Размещено на http://www.allbest.ru/

Содержание

Введение

Глава 1. Базовые понятия систем электронной почты

1.1 Архитектура электронной почты

1.2 Современная архитектура (SMTP)

1.2.1 Релеи

1.2.2 Маршрутизация почты

1.3 POP3

1.4 IMAP

Глава 2. Безопасность системы электронной почты

2.1 Основные угрозы почтовой службе

2.2 Безопасные протоколы

2.2.1 PGP

2.2.2 S/MIME

2.2.3 HTTPS

Глава 3. Безопасность почтового сервера

Заключение

Список литературы

Приложение 1

Приложение 2

Приложение 3

Приложение 4



Введение

Электронная почта становится все более важным условием ведения повседневной деятельности. Организациям нужны политики для электронной почты, чтобы помочь сотрудникам правильно ее использовать, уменьшить риск умышленного или неумышленного неправильного ее использования, и чтобы гарантировать, что официальные документы, передаваемые с помощью электронной почты, правильно обрабатываются. Электронная почта становится все более важным условием ведения повседневной деятельности. Организациям нужны политики для электронной почты, чтобы помочь сотрудникам правильно ее использовать, уменьшить риск умышленного или неумышленного неправильного ее использования, и чтобы гарантировать, что официальные документы, передаваемые с помощью электронной почты, правильно обрабатываются. Прежде всего, безопасность должна обеспечивать на почтовом сервере. В данной работе будут рассмотрены варианты обеспечения безопасности почтовой службы непосредственно на почтовом сервере.



1. Базовые понятия систем электронной почты

1.1 Архитектура электронной почты

Электронная почта -- технология и предоставляемые ею услуги по пересылке и получению электронных сообщений (называемых «письма» или «электронные письма») по распределённой (в том числе глобальной) компьютерной сети.

Почтовый сервер, сервер электронной почты, мейл-сервер -- в системе пересылки электронной почты так обычно называют агент пересылки сообщений (mail transfer agent, MTA). Это компьютерная программа, которая передаёт сообщения от одного компьютера к другому. Обычно почтовый сервер работает «за кулисами», а пользователи имеют дело с другой программой -- клиентом электронной почты (mail user agent, MUA).

Система электронной почты состоит из многих компонентов. Они могут быть выполнены в виде одной или нескольких программ. Рис. 1 показывает самый общий сценарий при одностороннем почтовом обмене.

Рисунок 1. Архитектура электронной почты

На Рис. 1 представлены следующие основные компоненты:

1. Пользовательский почтовый агент (MUA -- Message User Agent).

2. Транспортный агент (МТА -- Message Transfer Agent).

3. Агент подачи сообщений (MSA -- Message Submission Agent).

4. Агент доставки почты (АДП).

5. Агент доступа (АД).

1. Пользовательский почтовый агент

При помощи пользовательских агентов пользователи составляют и отправляют письма. Агент должен сформировать тело письма согласно стандарта, и передать его на отправку транспортному агенту или агенту подачи. В роли пользовательских агентов выступают такие программы как: The Bat, Outlook и Outlook Express. Если говорить про Linux: Evolution, KMail, pine и др. При передаче письма транспортному агенту и агенту подачи используется протокол SMTP.

2. Транспортный агент

Транспортный агент (mail transport agent) выполняет две основные задачи:

§ Прием почты от пользовательского агента и пересылка ее на другой транспортный агент.

§ Прием почты от других транспортных агентов.

При приеме почты от пользователя он должен проверить правильность адреса назначения, возможность доставки почты и доставить почту по назначению.

На другой стороне транспортный агент проверяет:

§ Предназначено ли это письмо для данной машины (домена),

§ Есть ли почтовый ящик пользователя на машине.

После всех проверок он принимает письмо и передает его Агенту доставки почты.

3. Агент подачи сообщений

Агенты подачи сообщений (Message Submission Agemt -- MSA) -- это одна из разновидностей режима работы транспортного агента. При помощи агента подачи сообщений пытаются разделить две составных части обработки почтовых сообщений: прием сообщения от клиента и его маршрутизацию (доставку). Это позволяет облегчить разработку программ для обработки электронной почты. Агент подачи сообщений:

§ Проверяет, являются ли имена узлов полностью определенными.

§ Модифицирует заголовки сообщений, полученных от неправильно работающих пользовательских агентов.

§ Проверяет все ошибки перед передачей письма транспортному агенту.

§ Осуществляет (если это нужно) аутентификацию клиента.

Агент подачи слушает запросы на 587 порту, поэтому все пользовательские агенты необходимо сконфигурировать таким образом, чтобы они отправляли почту на этот порт.

4. Агент доставки почты

Существует много различных способов хранении почты в почтовых ящиках. Это может быть один файл на пользователя, в котором лежит вся его почта. Это может быть директория, в которой каждое письмо представлено в виде отдельного файла. Это может быть база данных. Транспортные агенты, после того как они принимают письмо для пользователя, должны как то поместить его в почтовый ящик. Авторы программ (MTA) не обязаны предусматривать все возможные способы и форматы хранения писем. Поэтому был введен промежуточный слой программного обеспечения, берущий на себя обслуживание почтовых ящиков. Один из компонентов этого программного обеспечения -- Агенты доставки почты. Транспортный агент передает письмо агенту доставки (обычно по протоколу LMTP), а уж Агент доставки сам решает, как и где сохранить письмо пользователя. В качестве агента доставки может выступать простейшая программа, которая просто складывает почту в ящик. Так и программы фильтры, которые могут что либо сделать с почтой, перед тем как поместить ее в почтовый ящик.

