ibm—中國移動電子郵件安全配置手冊-全文預覽

　　

【正文】 甚而將郵件內容竄改再轉送。因此，若是非法人士假造身分送出錯誤的郵件內容，收件者也無法辨識其真偽。因此，安全的電子郵件傳遞協議，是享受電子溝通的便利與迅捷的一個重要大前提。身份認證與完整性的保障，可以防止信件的假造。這三項要素，也是區分不同通訊協議特性的重要指針：加密算法 加密算法的選擇，往往是加密系統中最重要的一個部分。因此，另一方面也必須注重效能的考量，必須選擇符合應用程序效能需求的算法。一般而言，數字證書包含了幾項信息，包括：使用者的公開鑰匙、辨認使用者身份 (如名字、地址…等)、電子簽章…等。更為糟糕的事情可能是你的名字可能會上了黑名單，成為其它郵件接收者共同抵制的目標，你的郵件將被這些接收者所拒絕，若是其發送的電子郵件含有惡意的意圖，亦會對公司產生名譽及法律上的傷害。14 / 1223. 電子郵件炸彈攻擊電子郵件炸彈是濫用者不斷送電子郵件給特定的受害人。. 建議改進措施根據上述的安全問題，公司的郵件服務器均應設置下列安全限制：1. mail relay 限制郵件服務器一般具有一個或若干個域名(這些域名應該出現在某個配置文件內)，郵件服務器在運行時將監聽 25 號端口，等待遠程的發送郵件的請求。關于各商用郵件服務器中間件的設定方式，如 IBM Lotus Domino 與 Microsoft Exchange 2022 Server 等，請另參閱該產品之安全配置手冊，本文件將僅以 UNIX 常見的 sendmail 服務作為說明。這些工具軟件應該要能檢查進出的封包，是否在很短的時間內有來自相同的位置一直送。 考慮設定郵件控制程序，傳送你的郵件到每個使用者都有配額的檔案系統。因此，針對個人的郵件軟件及個人使用行為，可以參考下列建議：給電子郵件加密郵件本身的安全首先要保證郵件不被無關的人竊取或更改，同時接收者也必須能確定該郵件是由合法發送者發出的。接受者能使用他的公鑰進行解密，然后重新生成指紋進行比較，這保證郵件是由他本人發送而非假冒，同時也保證郵件在發送過程中沒有被更改，這個過程稱為數字簽名和核實。他們可能的搜索目標是各個網址、聊天室、網上討論區、新聞組、公共討論區以及其它任何能夠充實他們業已龐大的數據庫的地方。但這種做法有時會誤刪除一些有用的電子郵件。19 / 122第 4 章. 電子郵件安全檢查清單電子郵件系統的管理員可以參考下列清單，自我檢查現有系統設計的安全性：? 電子郵件主機是否有受到防火墻 firewall的保護防止被黑客入侵攻擊 ? ? 電子郵件主機應裝置于防火墻的DMZ 公開網站非軍事區。 由于Sendmail郵件服務器的特點是功能強大而復雜，因此為保證Sendmail的安全性，需要做以下一些工作。當它與sendmail程序一起使用的時候，smrsh有效的將sendmail可以執行的程序的范圍限制在smrsh目錄之下。 使用以下命令允許 mail 程序/bin/mail運行： [rootdeep] cd /etc/smrsh [rootdeep] ln s /bin/mail mail 用以下命令允許 procmail 程序/usr/bin/procmail運行： 22 / 122[rootdeep] cd /etc/smrsh [rootdeep] ln s /usr/bin/procmail procmail 這將允許位于.forward和aliases中的用戶采用|program語法來運行mail 及 procmail 程序。將/bin/sh替換為/usr/sbin/smrsh。 這樣做的目的是為用戶提供一個通過mail傳輸二進制文件的方便的方式。類似的，對于所有用于執行沒有被放在smrsh目錄下的程序的別名，你都要仔細的檢查，可能它們都值得懷疑并應當刪除它們。編輯你的/etc/文件，修改一下這個配置文件，使你的郵件服務器能夠擋住欺騙郵件。 SMTP的問候信息 當 sendmail接受一個SMTP連接的時候，它會向那臺機器發送一個問候信息，這些信息作為本臺主機的標識，而且它所做的第一件事就是告訴對方它已經準備好了。你應該把`C=xx L=xx條目中的xx換成你所在的國家和地區代碼。為了限制可以審核郵件隊列內容的人員，只需要在/etc/文件中指定restrictmailq選項即可。 