Page cover

🚧Seguridad en mailing

Tal y como estuvimos viendo al crear un servidor de correos, una de las "problematicas" que nos encontramos es la reticencia de los clientes de correos como Thunderbird para aceptar conexiones no cifradas que obviamente pueden vulnerar la seguridad.

Vamos a ver a continuación como solucionar este problema y cifrar nuestro protocolo SMTP para mayor seguridad.

ATENCIÓN: Algunas de las configuraciones pueden hacer dejar de funcionar la utilidad de envio de correos por no tener un certificado autofirmado, asegúrate de hacer instantáneas de la máquina para hacer pruebas.

Riesgos y amenazas en servidores de correos

Los servidores de correo electrónico son objetivos comunes para ataques debido a la información sensible que manejan. Algunos de los riesgos y amenazas más comunes incluyen:

  • Spam: Correos no solicitados que pueden contener enlaces maliciosos o adjuntos.

  • Phishing: Correos fraudulentos que intentan obtener información personal o credenciales.

  • Ataques de relé abierto: Configuraciones incorrectas que permiten a terceros enviar correos a través de tu servidor.

  • Malware: Software malicioso que puede infectar el servidor o los dispositivos de los usuarios.

  • Ataques de denegación de servicio (DoS): Inundación del servidor con tráfico para hacerlo inaccesible.

Amenazas a la seguridad del correo

Spam, phishing y ataques de relé abierto

Para mitigar estos riesgos, es crucial implementar varias capas de seguridad:

  • Filtros antispam: Herramientas como SpamAssassin pueden ayudar a identificar y bloquear correos no deseados.

  • Autenticación SMTP: Asegura que solo usuarios autorizados puedan enviar correos a través del servidor.

  • Listas negras y RBLs: Bloquea direcciones IP conocidas por enviar spam.

  • Configuración de SPF, DKIM y DMARC: Ayuda a verificar la autenticidad de los correos entrantes.

Métodos de autenticación en SMTP

La autenticación SMTP es esencial para prevenir el uso no autorizado del servidor de correo. Aquí hay algunos métodos comunes:

  • PLAIN: Envía el nombre de usuario y la contraseña en texto plano (no recomendado sin TLS).

  • LOGIN: Similar a PLAIN, pero más compatible con algunos clientes de correo.

  • CRAM-MD5: Usa un desafío-respuesta para autenticar al usuario sin enviar la contraseña en texto plano.

  • DIGEST-MD5: Similar a CRAM-MD5, pero más seguro.

Implementación de filtros y reglas de seguridad

Configurar filtros y reglas de seguridad puede ayudar a proteger el servidor de correo:

  • Filtros de contenido: Bloquea correos basados en palabras clave o patrones.

  • Reglas de tamaño: Limita el tamaño de los correos para prevenir ataques de denegación de servicio.

  • Reglas de remitente: Bloquea correos de dominios no confiables.

Configuración de SPF, DKIM y DMARC

Estas tecnologías ayudan a prevenir el spoofing de correos:

  • SPF (Sender Policy Framework): Publica una lista de servidores autorizados para enviar correos en nombre de tu dominio.

  • DKIM (DomainKeys Identified Mail): Firma digitalmente los correos para verificar su autenticidad.

  • DMARC (Domain-based Message Authentication, Reporting & Conformance): Define cómo manejar correos que fallan las verificaciones SPF y DKIM.

👌 Cifrado SMTP

Habilitaremos el cifrado SMTP al solicitar un certificado TLS gratuito autofirmado de OpenSSL (ya que los certificados oficiales requieren de un dominio de DNS público) para mi dominio local y configuraremos Postfix para que lo utilice al enviar mensajes:

Cuando se le pida confirmación, escribe la información correcta y el dominio alexdns.local y presiona ENTER.

Primero ejecutaremos para generar la clave privada (RSA 4096 bits):

Ahora ejecutamos OpenSSL para obtener un certificado valido por 365 días:

Durante este proceso, OpenSSL te pedirá información como el dominio (Common Name, CN), que debe coincidir con tu dominio interno, por ejemplo, mail.alexdns.local.

El certificado (cert.crt) y el archivo de clave privada (cert.key) estarán guardados en la carpeta en la que estés, toca moverlo (sudo mv) al sitio correcto que para este ejemplo puede ser:

Actualiza certificados con:

Ahora que tenemos el certificado, abre main.cf para editarlo:

Busca la siguiente sección:

Modifícalo para que tenga este aspecto, sustituyendo alexdns.local por tu dominio cuando sea necesario.

