March 2016 - postfix-users

Postfix Lookuptables von Perlskript gleichzeitig nutzen?
by Peter Heitzer 16 Mar '16

16 Mar '16

Für mein Pseudonymisierungsskript will ich Mailadressen innerhalb meiner Domain vorher in die Mailboxadresse umsetzen via /etc/postfix/virtual.db. Kann ich die Lookuptable gefahrllos readonly öffnen oder laufe ich Gefahr, daß während mein Skript läuft, Postfix nicht auf die Datei zugreifen will (da kein exklusiver Zugriff möglich) und keine Umsetzung vornimmt? Das Skript läuft max. 30 s und um Mitternacht, aber ich will trotzdem keine evtl. Ablehnung wegen unbekanntem User riskieren.

3 2

Postscreen als "Teergrube"
by J. Fahrner 07 Mar '16

07 Mar '16

Hallo, ist es möglich, postscreen so zu konfigurieren, dass es vor einem Disconnect die Verbindung noch eine Weile bestehen lässt, um den Angreifer eine Weile zu beschäftigen? Hintergrund: ich sehe gerade in meinem Log folgende Versuche Spam abzuladen: Mar 6 12:20:23 s3 postfix/postscreen[13898]: CONNECT from [109.160.96.102]:62525 to [78.47.47.89]:25 Mar 6 12:20:23 s3 postfix/postscreen[13898]: PREGREET 14 after 0.04 from [109.160.96.102]:62525: EHLO ylmf-pc\r\n Mar 6 12:20:24 s3 postfix/dnsblog[13900]: addr 109.160.96.102 listed by domain zen.spamhaus.org as 127.0.0.4 Mar 6 12:20:24 s3 postfix/postscreen[13898]: DNSBL rank 2 for [109.160.96.102]:62525 Mar 6 12:20:24 s3 postfix/postscreen[13898]: HANGUP after 0.08 from [109.160.96.102]:62525 in tests after SMTP handshake Mar 6 12:20:24 s3 postfix/postscreen[13898]: DISCONNECT [109.160.96.102]:62525 Mar 6 12:20:24 s3 postfix/postscreen[13898]: CONNECT from [109.160.96.102]:62604 to [78.47.47.89]:25 Mar 6 12:20:24 s3 postfix/dnsblog[13901]: addr 109.160.96.102 listed by domain zen.spamhaus.org as 127.0.0.4 Mar 6 12:20:24 s3 postfix/postscreen[13898]: PREGREET 14 after 0.04 from [109.160.96.102]:62604: EHLO ylmf-pc\r\n Mar 6 12:20:24 s3 postfix/postscreen[13898]: DNSBL rank 2 for [109.160.96.102]:62604 Mar 6 12:20:24 s3 postfix/postscreen[13898]: HANGUP after 0.08 from [109.160.96.102]:62604 in tests after SMTP handshake Mar 6 12:20:24 s3 postfix/postscreen[13898]: DISCONNECT [109.160.96.102]:62604 Mar 6 12:20:25 s3 postfix/postscreen[13898]: CONNECT from [109.160.96.102]:62618 to [78.47.47.89]:25 Mar 6 12:20:25 s3 postfix/dnsblog[13900]: addr 109.160.96.102 listed by domain zen.spamhaus.org as 127.0.0.4 Mar 6 12:20:25 s3 postfix/postscreen[13898]: PREGREET 14 after 0.04 from [109.160.96.102]:62618: EHLO ylmf-pc\r\n Mar 6 12:20:25 s3 postfix/postscreen[13898]: DNSBL rank 2 for [109.160.96.102]:62618 Mar 6 12:20:25 s3 postfix/postscreen[13898]: HANGUP after 0.08 from [109.160.96.102]:62618 in tests after SMTP handshake Mar 6 12:20:25 s3 postfix/postscreen[13898]: DISCONNECT [109.160.96.102]:62618 Mar 6 12:20:25 s3 postfix/postscreen[13898]: CONNECT from [109.160.96.102]:62631 to [78.47.47.89]:25 Mar 6 12:20:25 s3 postfix/dnsblog[13900]: addr 109.160.96.102 listed by domain zen.spamhaus.org as 127.0.0.4 Mar 6 12:20:25 s3 postfix/postscreen[13898]: PREGREET 14 after 0.04 from [109.160.96.102]:62631: EHLO ylmf-pc\r\n Mar 6 12:20:25 s3 postfix/postscreen[13898]: DNSBL rank 2 for [109.160.96.102]:62631 Mar 6 12:20:25 s3 postfix/postscreen[13898]: HANGUP after 0.08 from [109.160.96.102]:62631 in tests after SMTP handshake Mar 6 12:20:25 s3 