Как я могу предотвратить отправку почты пользователем как другим пользователем в Postfix?

Question

Я использую почтовый сервер на CentOS 7. Все программы и системы обновлены. Моим агентом пересылки почты является Postfix, и он использует Dovecot SASL для аутентификации пользователей.

В конфигурации Postfix моя доверенная сеть - только localhost. Таким образом, для отправки сообщений каждый хост должен пройти аутентификацию в Dovecot SASL.

ЭТА ПРОБЛЕМА

Например, может ли злоумышленник получить доступ к учетной записи. Он может отправлять сообщения, как если бы это были Ана, Боб и так далее. Как я могу предотвратить это?

ЦЕЛЬ

Другими словами, я хочу, чтобы сообщение было отправлено тогда и только тогда, когда аутентифицированный пользователь совпадает с заголовком отправителя. Существует какой-нибудь инструмент для этого?

Answer 1

Вы , вероятно , хотите использовать reject_sender_login_mismatch параметр в конфигурации smtpd_sender_restrictions так что вы бы что - то вроде этого:

smtpd_sender_restrictions =
    permit_mynetworks,
    reject_sender_login_mismatch,
    permit_sasl_authenticated,
    ...

Это позволит mynetworks отправлять электронную почту, но перед тем, как разрешить аутентифицированные клиенты SASL, он проверит, не совпадает ли логин отправителя.

Согласно документации Postfix:

reject_sender_login_mismatch: отклонить запрос, когда $ smtpd_sender_login_maps указывает владельца для адреса MAIL FROM, но клиент не (SASL) вошел в систему как владелец адреса MAIL FROM; или когда клиент (SASL) вошел в систему, но имя входа клиента не имеет адреса MAIL FROM согласно $ smtpd_sender_login_maps.

Это подразумевает создание новой карты для пользователей, которые могут использовать каждый адрес электронной почты, включая себя. Итак, если у вас есть адрес foo@bar.com, вам нужно добавить карту:

foo@bar.com      foo@bar.com

чтобы позволить foo@bar.com отправлять электронные письма с этой учетной записи после аутентификации.

Это также позволяет создавать удостоверения, поэтому учетная запись может иметь более одного разрешенного отправителя:

foo@bar.com      alice@bar.com

Это позволит любому, кто указан как foo@bar.com, отправлять сообщения с идентификатором alice@bar.com .