5. Агенты доступа

Агенты доступа позволяют пользователю получить доступ к своему почтовому ящику. Что конкретно может делать пользователь со своей почтой определяется тем, какой протокол доступа он будет использовать. Например, протокол pop3 позволяет только проверять есть ли почта в ящике, забирать ее и удалять из почтового ящика. Это наиболее простой протокол доступа к ящику. Программы реализующие его не сильно нагружают сервера. Протокол imap так же позволяет пользователю создавать дополнительные папки на сервере, перемещать сообщения между ними.

1.2 Современная архитектура (SMTP)

Общепринятым в мире протоколом обмена электронной почтой является SMTP (англ. Simple mail transfer protocol -- простой протокол передачи почты). В общепринятой реализации он использует DNS для определения правил пересылки почты.

В различных доменах настроены свои, независимые друг от друга, почтовые системы. У каждого почтового домена может быть несколько пользователей. (Однако, фактически, может быть так, что одна организация или персона владеет многими доменами, которые обслуживаются (физически) одной почтовой системой). Поведение систем при связи друг с другом строго стандартизировано, для этого используется протокол SMTP (и соблюдение этого стандарта, наравне с всеобщей поддержкой DNS всеми участниками, является основой для возможности связи «всех со всеми» без предварительных договорённостей). Взаимодействие почтовой системы и пользователей, в общем случае, никак не регламентируется и может быть произвольным, хотя существуют как открытые, так и закрытые (завязанные на ПО конкретных производителей) протоколы взаимодействия между пользователями и почтовой системой.

Внутри заданной почтовой системы (обычно находящейся в рамках одной организации) может быть множество почтовых серверов, выполняющих как пересылку почты внутри организации, так и другие, связанные с электронной почтой задачи: фильтрацию спама, проверку вложений антивирусом, обеспечение автоответа, архивация входящей/исходящей почты, обеспечение доступа пользователям различными методами (от POP3 до ActiveSync). Взаимодействие между серверами в рамках одной почтовой системы может быть как подчинено общим правилам (использование DNS и правил маршрутизации почты с помощью протокола SMTP), так и следовать собственным правилам компании (используемого программного обеспечения).

1.2.1 Релеи

DNS позволяет указать в качестве принимающего сервера (MX-запись) любой узел интернета, не обязательно являющийся частью доменной зоны домена получателя. Это может использоваться для настройки релеинга (пересылки) почты через третьи серверы. Сторонний сервер (например, более надёжный, чем серверы пользователя) принимает почту для домена пользователя и пересылает его на почтовые серверы пользователя как только появляется возможность. Исторически контроля за тем, «кому пересылать» почту, не было (или этому не придавали должного значения) и серверы без подобного контроля передавали почту на любые домены. Такие серверы называются открытыми релеями (в настоящее время новые открытые релеи появляются в основном из-за ошибок в конфигурировании).

Для своих пользователей серверы почтовой системы являются релеями (пользователи отправляют почту не на серверы почтовой системы адресата, а на «свой» почтовый сервер, который передаёт письма далее). Во многих сетях провайдеров возможность отправлять письма по протоколу SMTP за пределы сети закрыта (из-за использования этой возможности троянами, вирусами). В этом случае провайдер предоставляет свой SMTP-сервер, через который и направляется вся почта за пределы сети. Открытым релеем при этом считается такой релей, который не проверяет, является ли пользователь «своим» (проверка может осуществляться как на основании сетевого адреса компьютера пользователя, так и на основании идентификации пользователя паролем/сертификатом).

1.2.2 Маршрутизация почты

Почтовый сервер, получив почту (из локального источника или от другого сервера) проверяет, существуют ли специфичные правила для обработки почты (правила могут основываться на имени пользователя, на домене в адресе, содержимом письма и т. д.), если специфичных правил не обнаружено, то проверяется, является ли почтовый домен локальным для сервера (то есть является ли сервер конечным получателем письма). Если является, то письмо принимается в обработку. Если же домен письма не является локальным, то применяется процедура маршрутизации почты (являющаяся основой для передачи писем между различными серверами в Интернете).

При маршрутизации используется только доменная часть адреса получателя (то есть часть, находящаяся после символа @). Для домена получателя ищутся все MX-записи. Они сортируются в порядке убывания приоритета. Если адрес почтового сервера совпадает с одним из узлов, указанных в MX-записях, то все записи с приоритетом меньшим приоритета узла в MX-записи (а также MX-запись самого узла) отбрасываются, а доставка осуществляется на первый отвечающий узел (узлы пробуются в порядке убывания приоритета). Это сделано на случай, если почтовый сервер отправителя является релеем почтового сервера получателя. Если MX-запись для домена не найдена, то делается попытка доставить почту по A-записи, соответствующей домену. Если же записи о домене нет, то формируется сообщение о невозможности доставки (Bounce message). Это сообщение формируется с MAIL FROM, в поле «To» указывается отправитель исходного письма, в поле в поле «From» -- E-Mail вида MAILER-DAEMON@имя сервера. Под именем сервера понимается имя хоста в Интернет, который сгенерировал уведомление. MAIL FROM:<> позволяет защитить почтовые сервера от бесконечного хождения сообщений об ошибке между серверами -- если сервер обнаруживает, что не может доставить письмо с пустым обратным адресом, то он уничтожает его. Cообщение о невозможности доставки, так же, может формироваться через некоторое время. Это происходит в случае, если обнаруженная проблема определяется, как временная, но истекает время нахождения сообщения в очереди.

