Re: indirizzi e-mail spoofati

On Thu, 2002-08-29 at 09:20, yasdam wrote:
> 
> ----- Original Message -----
> From: "Simone" <alladin@aemmenet.it>
> To: <ml@sikurezza.org>
> Sent: Wednesday, August 28, 2002 1:49 PM
> Subject: Re: indirizzi e-mail spoofati
> 
> [cut]
> 
> > Beh, nulla di complicato. Se il client di posta elettronica dichiara di
> > inviare mail per conto di quell'indirizzo, l'MTA non ha nulla da ridire.
> > Ricordiamoci che l'SMTP è un servizio non autenticato.
> 
> Vero, ma ricordiamoci che quasi tutti i mailserver di oggi hanno possibilità
> di configurazione che permettono di evitare questo problema.
> In particolare, un semplice controllo sull'MX Record del dominio del
> mittente identificherebbe se il mailserver spedente è reale oppure no, e un
> POP3-before-SMTP (o Auth-before-SMTP) sul vero server corrispondente all'MX
> Record a chiunque non autenticato la spedizione della mail.

Non è detto che un server perfettamente in regola abbia necessariamente
un MX record o un reverse mapping, un test del genere potrebbe poter far
perdere molta posta perfettamente lecita.
E ancora peggio il test sul pop3, chi l'ha detto che il servizio di pop
sta sulllo stesso server che manda la posta? O che sia del tutto
disponibile? Potrebbe essere non disponibile del tutto, o magari
filtrato per consentire l'accesso solo dall'interno, ecc...

> E sono tutte opzioni di configurazione quasi standard...se il proprio
> software è di buon livello, ovviamente! :)

L'unica feature necessaria è la possibilità di non permettere il relay,
ovvero rifiutare tutta la posta di cui non siamo destinatari.

Simo.

-- 
Simo Sorce - simo.sorce@xsec.it
Xsec s.r.l.
via Durando 10 Ed. G - 20158 - Milano
tel. +39 02 2399 7130 - fax: +39 02 700 442 399

This is a digitally signed message part