深度剖析 Qmail郵件系統(tǒng)的安全分析和改進(jìn)研究
本文首先指出了著名的開(kāi)源郵件系統(tǒng)Qmail在安全方面存在的問(wèn)題，并借用UNIX系統(tǒng)上現(xiàn)有的安全工具對(duì)Qmail現(xiàn)存的安全隱患加以解決，接著介紹了一種比Base64編碼效率更高的Base91編碼技術(shù)對(duì)郵件編碼進(jìn)行改進(jìn)。最后利用實(shí)驗(yàn)室的平臺(tái)基本實(shí)現(xiàn)了該高速、簡(jiǎn)潔、安全的郵件系統(tǒng)。
引言
郵件服務(wù)是Internet中使用率僅次于WWW的服務(wù)，一個(gè)郵件服務(wù)器主要包括三個(gè)主要的功能：郵件傳輸代理MTA(Mail Transport Agent)，郵件分發(fā)代理MDA(Mail Delevery Agent)，郵件用戶(hù)代理MUA(Mail User Agent)。前兩者是核心模塊，負(fù)責(zé)郵件收發(fā)和處理。
Qmail是全球安裝使用量?jī)H次于Linux/Unix上缺省安裝的的Sendmail的郵件服務(wù)器軟件，到目前為止Qmail的MTA依然是世界上轉(zhuǎn)發(fā)速度最快的郵件傳輸代理[1]，Qmail幾乎兼容所有的Linux/Unix類(lèi)操作系統(tǒng)。由于在Linux/Unix類(lèi)型的操作系統(tǒng)中，Sendmail被缺省安裝，所以其使用量在該領(lǐng)域位居首位，但是其配置煩瑣，而且僅僅支持單文件(/var/spool/mail/$USER)方式存儲(chǔ)用戶(hù)所有郵件，導(dǎo)致郵件收發(fā)僅能串行處理，效率低下，而且一旦存取該文件出錯(cuò)，用戶(hù)的全部郵件將丟失。而Qmail支持以目錄的形式管理用戶(hù)的郵件[3]($HOME/Maildir),在數(shù)據(jù)安全和存取速度上比前者都有明顯的優(yōu)勢(shì)。Qmail的整體模塊如圖1[2]所示,主要由MTA、MDA、MUA三大部分組成?！ ?/P>
由于體系結(jié)構(gòu)比X.400 MHS(Message Handling System)體系簡(jiǎn)單，而且是基于TCP/IP協(xié)議，SMTP(Simple Mail Transfer Protocol)已成為事實(shí)上的郵件協(xié)議標(biāo)準(zhǔn)，由于該協(xié)議設(shè)計(jì)過(guò)于簡(jiǎn)單，其報(bào)文在網(wǎng)絡(luò)上用明文方式傳輸，給網(wǎng)絡(luò)監(jiān)聽(tīng)者帶來(lái)了極大的方便，Qmail系統(tǒng)的MTA協(xié)議用的就是SMTP，郵件在傳輸途中很容易被截獲。
目前的Internet上垃圾、反動(dòng)、病毒郵件泛濫，Qmail在設(shè)計(jì)時(shí)對(duì)這三個(gè)方面的安全問(wèn)題考慮不足。
本文針對(duì)上述的問(wèn)題，結(jié)合新的編碼技術(shù)和UNIX系統(tǒng)現(xiàn)有的一些安全工具對(duì)其加以研究、改進(jìn)。
1 問(wèn)題的提出
垃圾郵件、反動(dòng)郵件和病毒郵件是目前對(duì)所有郵件用戶(hù)最大的威脅。從框架圖來(lái)看，qmail的MTA和MDA中沒(méi)有任何對(duì)郵件的檢測(cè)和過(guò)濾的措施，無(wú)疑對(duì)上述安全問(wèn)題沒(méi)有任何防護(hù)能力。
1.1針對(duì)垃圾郵件
