forjado FROM: cabeçalho apesar de reject_authenticated_sender_login_mismatch

Question

descrição estrutural

• O servidor A executa o postfix e atua como smarthost para o servidor B (também executando o postfix), reject_authenticated_sender_login_mismatch é definido e funciona (quase) como esperado, veja abaixo
• O MUA do cliente C envia e-mails via servidor A
• B e C conectam-se via porta de envio e autenticidade com STARTTLS

o que acontece quando se tenta forjar remetente

• Definir um cabeçalho FROM: arbitrário alterando o endereço do remetente no thunderbird ou adicionando uma nova identidade no roundcube leva ao resultado esperado: o email é recusado
• fazendo o mesmo usando mail -s "This is a Subject" -a "From: [email protected]" no Servidor B usando A, pois o Smarthost resulta no envio bem-sucedido do e-mail

diferenças observadas

O seguinte foi observado aumentando a verbosidade do postfix 'smtpd

• login do thunderbird e do roundcube e, em seguida, defina diretamente o FROM: para um valor aceito

• O servidor B é iniciado da mesma forma, mas de alguma forma consegue alterar o cabeçalho FROM: posteriormente. Isso não pode ser visto no arquivo de log postfix smtpd, mas no email que é finalmente enviado:

  Return-Path: <[email protected]>
  Delivered-To: [email protected]
  Received: from mail.example.com 
  by mail.example.com (Dovecot) with LMTP id UuV2IVaP3lvdKAAAEby5rg
  for <[email protected]>; Sun, 04 Nov 2018 07:19:02 +0100
  To: [email protected]
  Subject: This is a Subject
  From: [email protected]
  MIME-Version: 1.0
  Content-Type: text/plain; charset="UTF-8"
  Content-Transfer-Encoding: 8bit
  Message-Id: <[email protected]>
  Date: Sun,  4 Nov 2018 07:19:02 +0100 (CET)
  Authentication-Results: ORIGINATING;
      auth=pass [email protected] 
  [email protected]
  
  
  body of your email
  

  • pelo menos não é (em oposição a e-mails válidos) DKIM assinado
  • Isso não é spam, só não quero que "todo mundo" seja capaz de forjar endereços de remetente

perguntas

• Por que isso acontece?
• Mais importante: o que posso fazer para evitar que isso aconteça?

Answer 1

Esse é o comportamento esperado, pois o envelope emissor do SMTP eo cabeçalho From: são itens separados. O reject_sender_login_mismatch (e a versão limitada apenas a usuários autenticados) impede o uso de um endereço no SMTP MAIL FROM comando, a menos que corresponda a um proprietário autenticado pelo SASL. Não importa o que está dentro da mensagem - isso inclui seus cabeçalhos. Foi assim que o e-mail foi criado e há também muitas razões legítimas para essa incompatibilidade .

Ao usar mail -a você modifica os cabeçalhos, sozinho. Não é alterado depois, como você sugere. A única razão pela qual você não pode fazer isso com o Thunderbird é que ele usa o mesmo endereço no envelope e no cabeçalho. Não é limitado pelo seu servidor.