Configurar autenticación SMTP (smtpd_sasl_auth_enable)

La autenticación SMTP es un proceso que permite a los servidores de correo verificar la identidad de los usuarios que intentan enviar correos electrónicos a través de ellos. Esto es crucial para prevenir el uso no autorizado del servidor de correo y para asegurar que solo los usuarios legítimos puedan enviar correos.

Para habilitar la autenticación SMTP en Postfix, edita el archivo de configuración principal (/etc/postfix/main.cf) y añade o modifica las siguientes líneas:

Testeo

Cuando termines, guarda y cierra el archivo.

Aplica los cambios al reiniciar Postfix:

Probemos primero la conexión con certificado:

Si esto devuelve un resultado tal que:

¡Enhorabuena! Es que ha funcionado el certificado.

Ahora, vuelve a probar a enviar un correo electrónico:

A continuación, revisa el correo en el cliente de Thunderbird que configuramos en la anterior guía. Desde aquí, accede a Settings>Privacy & Security>Certificates>Manage certificates

Menú
Le indicamos que confie en usuarios y webs
Podemos comprobar que el certificado se ha gestionado correctamente

Puedes consultar la información técnica sobre el mensaje de correo electrónico en el cliente a partir de More>View source

En la parte de "received" puedes ver que ya no ofrece tanta información como en un correo mas antiguo.

Configurar un RBL en Postfix

Configurar una Real-time Blackhole List (RBL) en Postfix ayuda a reducir el spam rechazando correos electrónicos provenientes de fuentes conocidas de spam. Sigue estos pasos para activarlo:

Abre el archivo /etc/postfix/main.cf:

Ahora deberás agregar las RBLs a la configuración, recuerda que puedes incluir varias RBLs según sea necesario, en nuestro caso usaremos tres públicas que tienes a continuación:

Explicación:

  • permit_mynetworks: Permite correos desde la red local.

  • permit_sasl_authenticated: Permite usuarios autenticados con SMTP.

  • reject_unauth_destination: Evita que el servidor sea un "open relay".

  • reject_rbl_client: Consulta los servidores RBL especificados y rechaza los correos si la IP está en la lista negra.

Después de guardar los cambios, recarga Postfix para aplicar la nueva configuración:

Verificar que las RBLs están funcionando

Para asegurarte de que los RBLs se están usando correctamente, revisa los registros de Postfix:

Si un correo es rechazado por estar en una RBL, verás una línea similar a esta en los logs:

Esto confirma que Postfix está bloqueando emails de IPs en listas negras.

Cómo probar con GTUBE:

  1. Envía un correo desde cualquier cliente SMTP (como Thunderbird o sendmail) con este contenido:

  2. Postfix debería rechazarlo o marcarlo como spam si tienes SpamAssassin configurado junto con RBLs.

(Esto no me ha funcionado!)

Más info sobre RBLs: https://www.icann.org/en/blogs/details/reputation-block-lists-protecting-users-everywhere-1-11-2017-en

👷Spamassassin

Primero instalamos spamassassin y spamc (el cliente):

Por defecto, SpamAssassin no se ejecuta como un servicio por lo que debemos activarlo editando la configuración del servicio:

Ejecuta el siguiente comando (update-rc.d spamassassin enable):

Verifica que esté en ejecución:

Configurar SpamAssassin

Edita su archivo de configuración principal:

Añade o edita estas líneas:

📌 Explicación:

  • required_score 5.0 → Mensajes con puntaje ≥ 5 serán marcados como spam.

  • rewrite_header Subject ***SPAM*** → Agrega "SPAM" al asunto de los correos detectados.

  • use_bayes 1 → Activa el filtro Bayesiano (aprende con el tiempo).

  • bayes_auto_learn 1 → Habilita el autoaprendizaje.

  • report_safe 0 → Entrega los correos marcados como spam sin modificaciones (en vez de adjuntarlos).

🔹 Reinicia SpamAssassin para aplicar cambios:

Integrar SpamAssassin con Postfix

Edita el archivo de configuración de Postfix:

Vamos a crear un usuario para el spam con el siguiente comando:

Después, cambiemos el propietario de los archivos de configuración de SpamAssassin para evitar problemas de permisos:

Añade al final:

Qué hace esta configuración?