任何一個沒有特權的用戶如果試圖查看郵件隊列的內容會收到下面的信息： [userdeep]$ /usr/bin/mailq You are not permitted to see the queue 限制處理郵件隊列的權限為root 通常，任何人都可以使用q開關來處理郵件隊列，為限制只允許root處理郵件隊列，需要在/etc/文件中指定restrictqrun。 為文件設置不可更改位： [rootdeep] chattr +i /etc/ 為文件設置不可更改位： [rootdeep] chattr +i /etc/ 為文件設置不可更改位： [rootdeep] chattr +i /etc/ 為文件設置不可更改位： [rootdeep] chattr +i /etc/ 為aliases文件設置不可更改位： [rootdeep] chattr +i /etc/aliases 為access文件設置不可更改位 ： 27 / 122[rootdeep] chattr +i /etc/mail/access Sendmail環境下的防止郵件relay ，缺省的是不允許郵件轉發(mail relay)的。FEATURE(relay_hosts_only). 通常情況下，在文件 /etc/mail/relaydomains 中列出的域名的主機都允許通過本地機轉發，而該設置指示指定必須羅列出每個允許通過本機轉發郵件的主機。 FEATURE(access_db). 該參數指定利用哈希數據庫 /etc/mail/access 來決定是否允許某個主機通過本地進行郵件轉發。 FEATURE(rbl).允許基于 由黑名單 (Realtime Blackhole List)進行郵件拒絕，以防范垃圾郵件。 FEATURE(accept_unresolvable_domains).通常來講， sendmail 拒絕接受發送者郵件地址指定的主機通過 DNS 不能解析的郵件，而該參數允許接收這種郵件。 宏配置文件設置成功以后，可以用下面的命令創建 sendmail的配置文件： [rootdeep] cd /var/tmp/sendmailversion/cf/cf/ [rootdeep] m4 ../m4/ /etc/ /etc/ 注意：這里../m4/告訴 m4 程序的缺省配置文件路徑。Domino 服務器既可作為 Inter 郵件服務器（使用簡單郵件傳輸協議 (SMTP)、多用途 Inter 郵件擴充 (MIME)、郵局協議版本 3 (POP3) 和因特網消息訪問協議 (IMAP)），又可以作為 Notes 郵件服務器。可使用郵件遷移工具和消息傳送代理將郵件從其他系統遷移到強大而支持多種協議的 Domino 郵件服務器系統。用戶使用客戶機（例如：Lotus Notes）創建郵件消息，并通過 Domino 郵件服務器發送郵件。因為 Domino 自動在同一 Notes 命名網絡域中的服務器間路由郵件，所以不需要創建“連接”文檔設置同一 Notes 命名網絡域中的服務器間的路由。如果已經設置了復制，則可能已創建了數個需要的“連接”文檔。在相鄰 Notes 網絡域中 兩個“連接”文檔，每個 Notes 網絡域中一個，確保兩個方向的郵件路由。到一臺啟用了 SMTP 的服務器一個“外部 SMTP 網絡域 ”文檔確定發送郵件到 Inter 的位置（如果在所有的服務器都沒有 SMTP 路由）。 3. 在 Domino Administrator 中，單擊“配置”附簽，然后展開“消息。第 3 章. 設置 SMTP 路由. 啟用到本地 Inter 網絡域外部的 SMTP 路由： 1. 確保已準備好發送郵件到 Inter 的系統。兩個“非相鄰網絡域”文檔，每個非相鄰的 Notes 網絡域一個，將中間網絡域連接到第一個和第三個網絡域。下面表格描述了典型連接類型和設置它們需要的文檔。如何為 Notes 路由創建連接依賴于：? 兩個服務器的位置：同一 Notes 命名網絡、同一 Notes 網絡域、相鄰 Notes 網絡域、非相鄰 Notes 網絡域? 兩個服務器要求的連接類型：LAN、Notes 直接連接、網絡撥號或中繼服務器此外，如何路由郵件（即：從一個服務器雙向、僅到一個服務器、僅從一個服務器）決定需要創建的“連接”文檔數。收件人所以客戶機閱讀消息。Domino 系統中的每個郵件用戶在 Domino 郵件服務器上都有一個郵件文件。