Если сеть имеет различные DNS-серверы (например, внешние -- в Интернете, и локальные -- в собственных пределах), то возможна ситуация, когда «внутренние» DNS-серверы в качестве наиболее приоритетного получателя указывают на недоступный в Интернете сервер, куда и перенаправляется почта с релея, указанного как узел-получатель для Интернета. Подобное разделение позволяет осуществлять маршрутизацию почты по общим правилам между серверами, не имеющими выхода в Интернет.

После попадания почты на конечный сервер, он осуществляет временное или постоянное хранение принятой почты. Существует две различные модели работы с почтой: концепция почтового хранилища (ящика) и почтового терминала.

1.3 POP3

В концепции почтового хранилища почта на сервере хранится временно, в ограниченном объёме (аналогично почтовому ящику для бумажной почты), а пользователь периодически обращается к ящику и «забирает» письма (то есть почтовый клиент скачивает копию письма к себе и удаляет оригинал из почтового ящика). На основании этой концепции действует протокол POP3.

Post Office Protocol 3 - протокол почтового отделения, версия 3 - это сетевой протокол, используемый почтовым клиентом для получения сообщений электронной почты с сервера. Обычно используется в паре с протоколом SMTP.

Альтернативным протоколом для сбора сообщений с почтового сервера является IMAP. По умолчанию использует TCP-порт 110. Существуют реализации POP3-серверов, поддерживающие TLS и SSL.

Рисунок 2. POP-3

После установки соединения протокол РОР3 проходит три последовательных состояния

• Авторизация клиент проходит процедуру аутентификации

• Транзакция клиент получает информацию о состоянии почтового ящика, принимает и удаляет почту.

• Обновление сервер удаляет выбранные письма и закрывает соединение.

Не смотря на то, что протокол РОР3 действительно поддерживает возможность получения одного или нескольких писем и оставления их на сервере, большинство программ обработки электронной почты просто скачивают все письма и опустошают почтовый ящик на сервере.

1.4 IMAP

Концепция почтового терминала подразумевает, что вся корреспонденция, связанная с почтовым ящиком (включая копии отправленных писем), хранится на сервере, а пользователь обращается к хранилищу (иногда его по традиции также называют «почтовым ящиком») для просмотра корреспонденции (как новой, так и архива) и написания новых писем (включая ответы на другие письма). На этом принципе действует протокол IMAP и большинство веб-интерфейсов бесплатных почтовых служб. Подобное хранение почтовой переписки требует значительно бомльших мощностей от почтовых серверов, в результате, во многих случаях происходит разделение между почтовыми серверами, пересылающими почту, и серверами хранения писем.

IMAP (англ. Internet Message Access Protocol) - интернет-протокол прикладного уровня для доступа к электронной почте.

IMAP предоставляет пользователю богатые возможности для работы с почтовыми ящиками, находящимися на центральном сервере. Почтовая программа, использующая этот протокол, получает доступ к хранилищу корреспонденции на сервере так, как будто эта корреспонденция расположена на компьютере получателя. Электронными письмами можно манипулировать с компьютера пользователя (клиента) без необходимости постоянной пересылки с сервера и обратно файлов с полным содержанием писем.

IMAP был разработан для замены более простого протокола POP3 и имеет следующие преимущества по сравнению с последним:

Письма хранятся на сервере, а не на клиенте. Возможен доступ к одному и тому же почтовому ящику с разных клиентов. Поддерживается также одновременный доступ нескольких клиентов. В протоколе есть механизмы с помощью которых клиент может быть проинформирован об изменениях, сделанных другими клиентами.

Поддержка нескольких почтовых ящиков (или папок). Клиент может создавать, удалять и переименовывать почтовые ящики на сервере, а также перемещать письма из одного почтового ящика в другой.

Возможно создание общих папок, к которым могут иметь доступ несколько пользователей.

Информация о состоянии писем хранится на сервере и доступна всем клиентам. Письма могут быть помечены как прочитанные, важные и т. п.

Поддержка поиска на сервере. Нет необходимости скачивать с сервера множество сообщений для того чтобы найти одно нужное.

Поддержка онлайн-работы. Клиент может поддерживать с сервером постоянное соединение, при этом сервер в реальном времени информирует клиента об изменениях в почтовых ящиках, в том числе о новых письмах.

Предусмотрен механизм расширения возможностей протокола.

Текущая версия протокола имеет обозначение IMAP4rev1. Протокол поддерживает передачу пароля пользователя в зашифрованном виде. Кроме того, IMAP-трафик можно зашифровать с помощью SSL.

Отсутствие средств аутентификации входящих соединений не позволило использовать SMTP для обслуживания клиентского доступа. Классическая почтовая SMTP-система требует наличия файлового доступа клиента к своему почтовому ящику для получения и работы с сообщениями. Для реализации работы в режиме клиент-сервер был создан протокол обслуживания почтового офиса (Post Office Protocol или POP). Наиболее удачной оказалась версия POP3, широко используемая в современных SMTP-системах. Наиболее продвинутые реализации поддерживают аутентификацию с шифрованием имени и пароля и шифрование трафика по протоколу Secure Socket Layer (SSL). Однако, при использовании протокола POP3 отсутствует возможность просмотра характеристик сообщения без предварительной загрузки его на станцию клиента. Для решения проблемы просмотра и манипуляции свойствами почтового сообщения непосредственно на сервере, а также преодоления ряда других функциональных ограничений был разработан протокол IMAP4, его поддержка в большинстве коммерческих систем ожидается в ближайшем будущем. Следует заметить, что как для случая использования классического клиента (команда mail), так и для случая применения POP3 или IMAP4 отправка подготовленных клиентом сообщений требует наличия сервера SMTP. На рисунке 3 приведена схема представления типичной SMTP-системы, использующей как традиционный для ОС UNIX файловый метод доступа к почтовому ящику, так и доступ по протоколам POP3 и IMAP4.

