay. Serwer może legalnie obsługiwać zdalnych użytkowników, jeśli wymaga uwierzytelnienia SMTP, ogranicza dostęp do określonych adresów IP albo stosuje inne reguły autoryzacji. Problem występuje wtedy, gdy osoba nieposiadająca uprawnień może wykorzystać serwer jako pośrednika do wysyłania poczty do obcych domen. Z tego powodu ocenę konfiguracji wykonuje się na podstawie rzeczywistej ścieżki przekazywania, a nie wyłącznie na podstawie informacji, że działa usługa SMTP.

Jak dochodzi do wykorzystania serwera przez spamerów

Po wykryciu otwartego przekaźnika automaty wysyłające spam mogą kierować do niego duże serie wiadomości. W żądaniu SMTP wskazuje się między innymi nadawcę w komendzie MAIL FROM oraz odbiorcę w jednej lub wielu komendach RCPT TO. Jeżeli serwer zaakceptuje przekazanie wiadomości do domeny zewnętrznej bez wymaganej autoryzacji, staje się elementem infrastruktury wykorzystywanej do masowej wysyłki. Nadawca widoczny w kopercie SMTP może być sfałszowany, dlatego adres umieszczony w polu „Od” nie musi wskazywać rzeczywistego źródła ruchu.

Skutki obejmują gwałtowny wzrost liczby połączeń wychodzących, obciążenie procesora, pamięci masowej i łącza internetowego oraz zapełnienie kolejki pocztowej. Serwer może generować duże ilości komunikatów o błędach dostarczenia, jeżeli spammer używa nieistniejących adresów odbiorców. Adres IP serwera, a czasem także jego domena, może trafić na listy blokad stosowane przez inne systemy pocztowe. W rezultacie legalne wiadomości wysyłane przez użytkowników mogą być odrzucane albo kierowane do folderów niechcianej poczty, mimo że ich treść nie ma związku ze spamem.

Rozpoznawanie objawów i potwierdzanie przyczyny

Diagnozę rozpoczyna się od analizy logów usługi SMTP oraz kolejki wiadomości. Należy sprawdzić, czy występują liczne połączenia z publicznych adresów IP, powtarzające się próby dostarczania poczty do wielu obcych domen, nietypowa liczba odbiorców oraz wiadomości wysłane bez powiązania z uwierzytelnionym kontem. Istotne są również wpisy dotyczące odrzuceń, błędów DNS, przekroczenia limitów oraz ponawiania dostarczania. Sam duży ruch nie przesądza jeszcze o open relay, ponieważ może wynikać z legalnej kampanii lub awarii kolejki; konieczne jest ustalenie, czy każda zaakceptowana wiadomość miała uprawnione źródło.

Test powinien być wykonany kontrolowanie, bez wysyłania rzeczywistego spamu. Można nawiązać sesję SMTP do badanego hosta, sprawdzić odpowiedzi po komendach EHLO, MAIL FROM i RCPT TO, a następnie przerwać próbę przed przekazaniem treści. Weryfikacji wymaga także to, czy serwer wymaga komendy AUTH dla połączeń zewnętrznych oraz czy reguły dostępu nie traktują całego Internetu jako zaufanej sieci. W logach trzeba odróżnić adres klienta od adresu serwera, do którego system próbuje dostarczyć wiadomość, ponieważ pomylenie tych pól może prowadzić do błędnej interpretacji zdarzenia.

Zamknięcie przekaźnika i kontrola po zmianie

Usunięcie problemu polega na ograniczeniu relaying do jasno określonych przypadków. Serwer powinien przekazywać pocztę bez dodatkowej autoryzacji tylko wtedy, gdy wiadomość jest przeznaczona do obsługiwanej domeny albo pochodzi z jednoznacznie zaufanej sieci. Dla zdalnych klientów należy stosować uwierzytelnianie SMTP i odpowiednie ograniczenia kont, a listy dozwolonych adresów IP powinny obejmować wyłącznie rzeczywiście uprawnione źródła. Konfiguracja musi rozdzielać odbiór poczty dla własnej domeny od przekazywania jej do innych domen. Warto również sprawdzić, czy nie istnieją reguły wyjątków, stare wpisy dostępu lub błędne maski sieciowe otwierające relay szerzej, niż zakładano.

Po zmianie konfiguracji należy ponowić kontrolowany test z nieautoryzowanego źródła i potwierdzić odrzucenie próby przekazywania do zewnętrznego adresata. Jednocześnie trzeba sprawdzić, czy prawidłowo uwierzytelnieni użytkownicy nadal mogą wysyłać wiadomości zgodnie z przeznaczeniem. Kolejka powinna zostać przejrzana pod kątem pozostałych komunikatów, a logi i statystyki ruchu monitorowane po wdrożeniu poprawki. W przypadku komputera używanego do obsługi poczty warto dodatkowo zweryfikować, czy nietypowa wysyłka nie wynika z przejęcia konta, złośliwego programu albo błędnej aplikacji korzystającej z lokalnego klienta SMTP. Warszawskie Pogotowie Komputerowe wykonuje profesjonalną naprawę laptopów, komputerów PC i ich podzespołów, gdy problem z konfiguracją lub oprogramowaniem pocztowym wymaga sprawdzenia komputera użytkownika.