آشنایی با یک روش چند مرحله‌ای برای ایمن‌سازی ارتباطات ایمیلی

آشنایی با یک روش چند مرحله‌ای برای ایمن‌سازی ارتباطات ایمیلی

در حوزه امنیت سرور ایمیل دیدگاه افراد معمولاً به تدابیری که به پیام‌ها اعمال می‌شوند یا سازوکارهایی مثل آنتی‌ویروس و آنتی‌اسپم محدود است. در حالی که انجام این اقدامات فقط منجر به ایمن‌سازی مراحل مقدماتی از فرایند پیچیده حفاظت از سرورهای ایمیل می‌شوند. در این مطلب همه لایه‌های امنیتی که برای انتخاب یک سرور ایمیل و پیکربندی و استفاده از آن مهم هستند را معرفی و تشریح می‌کنیم.

 

1. ایمن‌سازی ارتباطات سرور ایمیل

مدیران سرورهای ایمیلی که مدت چندان زیادی از نصب‌شان نمی‌گذرد ابتدا باید اطمینان یابند که از ارتباطاتی امن برای این سرورها استفاده می‌شود. رمزنگاری و استفاده از قوانینی مشابه فایروال از جمله روش‌های کارآمد برای ایمن‌سازی ایمیل‌ها هستند.

با توجه به افزایش میزان استفاده از اینترنت به‌ویژه برای نقل و انتقال داده‌ها، همواره شاهد طراحی روش‌های کدگذاری جدید بودیم. پرکاربردترین روش‌های کدگذاری شامل امنیت لایه انتقال یا TLS (به انگلیسی:Transport Layer Security ) و لایه سوکت‌های امن یا SSL (به انگلیسی: Secure Sockets Layer) هستند اما ممکن است عدم استفاده صحیح از رمزنگاری، منجر به وقوع رخنه‌های امنیتی شود. وجود اطلاعات ایمن‌سازی شده و ایمن‌سازی نشده به صورت همزمان در یک صفحه یا ایمن‌سازی اطلاعات فقط پس از ورود با استفاده از یک صفحه ورود ساده جزو اشتباهات رایج در این زمینه هستند.

استفاده از قوانین مشابه قوانین فایروال در سطح سرور، به عنوان پشتیبانی برای فایروال‌های موجود و یک راهکار جایگزین برای زمان‌هایی که فایروالی در دسترس نیست، مفید است. این قوانین می‌توانند محدودیت‌هایی را برای اتصالات برقرار شده و همچنین برای ترافیک تعریف کنند. توصیه می‌کنیم که قوانین تأیید/رد (allow/deny) را هم به صورت سرتاسری و هم برای هر شنونده (listener) تنظیم کنید تا از حملاتی مثل محروم‌سازی از سرویس پیشگیری کنید.

 

2. ایمن‌سازی پروتکل‌های سرور ایمیل

پس از ایمن‌سازی اولین مرحله از انتقال ایمیل، اقدام بعدی ایمن‌سازی پروتکل‌ها است.

توصیه می‌شود از چندین شنونده برای هر رابط کاربری و تنظیم قوانین allow و deny که مخصوص هر کدام از آنها است استفاده شود. ایجاد محدودیت در تعداد خطاهای احراز هویت و اتصال، حداکثر تعداد فرمان‌های مجاز و تنظیم یک زمان مشخص برای لغو اعتبار نشست فعال هم می‌تواند به مقابله با حملات محروم‌سازی از سرویس کمک کند.

برای ارتقای امنیت، استفاده از قوانین کنترل کلاینت، بر اساس آدرس گیرنده یا فرستنده و تنظیم محدودیت‌هایی خاص در زمینه تعداد و حجم ایمیل‌ها هم توصیه می‌شود.

احراز هویت در سطح پروتکل هم بسیار مهم است. با پیاده‌سازی چند روش احراز هویت ساده (مثل صفحه لاگین یا CRAM-MD5) یا پیچیده (مثل GSSAPI یا کربروس) امنیت ارتباطات سرور ایمیل ارتقا یافته و برای مقابله با حملات و دسترسی‌های غیرمجاز آمادگی بیشتری خواهد داشت.