Рисунок 3. Схема типичной SMTP-системы с поддержкой POP3 и IMAP4

Немаловажной проблемой при передаче данных через SMTP-системы является обеспечение конфиденциальности. Поскольку сообщения передаются в текстовом виде, они могут быть легко перехвачены и произвольным образом изменены. Для решения проблем с защитой информации был создан стандарт на шифрование тела сообщения, так называемый засекреченные многофункциональные расширения почты (Secure MIME или S/MIME). Однако, этот протокол не в состоянии защитить от перехвата заголовки сообщений.

1. 

2. Безопасность системы электронной почты

2.1 Основные угрозы почтовой службы

Ниже представлен перечень некоторых атак, которым подвержены сегодня организации, использующие почтовые e-mail-системы:

• Вредоносное ПО;

• целевой и нецелевой спам;

• фишинг организаций;

• Backscatter - bounce-сообщения;

• Denial of Email Service (DoES) -отказ почтовой службы;

• Эксплуатация (эксплойты) открытых релеев.

Вредоносное ПО-- любое программное обеспечение, предназначенное для получения несанкционированного доступа к вычислительным ресурсам самой ЭВМ или к информации, хранимой на ЭВМ, с целью несанкционированного использования ресурсов ЭВМ или причинения вреда (нанесения ущерба) владельцу информации, и/или владельцу ЭВМ, и/или владельцу сети ЭВМ, путем копирования, искажения, удаления или подмены информации.

В ряду примеров распространенных способов атак на сети компаний, как уже было упомянуто выше, можно привести использование техник социальной инженерии или фишинга в почтовых сообщениях. При типичной фишинг-атаке злоумышленник рассылает множество подделанных почтовых сообщений, составленных так, как будто они отправлены от доверенного источника: известной всем торговой или финансовой компании (например, банка). В письме "жертву" всячески подталкивают обновить его персональную информацию, чтобы якобы не потерять доступ к специальным сервисам (доступ к банковскому on-line-счету и т.п.), и для этого ему подсовывается ссылка на официальный Web-сайт, по виду не вызывающая никаких сомнений.

Вместе с перечисленными выше угрозами нельзя не упомянуть и про спам, который негативно влияет на производительность труда сотрудников, вынужденных ежедневно читать кучу ненужного им рекламного мусора и тратить на это свое рабочее время. Кроме того, технологии спама также широко используются хакерами для воровства и получения прибыли. Самым популярным на сегодня способом распространения спамерами их писем являются так называемые бот-сети, или "зомби", то есть сообщества компьютеров, ресурсы которых находятся под контролем хакеров. "Зомби" могут рассылать незаметно для их пользователей огромные количества спама, тем самым обеспечивая спамерам эффективность (средний объем атаки составляет 70-200 млн сообщений) и анонимность, ведь рассылка осуществляется с IP-адресов легитимных пользователей или компаний.

Термин “Backscatter” относится к письмам, которые получаются ваши пользователи якобы в ответ на сообщения, которые они никогда не отправляли. Это происходит, когда спам или письма, отправляемые вирусами, содержат фальшивый адрес в поле “Return-Path”. В результате когда одно из таких сообщений отклоняется сервером получателя, либо когда у получателя включен автоответчик, либо когда для учетной записи включено специальное сообщение о том, что сотрудник находится вне офиса или в отпуске, ответ на это ложное сообщение будет направлен на фальшивый адрес. Это может привести к появлению в почтовых ящиках ваших пользователей огромного числа ложных сообщений о статусе доставки DSN (Delivery Status Notifications) и автоответов. После этого спамеры и вирусописатели часто могут использовать это явление в своих интересах и запустить атаку на отказ в обслуживании (DoS - Denial of Service) против почтовых серверов, вызывая целую лавину ложных писем с различных серверов по всему миру.

Открытый релей - это почтовый сервер в сети интернет, который позволяет любому желающему переправлять через себя почту. То есть, это почтовый сервер, используя который кто угодно может отправить электронную почту от произвольного отправителя произвольному получателю. Такие серверы не ограничивают доступ к себе. То есть, не производят проверку является ли отправитель письма собственным клиентом-пользователем или является ли получатель письма локальным пользователем такого сервера. Вред от таких серверов заключается в том, что их "услугами" пользуются спамеры для рассылки незапрошенной рекламы.

2.2 Безопасные протоколы

2.2.1 PGP

Первый протокол - протокол Очень хорошей конфиденциальностью (PGP - Pretty Good Privacy). PGPбыл изобретен Филом Цимерманном (Phil Zimmermann), чтобы обеспечить секретность, целостность и установление подлинностиэлектронной почты. PGP может использоваться, чтобы создать безопасное почтовое сообщение или надежно сохранить файл для будущего извлечения.