Domino Router 和客戶機郵件軟件根據收件人的慣用選項來優化消息格式，但是如果需要在原始 Domino 格式（多用途 Inter 郵件擴充 (MIME) 和 Notes RTF 文本）之間進行轉換，Domino 會自動進行轉換。Domino 支持下列 Inter 郵件標準：簡單郵件傳輸協議 (SMTP)、郵局協議版本 3 (POP3)、因特網消息訪問協議 (IMAP) 和多用途 Inter 郵件擴充 (MIME)，它也提供強大而豐富的 Notes 郵件。 FEATURE(relay_based_on_MX).該參數允許轉發郵件接受者地址的 MX記錄指向本地的的郵件，例如，而 域名的 MX 記錄指向了本地機器，則本地機器就允許轉發該郵件。 FEATURE(accept_unqualified_senders).允許接受發送者地址不包括域名的郵件，例如 user。 FEATURE(blacklist_recipients).若該參數被設置，則在決定是否允許某個主機轉發郵件時同時察看郵件發送著地址和郵件接受者地址。 FEATURE(relay_entire_domain). 該參數指示允許所有本地域通過本機進行郵件轉發。該文件中列出的域名內的信件都允許通過本地服務器進行郵件轉發。具有+i屬性的文件不能被修改：它不能被刪除和改名，不能創建到這個文件的鏈接，不能向這個文件寫入數據。這將允許權限為0700的郵件隊列目錄被完全保護起來，而我們限定的合法用戶仍然可以看到它的內容。但這是新聞組的伙伴們推薦的合法做法。 $b 改為： O SmtpGreetingMessage=$j Sendmail $v/$Z。設置novrfy使sendmail禁止所有SMTP的VRFY 命令。s mail root: marc 最后應該運行/usr/bin/newaliases 程序使改動生效 避免你的Sendmail被未授權的用戶濫用 最新版本的Sendmail ()加入了很強的防止欺騙的特性。那個別名通過管道把郵件消息發送到/usr/bin/uuencode程序，由這個程序來完成從ASCII轉回到原始的二進制文件的工作。例如，很多發行版本在別名文件中帶有decode別名。mailer 程序在 sendmail 的配置文件/etc/中僅有一行。缺省情況下應當包含以下命令，但不局限于這些命令： /bin/mail (如果在你的系統中安裝了的話) /usr/bin/procmail (如果在你的系統中安裝了的話) 注意：不可在命令列表里包括命令解釋程序，例如sh(1)，csh(1)，perl(1)，uudecode(1)及流編輯器sed(1)。smrsh是一種受限shell工具，它通過/etc/smrsh目錄來明確指定可執行文件的列表。 周。例如我們以Outlook Express為例，打開工具→郵件規則，點擊新增，在新郵件規則對話窗口中依據你的信箱容量（比如最大 5M）在條件對話框中選擇大于項，然后在數值欄中填寫數值（比如 5M） 然后，在操作對話框中選擇從服務器上刪除選項，今后，只要你的郵件服務器收到體積超過 5M 的大郵件時，都會自動進行刪除，從而保證了你的信箱安全。采用過濾功能在電子郵件中安裝一個過濾器（比如說 Email notify）可以說是一種最有效的防范措施。不隨意公開自己的信箱地址有許多用戶可能不明白，這些垃圾郵件制造者不知道自己的電子郵件地址，怎能發信給自己呢？其實這并不是這些垃圾郵件制造者多神通，而是我們用戶自己在不經意間把自己的地址留在了 Inter 上。實際使用中，用戶自己持有一把鑰匙，稱為私鑰，將另一把鑰匙公開，這把鑰匙稱為公鑰。 教育使用者有電子郵件炸彈的觀念，不要幫忙轉送或回復電子郵件炸彈，也可以減少遭受電子郵件炸彈攻擊的可能性。 假若使用很少的 mail 服務器，可以設定防火墻來確保所有 SMTP 封包都送到集中的 集中地。詳細的設定請參考 小節關閉 expn/vrfy 指令在 上加上這行參數：O PrivacyOptions=noexpn,novrfy16 / 122很不幸地，目前沒有方法能夠百分之百地預防電子郵件炸彈(除非不要連到inter)，也無法預測攻擊的來源，因為要做到 spamming 的攻擊是一件相當簡單的工作。這時候本地系統可能有兩種回答，接受它： 250 OK 或者拒絕接受它: 553 sorry,.th