メールサーバの不正利用対策その１

メールサーバを運営する際に気をつけなければならないもののひとつとして，メールサーバの不正中継（Third Party Mail Relay，第三者中継）が挙げられる。これは他人の運営しているメールサーバを利用し，大量のスパムなどを送信する不正行為を指すが，もし自宅のメールサーバを不正利用された場合，サーバのリソースや回線などを枯渇させるだけでなく，スパムを受信したユーザーからの苦情までも受けなければならなくなる。

　インターネット上の一部のアンダーグラウンドサイトでは，不正中継を許可しているメールサーバをリスト化して公開しているサイトもあり，もしそういったリストに自宅サーバが登録された場合には，いたるところから不正利用を試みる接続が繰り返されることになる。

　自宅サーバを外部から利用しないのであれば，ローカルエリアからの接続以外はすべて拒否するように設定を行っておけばいいが，出張先や旅先など，出先から自宅メールサーバを利用してメールを送信したい場合には，すべての接続を拒否しておくと利用できなくなってしまう。

　Linux Tipsで解説した「Postfix（メールサーバ）でスパム拒否設定がしたい」Tipsのように，特定のドメインのみで利用可能にするのも効果的だが，メールサーバの不正利用対策として，RFC2554にもあるSMTPサーバに「SMTP Authentication」（※1），「POP before SMTP」（※2）などの機能を追加して利用してみてはいかがだろう。このうち今回は，SMTP Authenticationの導入について解説していく。

図1■SMTP Authenticationの概念図 SMTPサーバでもユーザー名，パスワードにて認証を行う

図2■POP before SMTPの概念図 POPサーバへアクセス（ユーザー認証）し，認証されたアドレスを一時的に保持して，SMTPへのアクセスを許可する

　今回は，SMTPサーバとしてPostfixを利用している場合のSMTP Auth導入について紹介する。なお本執筆ではディストリビューションはRedhat Linux7.2，Postfixのバージョンはpostfix Version 1.1.7を利用している。

・Cyrus SASLのインストール
　PostfixでのSMTP Auth導入には，SASL（Simple Authentication and Security Laye-RFC2222）として「Cyrus SASL」ライブラリを利用する。なお，Redhat Linux7.2ではすでにCyrus SASLが組み込まれている。そのため新たにソースファイルからインストールを行うと正常に動作しなくなるので注意しよう。

　まずはCyrus SASLがインストールされているかを確認する。

このように表示されていれば，Cyrus SASLはインストール済みだ。ただ執筆時点で，RedhatのアップデートサイトにCyrus SASLのアップデータが掲載されているので，「update.redhat.com」などからダウンロードして，事前にアップデートしておこう（リスト1）。

リスト1■アップデータ一覧 cyrus-sasl-1.5.24-23.i386.rpm cyrus-sasl-devel-1.5.24-23.i386.rpm cyrus-sasl-gssapi-1.5.24-23.i386.rpm cyrus-sasl-md5-1.5.24-23.i386.rpm cyrus-sasl-plain-1.5.24-23.i386.rpm

・Cyrus SASLをソースファイルからインストールする場合
Cyrus SASLがインストールされていない場合は，ソースファイルからインストールを行う。Cyrus SASLのインストールは，下記のように行えばよい。

インストールしたら，「/etc/ld.so.conf」に，「/usr/local/lib」を追加する。

追加したら，以下のコマンドを実行する。

Outlook Expressのログイン認証を利用する場合には「--enable-login」を，SMTP認証にUNIXパスワードファイルを利用して認証を行いたい場合は「--with-pwcheck」をつける。ただし，SMTP認証にUNIXパスワードファイルを利用するのはセキュリティ上あまり好ましくないだろう。そこで，ここではSASLのパスワードファイル（sasldb）を作成し利用する認証方法を紹介する。

　PostfixでのSMTP Auth導入にはPostfixを再コンパイルして再インストールする必要がある。Postfixの基本的なインストールについては，Linux Tips「メールサーバを動かしたい〜Postfix編〜」を参照してほしい。

※2　上記はRedhat Linux7.2ですでにCyrus-SASLがインストールされている場合だ。Cyrus-SASLをソースファイルからインストールしたときには，make makefiles以下のパス設定を下記のように変更する。Cyrus-SASLのconfigure時に特にパスを指定していなければ/usr/local/includeと/usr/local/libとすればよい。 $ wget ftp://ftp.ayamura.org/pub/postfix/official/postfix-1.1.7.tar.gz $ tar xzvf postfix-1.1.7.tar.gz $ cd postfix-1.1.7.tar.gz ($ make tidy) $ make makefiles CCARGS="-DUSE_SASL_AUTH -I/usr/local/include" AUXLIBS="-L/usr/local/lib -lsasl" $ make $ su password: # make install