Шифрование PGP осуществляется последовательно хешированием, сжатием данных, шифрованием с симметричным ключом, и, наконец, шифрованием с открытым ключом, причём каждый этап может осуществляться одним из нескольких поддерживаемых алгоритмов. Симметричное шифрование производится с использованием одного из семи симметричных алгоритмов (AES, CAST5, 3DES, IDEA, Twofish, Blowfish, Camellia) на сеансовом ключе. Сеансовый ключ генерируется с использованием криптографически стойкого генератора псевдослучайных чисел. Сеансовый ключ зашифровывается открытым ключом получателя с использованием алгоритмов RSA или Elgamal (в зависимости от типа ключа получателя). Каждый открытый ключ соответствует имени пользователя или адресу электронной почты. Первая версия системы называлась Сеть Доверия и противопоставлялась системе X.509, использовавшей иерархический подход, основанной на удостоверяющих центрах, добавленный в PGP позже. Современные версии PGP включают оба способа.

электронный почта безопасность сервер

2.2.2 S/MIME

Другая служба безопасности разработана для электронной почты Безопасное/ Многоцелевое расширение почты (S/MIME - Secure/Multipurpose Internet Mail Extension). Этот протокол является расширением Многоцелевого расширения почты (MIME - Multipurpose Internet Mail Extension). Для лучшего понимания S/MIME кратко изложим MIME. Затем обсудим S/MIME как дополнение к MIME.

MIME - это дополнительные протоколы, которые позволяют данным, непередаваемым с помощью ASCII, проходить по электронной почте. MIME преобразовывает такие данные на стороне передатчика к данным NVT ASCII и поставляет их клиенту MTA по сети Интернет. Сообщение на приемной стороне преобразуется снова к первоначальному виду.

Мы можем представлять себе MIME как множество программных функций, которые преобразовывают данные, не передаваемые в ASCII, к данным ASCII, и наоборот, как показано на рис. 4.

Рисунок 4. MIME



S/MIME добавляет некоторые новые типы заголовков-содержания, чтобы включить службы безопасности в MIME. Все эти новые типы включают параметр "application/pkcsP-mime", в котором "pkcs (Public Key Cryptography Specification)" определяет "Спецификацию криптографии открытого ключа".

Управление ключами

Управление ключами в S/MIME - это комбинация управления ключами, используемого в X.509 и PGP. S/MIME использует сертификат открытого ключа, который подписан удостоверяющей администрацией, определенной X.509. Однако пользователь несет ответственность по поддержке сети доверия для проверки подписи, как это определено PGP.

2.2.3 HTTPS

HTTPS (HyperText Transfer Protocol Secure) -- расширение протокола HTTP, поддерживающее шифрование. Данные, передаваемые по протоколу HTTPS, «упаковываются» в криптографический протокол SSL или TLS. В отличие от HTTP, для HTTPS по умолчанию используется TCP-порт 443.

HTTPS не является отдельным протоколом. Это обычный HTTP, работающий через шифрованные транспортные механизмы SSL и TLS. Он обеспечивает защиту от атак, основанных на прослушивании сетевого соединения -- от снифферских атак и атак типа man-in-the-middle, при условии, что будут использоваться шифрующие средства и сертификат сервера проверен и ему доверяют.

По умолчанию HTTPS URL использует 443 TCP-порт (для незащищённого HTTP -- 80). Чтобы подготовить веб-сервер для обработки https-соединений, администратор должен получить и установить в систему сертификат для этого веб-сервера. Сертификат состоит из 2 частей (2 ключей) -- public и private. Public-часть сертификата используется для зашифровывания трафика от клиента к серверу в защищённом соединении, private-часть -- для расшифровывания полученного от клиента зашифрованного трафика на сервере. После того как пара ключей приватный/публичный сгенерированы, на основе публичного ключа формируется запрос на сертификат в Центр сертификации, в ответ на который ЦС высылает подписанный сертификат. ЦС при подписании проверяет клиента, что позволяет ему гарантировать, что держатель сертификата является тем, за кого себя выдаёт (обычно это платная услуга).

В HTTPS для шифрования используется длина ключа 40, 56, 128 или 256 бит. Некоторые старые версии браузеров используют длину ключа 40 бит, что связано с экспортными ограничениями в США. Длина ключа 40 бит не является сколько-нибудь надёжной. Многие современные сайты требуют использования новых версий браузеров, поддерживающих шифрование с длиной ключа 128 бит, с целью обеспечить достаточный уровень безопасности. Такое шифрование значительно затрудняет злоумышленнику поиск паролей и другой личной информации.



3. Безопасность почтового сервера

В качестве тестового почтового сервера был выбран сервер MDaemon от Alt-N Techologies. Сервер электронной почты MDaemon для Windows представляет собой полнофункциональное решение для передачи сообщений и организации коллективной работы и содержит надежные, соответствующие стандартам инструменты для малых и средних организаций. Этот пакет поддерживает списки рассылки, удаленный доступ и администрирование, блокирование спама, фильтрацию содержания, мобильную электронную почту, а также поддерживает работу сразу нескольких доменов. В нем используются все современные методики проверки подлинности электронной почты, которые сводят к минимуму количество фальшивых писем и угроз безопасности. Почтовый сервер MDaemon предоставляет все функции сервера электронной почты, установка его занимает всего несколько минут, а для работы ему требуется минимальный объем поддержки и администрирования.