postfix/postscreen[13898]: DISCONNECT [109.160.96.102]:62631 Mar 6 12:20:25 s3 postfix/postscreen[13898]: CONNECT from [109.160.96.102]:62642 to [78.47.47.89]:25 Mar 6 12:20:25 s3 postfix/dnsblog[13899]: addr 109.160.96.102 listed by domain zen.spamhaus.org as 127.0.0.4 Mar 6 12:20:25 s3 postfix/postscreen[13898]: PREGREET 14 after 0.04 from [109.160.96.102]:62642: EHLO ylmf-pc\r\n Mar 6 12:20:25 s3 postfix/postscreen[13898]: DNSBL rank 2 for [109.160.96.102]:62642 Mar 6 12:20:25 s3 postfix/postscreen[13898]: HANGUP after 0.08 from [109.160.96.102]:62642 in tests after SMTP handshake Mar 6 12:20:25 s3 postfix/postscreen[13898]: DISCONNECT [109.160.96.102]:62642 Mar 6 12:20:25 s3 postfix/postscreen[13898]: CONNECT from [109.160.96.102]:62649 to [78.47.47.89]:25 Mar 6 12:20:25 s3 postfix/dnsblog[13899]: addr 109.160.96.102 listed by domain zen.spamhaus.org as 127.0.0.4 Mar 6 12:20:25 s3 postfix/postscreen[13898]: PREGREET 14 after 0.04 from [109.160.96.102]:62649: EHLO ylmf-pc\r\n Mar 6 12:20:25 s3 postfix/postscreen[13898]: DNSBL rank 2 for [109.160.96.102]:62649 Mar 6 12:20:25 s3 postfix/postscreen[13898]: HANGUP after 0.08 from [109.160.96.102]:62649 in tests after SMTP handshake Mar 6 12:20:25 s3 postfix/postscreen[13898]: DISCONNECT [109.160.96.102]:62649 Mar 6 12:20:25 s3 postfix/postscreen[13898]: CONNECT from [109.160.96.102]:62665 to [78.47.47.89]:25 Mar 6 12:20:25 s3 postfix/dnsblog[13899]: addr 109.160.96.102 listed by domain zen.spamhaus.org as 127.0.0.4 Mar 6 12:20:25 s3 postfix/postscreen[13898]: PREGREET 14 after 0.04 from [109.160.96.102]:62665: EHLO ylmf-pc\r\n Mar 6 12:20:25 s3 postfix/postscreen[13898]: DNSBL rank 2 for [109.160.96.102]:62665 Mar 6 12:20:25 s3 postfix/postscreen[13898]: HANGUP after 0.08 from [109.160.96.102]:62665 in tests after SMTP handshake Mar 6 12:20:25 s3 postfix/postscreen[13898]: DISCONNECT [109.160.96.102]:62665 Mar 6 12:20:25 s3 postfix/postscreen[13898]: CONNECT from [109.160.96.102]:62680 to [78.47.47.89]:25 Mar 6 12:20:25 s3 postfix/dnsblog[13899]: addr 109.160.96.102 listed by domain zen.spamhaus.org as 127.0.0.4 Mar 6 12:20:25 s3 postfix/postscreen[13898]: PREGREET 14 after 0.04 from [109.160.96.102]:62680: EHLO ylmf-pc\r\n Mar 6 12:20:25 s3 postfix/postscreen[13898]: DNSBL rank 2 for [109.160.96.102]:62680 Mar 6 12:20:25 s3 postfix/postscreen[13898]: HANGUP after 0.08 from [109.160.96.102]:62680 in tests after SMTP handshake Mar 6 12:20:25 s3 postfix/postscreen[13898]: DISCONNECT [109.160.96.102]:62680 Mar 6 12:20:25 s3 postfix/postscreen[13898]: CONNECT from [109.160.96.102]:62692 to [78.47.47.89]:25 Mar 6 12:20:25 s3 postfix/dnsblog[13899]: addr 109.160.96.102 listed by domain zen.spamhaus.org as 127.0.0.4 Mar 6 12:20:25 s3 postfix/postscreen[13898]: PREGREET 14 after 0.04 from [109.160.96.102]:62692: EHLO ylmf-pc\r\n Mar 6 12:20:25 s3 postfix/postscreen[13898]: DNSBL rank 2 for [109.160.96.102]:62692 Mar 6 12:20:26 s3 postfix/postscreen[13898]: HANGUP after 0.08 from [109.160.96.102]:62692 in tests after SMTP handshake Mar 6 12:20:26 s3 postfix/postscreen[13898]: DISCONNECT [109.160.96.102]:62692 Bevor mein fail2ban die Chance hatte die IP zu blocken, hat der Spammer schon etliche Wiederholungsversuche gemacht. Das möchte ich ein bisschen hinauszögern. Kein Spammer soll mehr als 3 Versuche bekommen. ;-) Gruss Jochen