Qmail缺省不支持對(duì)Smtp用戶(hù)的認(rèn)證，這就是說(shuō)，任何能訪(fǎng)問(wèn)該Qmail服務(wù)器的用戶(hù)均能利用它來(lái)向任何地址發(fā)送郵件，對(duì)于那些想利用郵件列表發(fā)布郵件廣告的商人，或想借他人主機(jī)發(fā)送大量攻擊性郵件的黑客來(lái)說(shuō)，其可以被輕而易舉地被拿來(lái)直接達(dá)到目的。事實(shí)統(tǒng)計(jì)90%的垃圾郵件是從那些打開(kāi)了開(kāi)放性轉(zhuǎn)發(fā)(Open Relay)權(quán)限的服務(wù)器發(fā)出的。
1.2針對(duì)反動(dòng)、色情郵件等非法郵件
反動(dòng)、色情郵件主要是指郵件的內(nèi)容中有違反國(guó)家法律的反動(dòng)信息和黃色信息，這些信息通常也是使用郵件列表進(jìn)行傳播，其性質(zhì)較商業(yè)廣告垃圾郵件惡劣，對(duì)社會(huì)產(chǎn)生很大的負(fù)面影響。Qmail沒(méi)有任何基于內(nèi)容的過(guò)濾模塊，不能攔截該類(lèi)郵件。
1.3針對(duì)病毒郵件
病毒郵件是指攜帶了病毒體的郵件報(bào)文，該類(lèi)郵件一般通過(guò)附件來(lái)攜帶病毒文件，如果要過(guò)濾該類(lèi)惡意郵件，要求MTA、MDA、MUA三個(gè)模塊中至少有一個(gè)模塊擁有病毒查殺模塊，Qmail設(shè)計(jì)中沒(méi)有考慮到這一點(diǎn)，這也是Qmail系統(tǒng)存在的一大安全問(wèn)題。
1.4針對(duì)報(bào)文的明文傳輸
基于SMTP協(xié)議的Qmail直接進(jìn)行郵件收發(fā)對(duì)報(bào)文僅僅進(jìn)行了簡(jiǎn)單的編碼，對(duì)于郵件體甚至沒(méi)有進(jìn)行任何編碼，利用網(wǎng)絡(luò)竊聽(tīng)工具可以輕易獲取郵件內(nèi)容，圖2是用著名的網(wǎng)絡(luò)竊聽(tīng)器ethereal截獲的郵件報(bào)文，從中我們知道這封郵件收發(fā)人的郵件地址、發(fā)送使用的MDA、編碼方式、郵件體的類(lèi)型、和信件的所有內(nèi)容。如果有附件，我們可以根據(jù)已知的編碼方式對(duì)其進(jìn)行反編碼獲得最后的原始文件，所以毫無(wú)保密性可言?！ ?/P>
1.5針對(duì)用戶(hù)的管理
Qmail設(shè)計(jì)成和操作系統(tǒng)共用用戶(hù)，UNIX操作系統(tǒng)的用戶(hù)數(shù)據(jù)庫(kù)是一個(gè)文件，缺省為/etc/passwd文件，隨之帶來(lái)的問(wèn)題就是添加郵件的用戶(hù)必須同時(shí)添加一個(gè)系統(tǒng)用戶(hù)，因?yàn)閷?duì)于服務(wù)器來(lái)說(shuō)多一個(gè)系統(tǒng)用戶(hù)就等于系統(tǒng)多一個(gè)可以被用來(lái)入侵的途徑，就等于要多耗費(fèi)一個(gè)用戶(hù)配置文件的存儲(chǔ)空間，這將主要導(dǎo)致安全隱患和系統(tǒng)資源的浪費(fèi)。
1.6針對(duì)訪(fǎng)問(wèn)權(quán)限的控制
Inetd是UNIX操作系統(tǒng)用來(lái)調(diào)用一些基本服務(wù)如Ftp、Telnet的特殊守護(hù)進(jìn)程，Smtp和Pop(Post Office Protocol)協(xié)議也可以用其來(lái)啟動(dòng)，Qmail在沒(méi)有第三方工具的支持時(shí)僅能使用Inetd來(lái)調(diào)用。隨Inetd帶來(lái)的問(wèn)題就是不能控制訪(fǎng)問(wèn)郵件服務(wù)的IP地址的范圍，在已知非法用戶(hù)或惡意攻擊者的IP地址的情況下，不能拒絕對(duì)他們提供服務(wù)，對(duì)服務(wù)器安全不利。