  1. Postfix recibe un correo entrante en el servicio SMTP (smtpd).

  2. Antes de entregarlo, lo envía a SpamAssassin (content_filter=spamassassin).

  3. SpamAssassin analiza el correo en busca de spam usando spamc.

  4. Si el correo no es spam, se reenvía a Sendmail, que lo entrega al destinatario final.

  5. Si es spam, SpamAssassin puede marcarlo con un encabezado o descartarlo, según la configuración.

Guarda, cierra y reinicia Postfix para aplicar cambios:

Verificar que SpamAssassin funciona

Existen servicios en línea que envían correos simulados para probar filtros de spam. Un ejemplo es GTUBE (Generic Test for Unsolicited Bulk Email), un texto de prueba que muchos filtros antispam (incluido SpamAssassin) detectan como spam.

Para probarlo, enviemos un correo de prueba con GTUBE :

Luego revisa los logs:

Si SpamAssassin funciona correctamente, verás algo como:

y el correo debería llegar con el asunto ***SPAM*** Spam Test.

🚧 Seguridad para principiantes

https://esgeeks.com/seguridad-correo-electronico-spf-dkim-dmarc/?feed_id=22344&_unique_id=66dcbee6bfd9b

SPF (Sender Policy Framework)

  • Objetivo: Define qué servidores están autorizados a enviar correos en nombre de tu dominio.

  • Cómo funciona:

    • Se configura mediante un registro TXT en la zona DNS de tu dominio.

    • Este registro especifica las direcciones IP o nombres de host permitidos para enviar correos.

  • Ejemplo de registro SPF:

    • ip4:192.0.2.1: Permite el envío desde esta dirección IPv4.

    • include:mail.ejemplo.com: Autoriza también servidores definidos en ese dominio.

    • -all: Rechaza todos los demás servidores que no estén listados.

  • Pasos para la implementación:

    1. Accede a la administración DNS de tu dominio.

    2. Añade o edita el registro TXT con la política SPF adecuada.

    3. Verifica la correcta propagación usando herramientas en línea.

DKIM (DomainKeys Identified Mail)

  • Objetivo: Añade una firma digital a cada correo saliente para verificar su autenticidad y asegurar que no se haya modificado en tránsito.

  • Cómo funciona:

    • Se genera un par de claves: privada y pública.

    • La clave privada se instala en el servidor de correo (por ejemplo, a través de OpenDKIM integrado con Postfix) y se usa para firmar los mensajes.

    • La clave pública se publica en un registro TXT en la zona DNS del dominio.

  • Ejemplo de registro DKIM:

    • default es el selector, que puedes personalizar.

    • p= contiene la clave pública en formato base64.

  • Pasos para la implementación:

    1. Genera las claves DKIM: Utiliza herramientas como opendkim-genkey.

    2. Configura el MTA: Instala y configura OpenDKIM para que firme los correos salientes.

    3. Actualiza la DNS: Publica la clave pública en un registro TXT en tu DNS.

    4. Prueba la firma: Envía correos de prueba y verifica la firma con herramientas de validación DKIM.

DMARC (Domain-based Message Authentication, Reporting & Conformance)

Utiliza SPF y DKIM para definir una política de autenticación y manejo de mensajes que fallen la verificación, protegiendo contra la falsificación de correos.

  • Cómo funciona:

    • Se configura mediante un registro TXT en la zona DNS, generalmente en el subdominio _dmarc.

    • Especifica qué acción tomar (ninguna, cuarentena o rechazo) si un correo no cumple con las políticas SPF/DKIM.

    • Permite recibir informes (agregados y forenses) sobre el cumplimiento de la política.

  • Ejemplo de registro DMARC:

    • p=reject: Rechaza los correos que no pasen la validación.

    • rua y ruf: Direcciones de correo donde recibirás los informes agregados y forenses, respectivamente.

    • pct=100: Aplica la política al 100% de los mensajes.

  • Pasos para la implementación:

    1. Define la política que deseas aplicar (p. ej., none, quarantine, reject).

    2. Crea el registro TXT en tu DNS bajo _dmarc.alexdns.local.

    3. Monitorea los informes para ajustar la configuración si es necesario.

Integración en tu servidor de correo

  • Configuración en el servidor:

    • Aunque los registros SPF y DMARC se configuran en el DNS, para DKIM necesitarás instalar y configurar un software (como OpenDKIM) en tu servidor.

