Sårbare postservere
Næst efter web-servere er postservere nogle af de mest populære mål blandt hackere. Ifølge den amerikanske standardiseringsorganisation NIST skyldes det, at e-post er en tjeneste, næsten alle organisationer med IT understøtter. Så en hacker kan altid regne med at finde en e-postserver. Om han kan bruge den til noget, afhænger af konfigurationen.
Hvis en angriber ønsker at finde en server, der kan videresende reklamer, som modtagerne ikke har bedt om (spam), leder han efter et såkaldt åbent mail-relæ. Det er en postserver, der accepterer at videresende e-post fra alle og enhver.
Hvis virksomhedens postserver tillader den form for videresendelse, skyldes det som regel en konfigurationsfejl. De fleste postserverprogrammer kan indstilles til kun at videresende post, der kommer fra brugere i samme net-domæne, som serveren sidder på.
- Faren ved at fungere som åbent mail-relæ er, at virksomhedens server nemt kan ende på en sort liste. Det betyder, at alle, der abonnerer på listen, vil nægte at modtage e-post fra virksomheden fremover. Det er nemt at komme på listen, men det kan være meget svært at komme af igen, siger chefkonsulent Preben Andersen, Uni-C. Han leder den danske CERT-funktion (Computer Emergency Response Team), der beskæftiger sig med sikkerhed på internettet.
De fleste producenter af postserverprogrammer har udviklet anvisninger til, hvordan man lukker for et åbent postrelæ. De kan findes på producenternes websider.
En anden risiko består i, at uvedkommende får adgang til fortrolige oplysninger. Det kan være en e-mail, der indeholder oplysninger om brugernavn og adgangskode til en ny medarbejder. Eller det kan være tilbuddet til et kundeemne. Risikoen forstærkes her af, at kryptering er meget lidt udbredt ved e-post over internet. Så når en angriber først har fået fat i en e-mail, er den som regel lige til at læse.
Normalt sendes brugernavn og adgangskode som ren tekst mellem postprogram og server. Hvis nogen opsnapper dele af den kommunikation, kan de dermed udnytte brugerens adgangskode. Nyere postserverprogrammer understøtter teknologien SMTP AUTH, hvor brugernavn og adgangskode krypteres.
- Krypterede adgangskoder til mailservere er desværre ikke særlig udbredte. Det skyldes sikkert, at metoden som standard ikke er slået til i postserverprogrammerne, siger Preben Andersen.
Hackere og virus
Postservere kan også udnyttes som en vej ind i systemet for hackere. Således findes der en række kendte sårbarheder i postserverprogrammer. Der kan for eksempel være tale om bufferoverløb, der giver en angriber mulighed for at afvikle kode på systemet. Eller en sårbarhed kan give adgang på administratorniveau.
- Uanset hvilket system man kører, er det altid en god ide at kontrollere det for kendte sårbarheder. I DK-CERT er vi for øjeblikket i gang med at opbygge en database over sårbarheder i de mest udbredte serverprogrammer, fortæller Preben Andersen.
I den amerikanske sårbarhedsdatabase ICAT er der registreret 23 sårbarheder i Sendmail, der er et udbredt postserverprogram under Unix. Nogle af dem giver en angriber mulighed for at få administratorprivilegier. De er rettet i nyere versioner af programmet.
Beskyt med antivirus
Postserveren er som regel det sted, hvor den største del af udefrakommende information strømmer ind i virksomheden. Dermed løber viruser også gennem den. Det kan virksomheder beskytte sig mod ved at installere et antivirusprogram på serveren.
- Vi anbefaler, at man både installerer et antivirusprogram på postserveren og ude på klienterne, da det øger chancen for at fange alle virus, siger Preben Andersen.
Endvidere råder han også virksomhederne til kun at bruge postserveren som postserver. Hvis den samtidig skal fungere som web-server eller filserver, øger det risikoen for misbrug, da der så er flere sikkerhedshuller, der skal lukkes.
Web giver nye udfordringer
Dedikerede postklienter som Eudora og Outlook Express er ikke længere den eneste mulighed for at læse post: De fleste e-postsystemer kan nu også nås fra web. Det giver nye sikkerhedsmæssige udfordringer. En mulighed er at sikre kommunikationen mellem browser og server med kryptering. Det kan ske via SSL-standarden, der nu hedder TLS (Transport Layer Security).
Skønt det er muligt at beskytte en postserver på mange måder, findes der stadig angreb, som det er meget svært at gøre noget ved. Det gælder for eksempel mails, der sendes med falsk afsenderadresse. Hvis der er tale om spam, vil modtageren ofte blive irriteret og sende et vredt brev retur. Hvis brevets modtageradresse er ugyldig, sender postserveren hos modtageren det retur med besked om, at det ikke kan afleveres. Hvis en spam-afsender udsender store mængder spam med forfalskede afsenderadresser, kan serveren hos den virksomhed, der ejer afsenderadressen, gå i knæ under presset fra de mange returnerede mails.
? For øjeblikket ser vi en del tilfælde af virussen Klez. Den sender sig selv videre fra en inficeret pc, hvorpå den både finder en modtager og en afsenderadresse. Derfor kan modtagerne af virussen ikke vide, hvilken maskine den reelt er afsendt fra, siger Preben Andersen fra DK-CERT.
Ti gode råd
Ti gode råd om sikring af postservere:
- Konfigurer serveren, så den ikke fungerer som åbent mailrelæ.
- Installer et antivirusprogram på serveren.
- Brug altid autentificeret adgang til postserveren. Det betyder, at adgangskoden krypteres.
- Kør ikke andre tjenester end postserverprogrammet på serveren.
- Installer alle relevante programrettelser og sikkerhedsopdateringer til
styresystemet. - Installer alle relevante programrettelser og sikkerhedsopdateringer til
postserverprogrammet. - Brug SSL-kryptering ved web-adgang til e-post.
- Hold virusdefinitionerne opdaterede ? mange programmer kan gøre det
automatisk. - Abonner på informationsbreve fra producenterne. Her kommer nyheder om sårbarheder og patches hurtigt ud.
- Opdater systemerne, så snart der kommer en ny patch.
Yderligere information:
Vejledning i sikring af postservere fra National Institute of Standards and Technology
Råd fra DK-CERT om lukning af åbne mail-relæer
Torben B. Sørensen er journalist ved Uni-C. Denne artikel stammer fra den trykte udgave af Computerworld.