2 現(xiàn)有的基于UNIX的安全工具
UNIX系統(tǒng)下有很多開(kāi)放源代碼的軟件包，他們一般由很多程序員自發(fā)組織進(jìn)行開(kāi)發(fā)。在安全領(lǐng)域，已有很多流行軟件包可以解決Qmail存在的大部分安全問(wèn)題。
2.1密碼認(rèn)證工具
2.1.1 checkpassword
是一個(gè)基于/etc/passwd進(jìn)行認(rèn)證的工具，第三方的程序可以將其作為和系統(tǒng)用戶(hù)數(shù)據(jù)庫(kù)進(jìn)行交互的代理，對(duì)系統(tǒng)用戶(hù)進(jìn)行認(rèn)證操作。
2.1.2 cmd5checkpw[4]
cmd5checkpw是一個(gè)和checkpasswd兼容的支持CRAM-MD5算法進(jìn)行認(rèn)證的工具。只要支持checkpasswd進(jìn)行系統(tǒng)用戶(hù)認(rèn)證的程序均可以使用其來(lái)支持CRAM-MD5算法對(duì)數(shù)據(jù)進(jìn)行信息摘要，防止密碼被盜取。
2.1.3 vchkpw
vchkpw是Vpopmail工具集中一個(gè)認(rèn)證工具，
2.1.4 qmail-Smtp-auth[5]
qmail-Smtp-auth是Mrs.Brisby開(kāi)發(fā)的讓Qmail支持Smtp認(rèn)證的補(bǔ)丁程序的升級(jí)版本，后者僅僅支持基于LOGIN方式的認(rèn)證,前者加入PLAIN和CRAM-MD5認(rèn)證機(jī)制并且還支持認(rèn)證方法的后續(xù)添加。
2.2傳輸過(guò)程的加密工具
2.2.1 OPENSSL[6]
OPENSSL是由全世界自愿者開(kāi)發(fā)的開(kāi)放源代碼的SSL(Secure Sockets Layer)協(xié)議的實(shí)現(xiàn)工具集，其支持SSL v2/v3和TLS v1(Transport Layer Security)協(xié)議并擁有一個(gè)非常強(qiáng)大的密碼庫(kù)。
SSL[7]是一個(gè)用將用戶(hù)數(shù)據(jù)用非對(duì)稱(chēng)加密方法加密后在互聯(lián)網(wǎng)上進(jìn)行安全傳輸?shù)膮f(xié)議，使用該協(xié)議能很好地杜絕竊聽(tīng)者用嗅探器抓取信息明文的事件發(fā)生。
2.3訪(fǎng)問(wèn)控制工具
2.3.1 Ucspi-tcp[8]
Ucspi-tcp是一個(gè)基于UNIX的用來(lái)給網(wǎng)絡(luò)應(yīng)用程序提供安全TCP連接的程序，主要包括服務(wù)模塊(tcpserver)和客戶(hù)模塊(tcpclient)兩個(gè)部分，其中在服務(wù)器模塊中具有訪(fǎng)問(wèn)控制特性，此特性允許對(duì)客戶(hù)端的訪(fǎng)問(wèn)權(quán)限進(jìn)行限制。
2.4用戶(hù)管理工具
2.4.1 vpopmail
Vpopmail是UNIX上的一個(gè)創(chuàng)建和管理郵件虛擬域(Virtual Domain)的工具包，包括管理虛擬域、管理用戶(hù)的工具和密碼認(rèn)證模塊，它可以使一個(gè)郵件服務(wù)器提供多種“@domain”給用戶(hù)選擇，并且支持用數(shù)據(jù)庫(kù)來(lái)存儲(chǔ)和認(rèn)證用戶(hù)。
2.4.2 Mysql數(shù)據(jù)庫(kù)[9]
Mysql是一個(gè)全世界使用最多的開(kāi)源數(shù)據(jù)庫(kù)軟件，其運(yùn)行方式是Server-Client方式，目前基于UNIX的大型應(yīng)用程序均對(duì)其支持，包括前面提到的Vpopmail工具包。