　次にSMTP AUTHで利用するパスワードを作成する。ここではログインパスワードはsasldbを参照するように設定を行っている。作成したユーザーアカウント，パスワードは，メールアカウントを持つ各ユーザー別に作成して利用する方法のほかに，いくつかのユーザーアカウント，パスワードをSMTP AUTH専用に共有して利用することもできる。

○パスワードデータベースの指定

とする。

○パスワードの作成

　パスワードの作成は以下のようにして行う。

なお，作成したパスワードを削除するためには

とすればよい。作成されたパスワードを確認したい場合は以下のようにする。

　ちなみに，以前のバージョンからPostfixを利用している場合は「/usr/postfix/bin/」にpostconfが存在することがある。ここへパスが通っていない場合は「/usr/postfix/bin/postconf」とフルパスで記述してほしい。

・Redhat Linuxで組み込まれたCyrus SASLを利用している場合のプログラムへのパス /usr/sbin/saslpasswd /usr/sbin/sasldblistusers ・ソースファイルからインストールした場合（パスを指定していない場合）のプログラムへのパス /usr/local/sbin/saslpasswd /usr/local/sbin/sasldblistusers

○パスワードファイルの設定

　続いて，sasldbをpostfixが利用できるようグループに登録し，パーミッションを変更する。

　Postfixの設定ファイル「main.cf」を編集する。編集は# Other configurable parametersに以下のように追加し設定する。

としたら，「/Other configurable parameters」として「Other configurable parameters」をサーチし，以下のように追加する。

設定項目について smtpd_sasl_auth_enable=yes 　SMTP AUTHの利用を設定 smtpd_recipient_restrictions = permit_mynetworks,permit_sasl_authenticated, check_relay_domains, reject 　リレーを許可するものを設定する。「permit_sasl_authenticated」はSMTP認証を通過したものを許可する設定なので必ず加える。「permit_mynetworks」は「mynetworks」で設定されたネットワークからの接続を許可する。「reject」はそれ以外は拒否することを設定している。 smtpd_sasl_security_options = noanonymous,noplaintext セキュリティオプションの設定。noanonymousは匿名での接続を拒否する。上記のようにnoplaintextと記入するとPLAINでの認証を拒否する。 broken_sasl_auth_clients = yes ---- アウトルック，Outlook Expressのログイン認証を利用するための設定

　設定が完了したらPostfixを起動する。

　Postfixを起動したら，SMTP AUTHのテストを行う。まずtelnetでローカルホスト，ポート25番に接続し，コマンドで「EHLO localhot」と入力し，「AUTH PLAIN LOGIN DIGEST-MD5 CRAM-MD5」と表示されるかを確認する（smtpd_sasl_security_optionsでPLAINでの認証をしないように設定した場合は「250-AUTH DIGEST-MD5 CRAM-MD5」と表示される）。この段階で「250-AUTH PLAIN」だけが表示されているときには，再度インストール作業を確認する必要がある。

　なお，Outlook Expressで使用する設定を行っている場合には「AUTH PLAIN LOGIN DIGEST-MD5 CRAM-MD5」の下に「250-AUTH=PLAIN LOGIN DIGEST-MD5 CRAM-MD5」も表示される。

確認ができたら一端「QUIT」で終了し，saslpasswdで設定したパスワードをエンコードし，正しく認証が行われるかをチェックしよう。

もしくは

　たとえば，テスト用に「ユーザー名：hoge」，「パスワード：hoge」でパスワードを作成してからテストする場合は，先ほど解説したように

とし，パスワードを作成する。そしてユーザー名とパスワードが生成されていることを確認しよう。

　そのあとユーザー名パスワードをエンコードする

　Telnetでlocalhostのポート25番に接続し，EHLOのあとに「AUTH PLAIN エンコードしたユーザー名パスワード」を入力する。正しくないパスワードでのエンコードも行って正常に認証されるかテストする。

○間違ったパスワードでテスト

　念のため，間違ったパスワードを入力してテストしてみよう。

テストが完了したらテスト用のアカウントを削除しておこう。