سایر راهکارهای سطح پروتکل می‌توانند سازگاری سرور شما با Request For Comments یا به اختصار RFC[1] را تضمین داده و از ایجاد حلقه‌های ایمیلی پیشگیری کنند (یک روش خیلی ساده، تنظیم حداکثر تعداد هدرهای Received برای هر ایمیل است).

 

3. ایمن‌سازی پارامترهای کنترل ایمیل

علاوه بر نصب نرم‌افزارهای آنتی‌ویروس و آنتی‌اسپم، اقدامات امنیتی دیگری هم هستند که باید برای امنیت سرور ایمیل انجام دهید. یکی از گزینه‌های بسیار مفید، استفاده از فهرست خاکستری است. در این فهرست به جای عدم پذیرش موقت ایمیل، درخواست ارسال مجدد آن اجرا می‌شود. سرور، آدرس آی‌پی گیرنده و فرستنده را در یک فهرست ذخیره می‌کند و یک پیام خطای موقت ارسال می‌کند. سپس همه سرورهای معتبر و صحیح، ایمیل‌ها را دوباره ارسال می‌کنند اما اسکریپت‌های اسپم خیر. دقت کنید که سرورها در حال حاضر معمولاً قابلیت تشخیص خطای موقت از خطای دائم را ندارند.

کنترل میزبان نیز روشی دیگر برای کسب اطمینان از این مسئله است که فقط ایمیل‌های معتبر توسط سرور ایمیل پردازش می‌شوند. دو روش شناخته شده در این زمینه، فریم‌ورک سیاست فرستنده یا SPF (به انگلیسی: Sender Policy Framework) و فهرست‌های سیاهچاله مبتنی بر DNS هستند. رکوردهای SPS، حاوی اطلاعاتی عمومی هستند که توسط دامنه‌هایی در سرورهای DNS منتشر می‌شوند. این سرورها معمولاً به آدرس واقعی دامنه‌ها اشاره و آنها را تأیید می‌کنند. می‌توانید با استفاده از بررسی‌های SPF، با ایمیل‌های اسپم و پس پراکنش (back-scatter) مقابله کنید.

فهرست‌های سیاه می‌توانند به صورت عمومی (رایگان) یا خصوصی باشند و معمولاً حاوی آدرس آی‌پی سرورهای بازپخش آزاد (back-scatter)، پروکسی‌های باز و ISPهایی بدون فیلتر اسپم هستند. سرور شما باید به‌گونه‌ای تنظیم شود که چنین فهرست‌هایی را درخواست کند و درخواست برقراری ارتباط توسط آی‌پی‌های موجود در چنین فهرست‌هایی را قبول نکند. ممکن است یکی از سرورهای شما به اشتباه در چنین فهرست‌هایی ثبت شده است. احتمال دارد برای حذف آن از این فهرست نیاز به پر کردن یک فرم آنلاین، تماس با مدیران فهرست یا در شرایط خاص تغییر آی‌پی پیدا کنید.

روش احراز هویت پیشرفته‌تر، Domain Keys Identified Mail Signature یا به اختصار DKIM است. این روش که توسط یاهو پیاده‌سازی شده و گوگل، سیسکو، پی‌جی‌پی و Sendmail از آن پشتیبانی می‌کنند، دارای موقعیت بسیار مناسبی برای تبدیل به روش احراز هویت استاندارد است. در این مدل، هدر ایمیل حاوی یک امضای رمزنگاری شده است و خود آن هم رمزنگاری شده و به یک کلید رمزنگاری شده اشاره دارد که دامنه فرستنده، آن را بر روی سرورهای DNS عمومی منتشر کرده است. سروری که ایمیل را پردازش می‌کند از این کلید برای کدگشایی بدنه ایمیل استفاده خواهد کرد. در صورت موفقیت آمیز بودن رمزگشایی، ایمیل معتبر محسوب می‌شود.