#p#
3 問(wèn)題的分析解決
3.1問(wèn)題的分析
Qmail產(chǎn)生安全問(wèn)題的關(guān)鍵在于其僅僅是一個(gè)出色MTA和MDA，其僅僅實(shí)現(xiàn)了郵件服務(wù)器的基本功能，在于沒(méi)有考慮到現(xiàn)實(shí)網(wǎng)絡(luò)中的安全問(wèn)題。利用上面介紹的一些工具，可以把Qmail在安全方面的漏洞一一補(bǔ)全。
3.2 問(wèn)題的解決
3.2.1針對(duì)垃圾郵件的解決方案
qmail-Smtp-auth是針對(duì)qmail開(kāi)放性轉(zhuǎn)發(fā)無(wú)法關(guān)閉的漏洞設(shè)計(jì)的補(bǔ)丁，使用這個(gè)補(bǔ)丁生成的Smtpd守護(hù)進(jìn)程要求郵件發(fā)送者不能直接發(fā)送郵件，必須在發(fā)送時(shí)同時(shí)提供有效的用戶(hù)名和密碼。不過(guò)該補(bǔ)丁無(wú)法提供用戶(hù)身份鑒別功能，所以它必須結(jié)合一個(gè)密碼驗(yàn)證工具作為和用戶(hù)驗(yàn)證數(shù)據(jù)庫(kù)之間的代理。
在前面介紹的密碼驗(yàn)證工具中checkpassword結(jié)合cmd5checkpw作為驗(yàn)證代理能提供對(duì)Linux/Unix的系統(tǒng)用戶(hù)進(jìn)行認(rèn)證，基于這種方式進(jìn)行認(rèn)證的系統(tǒng)允許Linux/Unix操作系統(tǒng)內(nèi)部用戶(hù)使用Smtp發(fā)送和轉(zhuǎn)發(fā)郵件;另外一種更好的密碼驗(yàn)證方法在安裝了vpopmail后可以使用，該方法的用一個(gè)可以從Mysql數(shù)據(jù)庫(kù)取出用戶(hù)數(shù)據(jù)來(lái)進(jìn)行驗(yàn)證的工具vchkpw來(lái)實(shí)現(xiàn)，該工具比checkpassword好在可以讓Qmail的用戶(hù)數(shù)據(jù)不局限于用操作系統(tǒng)的系統(tǒng)用戶(hù)，增強(qiáng)了用戶(hù)認(rèn)證的靈活性、安全性和高效性。
3.2.2針對(duì)反動(dòng)、色情郵件等非法郵件
針對(duì)這個(gè)問(wèn)題，還很少見(jiàn)現(xiàn)成的基于UNIX的工具可以支持對(duì)郵件的內(nèi)容進(jìn)行過(guò)濾，所以在這里本文僅能提一些設(shè)想。
從圖1我們可以看到，在框圖的上部分Qmail的MTA負(fù)責(zé)把收到的郵件放入排隊(duì)隊(duì)列，之后排隊(duì)程序按照郵件的目的地址決定郵件發(fā)往本地郵箱目錄存儲(chǔ)還是發(fā)往下一個(gè)郵件服務(wù)器。在這個(gè)排隊(duì)隊(duì)列的處理程序中，可以加入一些基于文本、圖像、聲音、視頻等內(nèi)容過(guò)濾的程序代碼，從而實(shí)現(xiàn)對(duì)非法郵件的過(guò)濾。
3.2.3針對(duì)病毒郵件
對(duì)付病毒郵件的方法和前面的基于內(nèi)容的過(guò)濾方式基本上相同，不過(guò)在排隊(duì)過(guò)程中，郵件必須通過(guò)殺毒軟件的檢測(cè)，由于殺毒軟件本身涉及龐大的病毒庫(kù)，一般直接使用由殺毒軟件公司提供的模塊是比較可行的方案。
3.2.4針對(duì)報(bào)文的明文傳輸