4 3

Skript zur Anonymisierung von Postfix Logdateien
by Peter Heitzer 03 Mar '16

03 Mar '16

Gibt es ein fertiges Skript, um Postfix Logdateien (/var/log/mail) so zu anonymisieren, daß so eine Datei bedenkenlos für Auswertungszwecke weitergegeben werden kann? Es müssen alle Mailadressen, IP-Adressen und Hostnamen so umgesetzt werden, daß keinerlei Rückschlüsse auf die Originaldaten mehr möglich sind. Ein Hash ist IMO nicht ausreichend, da es möglich ist, bei bekannter Hashfunktion für lokale Mailadressen die Hashes zu berechnen und dann mit den anonymisierten Daten zu vergleichen. Lokale Mailadressen sind vom Campus aus via LDAP abrufbar. Meine Idee wäre, für eine Logdatei z.B. alle Local Parts (links vom @) und alle Domain Parts (rechts vom @) in Arrays einzulesen und dann nur den Index zu verwenden, also localpart12345@domainpart54321. Vielleicht hat schon jemand so etwas fertig, ansonsten muss ich mir selber was schreiben.

3 4

Relative sichere Absendervalidierung gesucht
by Peter Heitzer 03 Mar '16

03 Mar '16

Ich soll demnächst einen Service implementieren, der für die Sperrung von elektronischen Studentenkarten (bei Verlust usw.) verwendet werden soll. Über die elektronische Karte soll zukünftig eine Authentisierung an öffentlich aufgestellten Kopierern möglich sein. Die Information, und welche Kartennummer es sich handelt, wird durch eine generierte Mail von einem Rechner der Studentenverwaltung geliefert. Eine andere Möglichkeit der Datenübermittlung ist leider nicht möglich. Änderungen an den Maileinstellungen (z.B. SSL usw.) sind nicht möglich. Die Mail wird via eines unserer MTAs an eine Mailadresse wie z.B. kartensperrung(a)myserver.mydomain gesendet. Es sind also 3 Maschinen beteiligt. <Server Studentenverwaltung> --> MTA --> <Mein Server> Auf meinem Server soll ein Cronjob regelmässig die eingehende Mail auswerten und die Information an ein anderes System weitergeben. Um missbräuchliche Nutzung einzuschränken (vom Campus kann derzeit jeder direkt über die MTAs per SMPT Mails versenden), möchte ich den Transportheader auswerten und nur Mails verwenden, die ausschliesslich die IP-Adresse des Servers der Studentenverwaltung und eines der MTAs im Transportheader enthalten. Mein Server wird auch so eingestellt, daß er nur von den MTAs Mails annimmt. Ist dieses Verfahren hinreichend sichere ggü. Manipulationen oder gibt es eine elegantere Möglichkeit? Auf meinem Server habe ich alle Möglichkeiten, Postfix meinen Bedürfnissen anzupassen. Danke schon mal.

2 3