Пакет SecurityPlus для MDaemon служит всеобъемлющим и превентивным эшелоном защиты электронной почты от спама, шпионских программ, фишинга и вирусов на вашем сервере эл. почты MDaemon. В то время, как традиционные решения требуют постоянного обновления сигнатур, чтобы обеспечивать актуальную защиту электронной почты, в пакете SecurityPlus for MDaemon применяется обнаружение спама в реальном масштабе времени, технология обнаружения повторяющихся образцов Recurrent Pattern Detection Technology (RPD), а также технология защиты от вновь возникших вирусных эпидемий Zero Hour Virus Outbreak Protection. Это лучшее решение, способное полностью обезопасить ваш почтовый сервер MDaemon.



Рисунок 5. MDaemon

MDaemon позволяет настроить встроенную антивирусную защиту, обеспечиваемую компанией Касперский. Для активации данной опции необходимо скачать дополнительное расширение SecurityPlus.

Рисунок 6. Настройки антивирусной защиты

Дополнительно к антивирусной защите на сервере настраиваются правила обработки писем. Это делается через вкладку меню Фильтр содержания - Правила. На выбор предлагается набор условий и действий, сами правила конфигурируются администратором. Если включено, система фильтрации содержания будет тестировать все новые сообщения, используя созданные правила.

Рисунок 7. Создание правил

Отдельным пунктом настраивается контроль вложений. В данном случае был настроен запрет на выполняемые вложения (Например, *.exe).



Рисунок 8. Обработка вложений

Дополнительня встроенная защита от вредоносного ПО и спама настраивается через Outbreak Protection. Это система обнаружения реального времени, которая может обнаружить и блокировать опасные вложения и спам в первые минуты распространения эпидемий.

Рисунок 9. Outbreak Protection

Применение протокола POP перед SMTP является опциональным.

Рисунок 10. Настройка POP3

Проверка подлинности отправителя осуществляется с помощью нескольких средств. Первое из них - SMTP авторизация. Наличие SMTP аутентификации на почтовом сервере дает множество преимуществ. SMTP аутентификация может добавить дополнительный уровень безопасности к sendmail, и позволяет мобильным пользователям, подключающимся к разным хостам, возможность использовать тот же почтовый сервер без необходимости перенастройки почтового клиента при каждом подключении.



Рисунок 11. SMTP аутентификация

Cпособ работы SMTP-аутентификации таков:

· Сервер информирует число аутентифкационных механизмов (mechanisms) в ответе на клиентскую команду EHLO.

· Клиент выдаёт команду AUTH, именуя специфический механизм. Команда может, опционально, содержать какие-либо аутентификационные данные.

· Сервер может выдать один или более вызовов (challenges, может быть переведено как откликов - прим. lissyara), на которые клиент должен послать соответствующие ответы. В простых опознавательных механизмах, вызовы - просто запросы имён пользователей и паролей. Сервер не должен выдавать каких-либо вызовов - в некоторых механизмах, все уместные данные могут быть переданы с командой AUTH.

· Сервер или принимает, или отклоняет аутентификацию.

· Если аутентификация успешна, клиент, опционально, может использовать опцию AUTH в команде MAIL для передачи аутентифицированного (заверенного) отправителя в последующих почтовых транзакциях. Аутентификация остаётся до конца SMTP-соединения.

· Если аутентификация неудачна, клиент может отключиться, или может попробовать другой аутентификационный механизм, или может попробовать передать почту по неаутентифицированному соединению.

Следующая проверка - это верификация SPF. Сервер MDaemon поддерживает технологию Sender Policy Framework (SPF), которая обеспечивает проверку подлинности отправителей почтовых сообщений и гарантирует надежную защиту от фишинг-атак и других почтовых угроз, в основе которых лежит отправка сообщений от чужого имени.

В системе доменных имен DNS предусмотрены специальные MX-записи, с помощью которых домен может обнародовать IP-адреса компьютеров, уполномоченных принимать адресованную ему электронную почту. Однако DNS не содержит штатных средств для решения обратной задачи -- публикации перечня узлов, которым официально разрешено отправлять почту от имени домена. Этот пробел устраняется средствами технологии SPF, которая позволяет домену опубликовать такой перечень, а серверу-получателю -- проверить, уполномочен ли тот или иной компьютер отправлять электронную почту от имени этого домена. Если IP-адрес отправителя письма отсутствует в SPF-списке соответствующего домена, MDaemon считает это письмо поддельным.

Рисунок 12. Верификация SPF

Средства динамического скрининга (блокировки) позволяют серверу MDaemon оперативно принимать ответные меры при обнаружении подозрительных симптомов в поведении серверов, отправляющих ему электронную почту. К примеру, временно заблокировать IP-адрес сервера, пытающего отправить слишком много сообщений с ошибкой «получатель неизвестен» в рамках одного почтового сеанса. Или заблокировать отправителя, который чересчур часто подключаются к вашему серверу или не может пройти авторизацию больше заданного числа раз за определенный промежуток времени.

Рисунок 13. Динамический скрининг

Рисунок 14. Обнаружение взломанных учетных записей

MDaemon предоставляет возможность отправки почты с SSL подключением. SSL (secure sockets layer) -- криптографический протокол, который подразумевает более безопасную связь. Он использует асимметричную криптографию для аутентификации ключей обмена, симметричное шифрование для сохранения конфиденциальности, коды аутентификации сообщений для целостности сообщений. Для этого необходимо создать SSL-сертификат.

Рисунок 15. Настройки SSL

При создании сертификата предоставляется возможность выбора длины ключа шифрования: 1024, 1536,2048, 3072; а так же алгоритма хэширования: SHA1, SHA2.