前面提到的SSL是專(zhuān)門(mén)用來(lái)對(duì)TCP協(xié)議的數(shù)據(jù)報(bào)進(jìn)行用非對(duì)稱(chēng)密碼進(jìn)行加密傳輸。SMTP是運(yùn)行在TCP協(xié)議之上的應(yīng)用層協(xié)議，自然可以借助SSL來(lái)杜絕明文數(shù)據(jù)傳輸。在UNIX環(huán)境下，借助OPENSSL可以免費(fèi)地獲得這種服務(wù)。
3.2.4針對(duì)用戶(hù)的管理
為了節(jié)約系統(tǒng)資源、增強(qiáng)安全性和提高效率，應(yīng)該盡量避免使用系統(tǒng)用戶(hù)來(lái)作為郵件用戶(hù)，vpopmail工具集提供的豐富的用戶(hù)管理工具，利用vadduser、udeluser、vpasswd、vadddomain等工具可以輕松地增減郵件用戶(hù)、修改密碼和增減虛擬域，而且支持絕大多數(shù)的數(shù)據(jù)庫(kù)，包括最著名的開(kāi)源數(shù)據(jù)庫(kù)軟件Mysql。
3.2.5針對(duì)訪(fǎng)問(wèn)權(quán)限的控制
由于Qmail缺省借用Inetd來(lái)同外界進(jìn)行TCP連接，不能對(duì)來(lái)訪(fǎng)的IP地址進(jìn)行限定，導(dǎo)致安全隱患諸多。所以必須借助目前UNIX中廣泛使用的TCP連接工具Ucspi-tcp來(lái)建立連接，其中的服務(wù)器模塊tcpserver可以設(shè)定deny、allow等參數(shù)來(lái)拒絕和允許來(lái)訪(fǎng)IP地址。
3.3針對(duì)性能的一些改進(jìn)
由于SMTP的傳輸機(jī)制是以7bit的二進(jìn)制編碼的ASCII字符為基礎(chǔ)的，雖然SMTP擴(kuò)展允許發(fā)送8bit的二進(jìn)制數(shù)據(jù)，但是有一些非Internet網(wǎng)關(guān)是不能夠正確處理的。因此要確保二進(jìn)制信息在傳輸過(guò)程中的完整性必須先對(duì)其進(jìn)行編碼[10]。目前最常用的編碼是quoted-printable和base64編碼，前者主要針對(duì)非附件部分的文本進(jìn)行編碼，后者主要針對(duì)附件進(jìn)行編碼。由于base64是把6比特二進(jìn)制數(shù)據(jù)用一個(gè)字節(jié)的ASCII碼來(lái)表示，其帶寬利用率僅僅為0.75，效率比較低，增加了網(wǎng)絡(luò)的負(fù)擔(dān)?，F(xiàn)在一種名為base91[10]的新編碼方法已在1999被西南交通大學(xué)的何大可教授提出了，該編碼使用了92(包括空格)個(gè)可打印字符作為映射集，把輸入的消息比特切分為13比特的分組作為映射源，編碼的源字節(jié)數(shù)比較大(大于64K)的時(shí)候其編碼的帶寬利用率接近于81.25%，比base64提高了大約6個(gè)百分點(diǎn)，所以在對(duì)附件(一般大于64K)的編碼方案上base91是Qmail比base64更好的選擇。
3.2.4對(duì)Webmail的支持
Webmail是web和mail結(jié)合的產(chǎn)物，其作用是提供一個(gè)基于Web界面的MUA，用戶(hù)可以登陸郵件服務(wù)器的網(wǎng)站來(lái)收發(fā)自己的信件，Qmail沒(méi)有Webmail模塊，這部分單獨(dú)進(jìn)行開(kāi)發(fā)很容易，后臺(tái)可以選用PHP、JSP、ASP、CGI等流行動(dòng)態(tài)網(wǎng)頁(yè)編程語(yǔ)言，它們都有相關(guān)函數(shù)對(duì)用戶(hù)進(jìn)行認(rèn)證和對(duì)用戶(hù)郵箱目錄進(jìn)行存取并結(jié)合數(shù)據(jù)庫(kù)管理郵件用戶(hù)的所有數(shù)據(jù)。
