Rechnernetze

SMTP (E-Mail)

Das Simple Mail Transfer Protocol dient im Internet dem Senden und Empfangen elektronischer Post. SMTP ist ein Store-And-Forward Dienst, d.h. die Server nehmen eine Mail entgegen, und prüfen anhand des Headers, ob sie lokal zustellbar ist oder an einen anderen Server weitergereicht werden muss.

Problematisch ist, dass Mail-Server Daten von beliebigen externen Rechnern entgegennehmen müssen, was sie zu einem begehrten Angriffsziel macht. Bei schwacher Absicherung kann es passieren, dass ein externer Rechner an die Zugriffsrechte des Servers gelangt. Zwei weitere Teile des Mail-Systems sind der Delivery Agent, der die Mails auf die Posteingänge der Benutzer zu verteilen hat, und der User Agent zur Darstellung und Verwaltung von Mails, der Fähigkeiten zur Darstellung von Anhängen hat und damit fähig ist, nahezu jedes Programm zu starten. Letzteres fällt unter die Rubrik datengesteuerter Angriff. Solche Attacken können auch eine gefälschte Aufforderung eines Mitarbeiters zur Ausführung eines mitgelieferten Programms oder eine Anweisung des Administrators sein, das Passwort auf ein vorgegebenes Wort umzustellen. Gegen solche Angriffe kann eine Firewall nicht schützen, es sei denn die Mail enthält Virensignaturen oder Ähnliches. Eine entsprechende Schulung der Mitarbeiter könnte jedoch hilfreich sein.

Ein anderer Typ des Angriffs läuft über den Kommandokanal. Dieser kann nur dort erfolgen, wo eine Kommunikation mit der Außenwelt erfolgt, also beim Mail-Server. So ist es z.B. dem Internet-Wurm von Morris gelungen, Sendmail über ein Kommando, welches eigentlich der Fehlersuche dient, zur Ausführung eines beliebigen Programms zu bewegen. Solchen Angriffen kann eine Firewall begegnen, indem nur Kommandokanäle zu besonders gesicherten Maschinen geöffnet werden und immer für die neuesten Patches (Newsgroups beobachten) der kritischen Programme (Server, Delivery Agent und User Agent) gesorgt wird .

Ein gutes Konzept für eine SMTP-fähige Firewall ist in Abbildung 8 dargestellt. Der Bastion Host sollte zunächst den oben beschriebenen Store-And-Forward Dienst übernehmen, d.h. er ist der einzige Server, der Kontakt mit der Außenwelt hat. Die Auswahl an Servern zur Weiterleitung sollte ebenfalls eingeschränkt werden. Eine entsprechende Paketfilterung (Empfänger Port 25, Sender beliebig über 1023) kann dies absichern. Ein entsprechender MailExchange Eintrag beim Provider bzw. bei dem Deutschen Network Information Center sorgt dafür, dass die zugestellten Mails an den Bastion Host gesendet werden.

In der nächsten Stufe hat der Bastion Host, per innerem Paketfilter abgesichert, nur das Recht, mit dem internen SMTP-Server zu kommunizieren. Letzterer verteilt die Mails unter Umsetzung der Mail-Aliase an die inneren Hosts. Der Bastion Host muß daher nicht so häufig an Mailkonfiguration und Aliasnamen angepaßt werden.

ABBILDUNG 8. Der Weg von SMTP-Paketen durch die Firewall

Ausgehende Mails gehen wiederum durch den Bastion Host, der die Mail-Header bzgl. der Host-Namen bereinigt, so dass sich ein einheitliches Absenderbild, wie worker@company.com herstellen lässt, was auch dem Verdecken interner Strukturen dient.

Ein Vorteil von Store-And-Forward Protokollen ist, dass ihre Server bereits über Proxy-Fähigkeiten verfügen. So reicht es in diesem Fall, einen sicheren SMTP-Server auf dem Bastion Host zu installieren, der dort nur als Proxy arbeitet, während der Innere die eigentliche Server-Arbeit verrichtet.