Рисунок 16. Создание SSL сертификата

Рисунок 17. SSL сертификат



Рисунок 18. Состав SSL сертификата

Для более безопасного соединения, в случае, если на сервере настроен SSL и создан сертификат, есть возможность настроить подключения только по протоколу HTTPS.

Рисунок 19. Настройка HTTPS

Для борьбы с фальшивыми адресами возврата (backscatter), MDaemon содержит новую функцию под названием Backscatter Protection (BP). Эта функция помогает гарантировать, что вашим учетным записям будут доставляться только настоящие уведомления о статусе доставки Delivery Status Notification и автоответы. Это реализовано за счет применения хэширования с закрытым ключом для генерирования и вставки в поле “Return-Path” исходящих сообщений специального кода, привязанного к времени отправки. Если одно из таких сообщений вызывает проблемы при доставке и возвращается обратно, либо в ответ приходит автоответ с путем возврата "mailer-daemon@..." или NULL, MDaemon увидит специальный код и поймет, что это реальный автоматический ответ на сообщение, реально отправленное с одной из ваших учетных записей. Если послание не содержит в адресе данного специального кода, либо если код старше семи дней, оно будет зафиксировано в MDaemon и отклонено.

Рисунок 20. Backscatter Protection

Также, в версии PRO дополнительной опцией является возможность шифрования сообщений с помощью алгоритма PGP. Его можно сделать обязательным для всех отправлений или сделать опциональным с возможностью включения шифрования с клиентской стороны.



Рисунок 21. Настройка PGP

Рисунок 22. Шифрование с помощью PGP на почтовом клиенте



Выводы

В данной работе были рассмотрены основные почтовые протоколы и принципы их работы. Выби изучены безопасные почтовые протоколы на примере PGP и S/MIME, различные варианты их работы и агоритмы криптографических преобразований. Также были на практеке изучены принципы обеспечения безопасности почтового сервера на примере MDaemon. Был проделам процесс получения сертификатов, подтверждения пользователе, настройка почтовых правил. Было применено шифрование с помощью протокола PGP к почтовому серверу.



Список литературы

1. Олифер, Олифер: Компьютерные сети. Принципы, технологии, протоколы. Издательство: Питер, 2012 г.

2. Александр ТАРАНОВ, Олег СЛЕПОВ: Безопасность систем электронной почты "Jet Info", #6/2003

3. MDaemon: Руководство пользователя

4. Электронный ресурс: SMTP-аутентификация http://www.lissyara.su/doc/exim/4.62/smtp_authentication/»

5. Электронный ресурс: Андрей Тимошенков: Современные угрозы и защита электронной почты http://www.itsec.ru/articles2/Oborandteh/sovremennie-ugrozi-i-zaschita-elektronnoi-pochti



Приложение 1

Сценарии PGP

Открытый текст

Самый простой сценарий - это передать почтовое сообщение (или накопленный файл) в исходном тексте, как это показано на рис. 23. В этом сценарии нет сохранения целостности сообщения или конфиденциальности. Пусть Алиса (передатчик) составляет сообщение и передает его Бобу (приемнику). Сообщение сохраняется в почтовом ящике Боба, пока не будет извлечено им.

Рисунок 23. Сообщение с обычным текстом

Целостность сообщения

Вероятно, следующее усовершенствование должно позволить Алисе подписывать сообщение. Алиса создает дайджест сообщения и подписывает его своим секретным ключом. Когда Боб получает сообщение, он проверяет его, используя открытый ключ Алисы. Для этого сценария необходимы два ключа. Алиса должна знать свой секретный ключ; Боб должен знать открытый ключ Алисы.



Рисунок 24. Сообщение с подтверждением подлинности передатчика

Конфиденциальность с одноразовым ключом сеанса

Как мы уже говорили раньше, конфиденциальность в почтовой системе может быть достигнута за счет применения обычного шифрования одноразовым ключом сеанса. Алиса может создать ключ сеанса, использовать ключ сеанса для шифрования сообщения и дайджеста и передать ключ непосредственно с сообщением. Однако для защиты ключа сеанса Алиса зашифровала его открытым ключом Боба. Рис. 25 показывает ситуацию, когда Боб получает пакет, он сначала расшифровывает ключ, используя свой секретный ключ, чтобы удалить этот секретный ключ. Затем он использует ключ сеанса, чтобы расшифровать остальную часть сообщения. После расширения (декомпрессации) остальной части сообщения Боб создает дайджест сообщения и проверяет, равен ли он дайджесту, передаваемому Алисой. Если дайджесты равны, то сообщение подлинно.



Рисунок 25. Конфиденциальное сообщение



Приложение 2

PGP -алгоритмы

В PGP используются нижеследующие алгоритмы.

Алгоритмы открытого ключа. Алгоритмы открытого ключа, которые применяются, чтобы подписать дайджесты или зашифровать сообщения, перечислены в таблице 1.

Таблица 1

Алгоритмы общедоступного ключа

ID	Описание
1	RSA (для шифрования и подписи)
2	RSA (только для шифрования)
3	RSA (только для подписи)
16	Эль-Гамаль (только для шифрования)
17	DSS
18	Зарезервировано для эллиптической кривой
19	Зарезервировано для ECDSA
20	Эль-Гамаль (для шифрования и подписи)
21	Зарезервировано для Диффи-Хеллмана
100-110	Секретные алгоритмы

Алгоритмы симметричного ключа.

Алгоритмы симметричного ключа, которые используются для удобного шифрования, показаны в таблице 2.