    • Postfix es compatible con OpenDKIM, y la integración generalmente implica editar archivos de configuración en /etc/opendkim.conf y /etc/postfix/main.cf para enrutar los correos a través de OpenDKIM.

Webgrafia

1️⃣ Configuració de Postfix per evitar el relaying obert

Objectiu:

Evitar que el servidor de correu permeti l’enviament de correus per a dominis externs sense autenticació (relaying obert).

Passos:

🛠 1. Modificar la configuració de Postfix

  1. Editem el fitxer de configuració de Postfix:

  2. Verifiquem que existeixen les següents opcions en el fitxer i les configurem correctament:

    • permit_mynetworks: Permet l’enviament des de les IPs de confiança.

    • permit_sasl_authenticated: Permet l’enviament si l’usuari s’ha autenticat.

    • reject_unauth_destination: Evita el relaying obert (rebutja enviaments des de fora cap a altres dominis si no s’autentiquen).

  3. Guardar i tancar el fitxer (CTRL + X, Y, Enter).

🔄 2. Reiniciar Postfix per aplicar els canvis

🕵️ 3. Verificar si el servidor és vulnerable a relaying obert

  1. Fes una prova enviant un correu des d’una IP externa no autoritzada:

    Escrivim les següents ordres:

    • Si el servidor respon amb "Relay access denied", la configuració és correcta.

    • Si accepta l’enviament, el servidor és vulnerable i cal revisar la configuració.

2️⃣ Implementació de SPF, DKIM i DMARC per protegir contra suplantació d’identitat

Implementar mesures de seguretat per evitar que atacants enviïn correus en nom del nostre domini.

Passos:

🔹 1. Configurar SPF (Sender Policy Framework)

SPF permet especificar quins servidors poden enviar correus en nom del nostre domini.

  1. Afegir el següent registre TXT al DNS del domini:

    • mx: Permet només els servidors de correu registrats.

    • -all: Rebutja correus enviats per servidors no autoritzats.

  2. Verificar que el registre SPF està actiu

🔹 2. Configurar DKIM (DomainKeys Identified Mail)

DKIM signa digitalment els correus per validar que realment provenen del nostre domini.

  1. Instal·lar OpenDKIM:

  2. Configurar les claus DKIM:

    Això generarà dos fitxers:

    • default.private: Clau privada per signar els correus.

    • default.txt: Clau pública per afegir al DNS.

  3. Afegir la clau pública TXT al DNS:

  4. Reiniciar Postfix i OpenDKIM:

🔹 3. Configurar DMARC

DMARC defineix polítiques sobre què fer amb correus que no passen SPF o DKIM.

  1. Afegir aquest registre TXT al DNS:

    • p=quarantine: Els correus sospitosos es marquen com a spam.

    • rua=mailto:admin@tu_dominio.com: Envia informes dels intents de suplantació.

  2. Verificar la configuració

3️⃣ Signatura digital i xifrat de correu amb GPG

Objectiu:

Aprendre a signar i xifrar correus utilitzant GnuPG (GPG) per garantir autenticitat i confidencialitat.

Passos:

🔹 1. Generar claus GPG

  1. Escollir:

    • Tipus de clau: RSA

    • Mida: 4096 bits

    • Durada: Recomanable sense caducitat

  2. Introduir nom, correu electrònic i frase de seguretat.

🔹 2. Exportar la clau pública

Aquesta clau s’envia als contactes perquè puguin xifrar correus destinats a nosaltres.

🔹 3. Importar la clau pública d’un company

🔹 4. Signar un correu electrònic

Enviar missatge_signat.txt per correu.

🔹 5. Xifrar un correu electrònic

Enviar missatge_xifrat.gpg per correu.

🔹 6. Desxifrar un missatge rebut

4️⃣ Signatura digital i xifrat amb S/MIME

Objectiu:

Utilitzar certificats S/MIME per signar i xifrar correus electrònics.

Passos:

🔹 1. Generar un certificat S/MIME amb OpenSSL

🔹 2. Importar el certificat a Thunderbird o Evolution

  1. Obrir el client de correu.

  2. Anar a Configuració del compte → Seguretat.

  3. Importar el certificat .pem.

🔹 3. Signar i xifrar un correu

  • En enviar un correu, seleccionar "Signar digitalment".

  • Per xifrar, assegurar-se que el destinatari té el certificat.

AnteriorComprobación ESMTPSiguienteMail temporal

Última actualización