قوانین بازپخش (Relay) نقش بسیار مهمی در ایمن‌سازی یک سرور ایمیل دارند. توصیه می‌کنیم که هرگز بازپخش آزاد (open relaying) را قبول نکنید چون می‌تواند به راحتی باعث قرار گرفتن سرور شما در فهرست سیاه شود. باید چند قانون مشخص برای بازپخش داشته باشید که بر اساس آدرس فرستنده/گیرنده تعریف شده باشند یا بازپخش را فقط برای کاربران احراز هویت شده انجام دهید. در هنگام انتخاب سرور ایمیل باید مطمئن شوید که امکاناتی مثل تعریف قوانین بازپخش، پیکربندی احراز هویت دامنه، قابلیت تنظیم رابط کاربری ارسال ایمیل، پشتیبانی از SSL/TSL و انواع افزونه‌ها و روش‌های احراز هویت در آن وجود دارند.

همچنین پیشنهاد میشود: امنیت ایمیل نیاز به یک راهکار انسانی دارد یا فنی؟

 

4. مدیریت و پیکربندی امن

پیکربندی و مدیریت معمولاً به عنوان بخشی از لایه امنیت در نظر گرفته نمی‌شوند اما امکانات پیکربندی ارایه شده توسط سرور و پیکربندی‌های واقعی که توسط کاربر انجام می‌شوند نقش مهمی در ایمن‌سازی کارگذار انتقال پیام یا MTA (Message transfer agent) دارند. ابتدا مدیر باید با راهکار مدنظر، امکانات و نقایص آن آشنا باشد. فایل اجرایی سرور باید از قابلیت برنامه‌نویسی بدون نشت حافظه، رهاسازی امتیازات کاربر روت (فقط در سیستم‌عامل‌های یونیکسی) و مسدود کردن همه درخواست‌های دسترسی به جز دسترسی به فایل‌های عمومی پشتیبانی کند.

دسترسی به فایل پیکربندی فقط باید برای مدیر ممکن باشد. همچنین این فایل باید همواره بسیار خاص بوده، امکان درک و اصلاح آن به راحتی وجود داشته باشد و همه مقادیر پیش‌فرض امن باشند. برای مثال وجود یک مقدار پیش‌فرض که امکان بازپخش آزاد را فراهم می‌کند، یک نقص امنیتی مهم محسوب می‌شود.

باید برای تغییر پیکربندی سرور، پیمانه‌های مدیریتی جایگزین (مثل رابط کاربری تحت وب یا خط فرمان) وجود داشته باشند. همچنین بسیار مهم است که همه ارتباطات به این پیمانه‌ها از طریق پروتکل SSL برقرار شوند. برای اطمینان از دسترسی امن به این پیمانه‌ها، استفاده از یک سرور ایمیل با سرور HTTP اختصاصی و زبان اسکریپت‌نویسی مبتنی بر HTML توصیه می‌شود.

کامل‌ترین توصیه امنیتی، پیاده‌سازی یک سیستم «میزبانی هوشمند» است. چنین سیستمی شامل چندین سرور ایمیل است که بر روی ماشین‌های مختلف نصب شده و هر کدام یک کار خاص انجام می‌دهند. سروری با بهترین امکانات اتصال و بیشترین امنیت پروتکل، باید برای فایروال استفاده شود. سرور دوم باید پارامترهای کنترل ایمیل را اجرا کند (مثل نرم‌افزارهای آنتی‌اسپم و آنتی‌ویروس). سومین سرور باید بیشتر متمرکز بر روی مدیریت دامنه باشد. البته ممکن است میزبانی هوشمند به منابع نرم‌افزاری و سخت‌افزاری بیشتر از آنچه در سیستم شما موجود است، نیاز داشته باشد.

 

نتیجه‌گیری

مهم‌ترین جنبه‌ای که باید به آن توجه کنید این است که هرگز نمی‌توانید وجود امنیت کامل را تضمین کنید. بنابراین باید بر روی ایجاد حالت بهینه تمرکز کنید و نه یک شرایط بی‌نقص و کامل. در هر سطح از امنیت، احتمال بروز نقص امنیتی و رخنه وجود دارد. راه حل کلی، انتخاب بهترین پیکربندی ممکن و وفق دادن آن با توپولوژی و نیازهای شبکه خودتان است.

[1] سند RFC یک پیش‌نویس رسمی از سوی سازمان IETF است و ویژگی‌های یک تکنولوژی را شامل می‌شود.

نوشته های مرتبط
یک پاسخ بنویسید

نشانی ایمیل شما منتشر نخواهد شد.فیلد های مورد نیاز علامت گذاری شده اند *

20 − 16 =