Таблица 2

Алгоритмы с симметричными ключами

ID	Описание
0	Не зашифровано
1	IDEA
2	Тройной DES
3	CAST-128
4	Blowfish
5	SAFER-SK128
6	Зарезервировано для DES/SK
7	Зарезервировано для AES-128
8	Зарезервировано для AES-192
9	Зарезервировано для AES-256
100-110	Частные алгоритмы

Хэш-алгоритмы.Хэш-алгоритмы, которые используются для создания хэша в PGP, показаны в таблице 3.

Таблица 3

Хэш-алгоритмы

ID	Описание
1	MD5
2	SHA-1
3	RIPE-MD/160
4	Зарезервировано для SHA двойной ширины
5	MD2
6	TIGER/192
7	Зарезервировано для HAVAL



Приложение 3

Синтаксис криптографического сообщения

Чтобы определять услуги безопасности, такие как конфиденциальность или целостность, можно добавить к типам содержания MIME,S/MIME определитель Криптографический синтаксис сообщения (СМS -Cryptographic Message Syntax). Синтаксис в каждом случае определяет точную схему кодирования каждого типа содержания. Ниже рассматриваются типы сообщения и различные подтипы, которые могут быть созданы из этих сообщений.

Тип содержания данных - произвольная строка. Созданный объект называется Данными.

Signed - Data Content Type (Тип содержания - подписанные данные).Этот тип обеспечивает только целостность данных. Он содержит любой тип и нулевое или большее количество подписей. Кодируемый результат - объект, называемый signedData. Рис. 26 показывает процесс создания объекта этого типа. В процессе используются следующие шаги:

Рисунок 26. Содержание типа "подписанные данные"

1. Для каждого подписывающего лица дайджест сообщения создает заголовок-содержание, используя заданный алгоритм хэширования, который выбирается некоторым подписывающим лицом.

2. Каждый дайджест сообщения подписывается секретным ключом подписывающего лица.

3. Содержание, значения подписи и сертификата, а также алгоритмы затем собираются для создания объекта signedData.

Enveloped - Data Content Type (Тип содержания - конверт данных).Этот тип используется, чтобы обеспечить секретность сообщения. Он содержит любой тип от нуля и далее зашифрованных ключей и сертификатов. Кодируемый результат - объект, называемый envelopedData. Рис. 27 показывает процесс создания объекта этого типа.

Рисунок 27. Содержание типа "конверт данных"

1. Создается псевдослучайный ключ сеанса для алгоритмов с симметричными ключами.

2. Для каждого получателя копия ключа сеанса зашифрована с открытым ключом каждого получателя.

3. Содержание зашифровано, используя определенный алгоритм и созданный ключ сеанса.

4. Зашифрованное содержание, зашифрованный ключ сеанса. Использованный алгоритм и сертификаты кодируются с использованиемRADIX-64.

Digest-Data Content Type ( Содержание типа "дайджест данных" ).Этот тип используется, чтобы обеспечить целостность сообщения. Результат обычно используется как содержание типа "конверт данных". Кодируемый результат - объект, называемый digestedDate. Рис. 10 показывает процесс создания объекта этого типа.

Рисунок 28. Содержание типа дайджест данных

1. Дайджест сообщения вычислен на основании содержания.

2. Дайджест сообщения, алгоритм и содержание добавляются вместе, чтобы создать digestData.

Encrypted-Data Content Type (Тип содержания "зашифрованные данные").Этот тип используется, чтобы создать зашифрованную версию содержания любого типа. Хотя он похож на тип содержания "конверт данных", но не имеет информации о получателе. Он может использоваться, чтобы хранить зашифрованные данные, вместо того, чтобы передавать их. Процесс очень прост: пользователь использует любой ключ (нормально, исходя из пароля) и любой алгоритм, чтобы зашифровать содержание. Зашифрованное содержание сохраняется без записи ключа или алгоритма. Созданный объект называется encryptedData.

Authenticated-Data Content Type (Тип содержания - подтверждение подлинности данных). Этот тип используется, чтобы обеспечить установление подлинности данных. Объект называется authenticatedData. Рис. 29 показывает процесс.

Рисунок 29. Содержание типа "подтверждение подлинности"

1. С применением псевдослучайного генератора для каждого получателя генерируется ключ кода, подтверждающий подлинность сообщения (MAC - Message Authentication Code).

2. Ключ кода, подтверждающего подлинность сообщения, зашифрован открытым ключом получателя.

3. Код, подтверждающий подлинность сообщения, создан для содержания.

4. Содержание, код, подтверждающий подлинность сообщения, алгоритм и другие данные собраны вместе в формате объекта с именем authenticatedData.



Приложение 4

Криптографические алгоритмы

S/MIME определяет несколько криптографических алгоритмов, как это показано в таблице 4. Термин "должен" означает абсолютное требование; термин "может" означает рекомендацию.

Таблица 4

Криптографические алгоритмы для S/MIME

Алгоритм	Передатчик должен поддерживать	Приемник должен поддерживать	Передатчик может поддерживать	Приемник может поддерживать
Алгоритм зашифрованного содержания	Triple DES	Triple DES		l. AES 2. RC2/40
Алгоритм шифрования ключа сеанса	RSA	RSA	Diffie-Hellman (Диффи-Хеллман)	Diffie-Hellman (Диффи-Хеллман)
Хэш-алгоритм	SHA-1	SHA-1		MD5
Алгоритм шифрования дайджеста	DSS	DSS	RSA	RSA
Алгоритм определения подлинности		HMAC с SHA-1

Размещено на Allbest.ru