3.4 安全郵件服務(wù)器的實(shí)現(xiàn)
依照前面的分析，在本文的最后對(duì)上述的設(shè)想在作者本人實(shí)驗(yàn)室的服務(wù)器上加以了實(shí)現(xiàn)?！ ?/P>
該系統(tǒng)運(yùn)行的操作系統(tǒng)平臺(tái)為Freebsd[11]， Webmail平臺(tái)為Apache服務(wù)器，數(shù)據(jù)庫(kù)選擇了Mysql，使用Openssl作為T(mén)CP傳輸加密軟件。
從圖3我們可以看到，外部服務(wù)器和客戶(hù)端(因?yàn)閷?duì)于本服務(wù)器它們都相當(dāng)于客戶(hù)角色，后面統(tǒng)稱(chēng)客戶(hù))通過(guò)Tcpserver來(lái)和本服務(wù)器連接并進(jìn)行Smtp傳輸， 利用Tcpserver的allow、deny等命令參數(shù)可以限定客戶(hù)的IP地址范圍。在建立連接后，轉(zhuǎn)向qmail-smtpd-auth模塊進(jìn)行認(rèn)證，qmail-smtpd-auth借助vchkpw來(lái)用加密的方式將客戶(hù)提供的用戶(hù)名和密碼與Mysql數(shù)據(jù)庫(kù)進(jìn)行對(duì)比認(rèn)證，當(dāng)認(rèn)證通過(guò)后，客戶(hù)的郵件報(bào)文被放入郵件隊(duì)列等待處理。在這個(gè)階段，可以加入基于文本、圖像、聲音或視頻的過(guò)濾模塊對(duì)郵件進(jìn)行過(guò)濾，也可以放置病毒查殺模塊對(duì)帶病毒郵件進(jìn)行處理，合法的郵件將由qmail-send模塊根據(jù)郵件目的地址判斷是轉(zhuǎn)交給郵件外發(fā)模塊還是存儲(chǔ)到本地郵箱目錄，在郵件外發(fā)模塊qmail-remote將Base64編碼方法替換成為Base91，提高了編碼效率。
郵件用戶(hù)在發(fā)送郵件的時(shí)候可以用基于Smtp的客戶(hù)端工具也可以直接使用Webmail，前者的流程剛才已經(jīng)介紹過(guò)了，后者的認(rèn)證依靠Webmail同Mysql用戶(hù)數(shù)據(jù)庫(kù)進(jìn)行交互來(lái)判斷用戶(hù)是否合法，合法的郵件由qmail-inject模塊交付qmail-queue進(jìn)入郵件隊(duì)列，接下來(lái)的過(guò)程同基于smtp的發(fā)送流程一致。
郵件用戶(hù)再收取郵件的時(shí)候可以使用Webmail和基于Pop協(xié)議的客戶(hù)程序，前者在用戶(hù)通過(guò)驗(yàn)證后根據(jù)用戶(hù)名去讀取該用戶(hù)的郵件信息然后用Web頁(yè)面的方式反饋給用戶(hù)。后者首先用vchkpw來(lái)驗(yàn)證用戶(hù)，然后通過(guò)Pop協(xié)議把該用戶(hù)郵件下載到用戶(hù)機(jī)本地磁盤(pán)上保存。
經(jīng)過(guò)安裝和運(yùn)行，基本上驗(yàn)證了該系統(tǒng)的安全性，由于沒(méi)有龐大的用戶(hù)群來(lái)做重負(fù)荷測(cè)試，對(duì)該系統(tǒng)的運(yùn)行速度和負(fù)荷能力還未能測(cè)試，但官方的資料顯示Qmail在16MB內(nèi)存486/66級(jí)別的機(jī)器上擁有日發(fā)7萬(wàn)封郵件的能力[12]。基本的安全問(wèn)題已經(jīng)解決，如果在過(guò)濾和殺毒方面如果能加以很好實(shí)現(xiàn)，這將是一個(gè)非常完善的系統(tǒng)。
通過(guò)文章的分析和研究，我們可以清楚的知道如何實(shí)現(xiàn)Qmail安全性高，希望對(duì)大家有所幫助！
【編輯推薦】
