Mail u sebe doma

[PanVP]

provozovat ho realne je uz vyssi divci

Prostě to je věc o kterou se pak musíš starat.
Když si pořídíš benzínovou sekačku, měl bys jí po sezóně vyčistit, vylít starý benzín, promazat, zakonzervovat.
Je to prostě určitá námaha, určitý čas, který tomu musíš věnovat.
Když si můžeš od souseda půjčit robotickou sekačku, byť tě u toho šmíruje, může to pro tebe být pohodlnější.

Kdy má vlastní "sekačka" smysl:
- když máš exchange server
- když chceš posílat nějaká upozornění a reálně e-maily nepřijímáš (nemusíš se starat o spoustu věcí)
- když jsi paranoidní a máš pocit, že tvoje žvásty pročítá nějaká pokročilá inteligence, která se jim směje

Kdy nemá vlastní "sekačka" smysl:
- když je to pro jednoho až dvacet lidí, protože by ti péče o sekačku zabrala nějaký ten čas

[Reklama]

[xyz]

provozovat ho realne je uz vyssi divci

Prostě to je věc o kterou se pak musíš starat.
Když si pořídíš benzínovou sekačku, měl bys jí po sezóně vyčistit, vylít starý benzín, promazat, zakonzervovat.
Je to prostě určitá námaha, určitý čas, který tomu musíš věnovat.
Když si můžeš od souseda půjčit robotickou sekačku, byť tě u toho šmíruje, může to pro tebe být pohodlnější.

Kdy má vlastní "sekačka" smysl:
- když máš exchange server
- když chceš posílat nějaká upozornění a reálně e-maily nepřijímáš (nemusíš se starat o spoustu věcí)
- když jsi paranoidní a máš pocit, že tvoje žvásty pročítá nějaká pokročilá inteligence, která se jim směje

Kdy nemá vlastní "sekačka" smysl:
- když je to pro jednoho až dvacet lidí, protože by ti péče o sekačku zabrala nějaký ten čas

No ja si pamatuju, ze jsem nekdy pred 20 lety mel referat na felu o sendmailu a uz tehdy mne to prislo dost hardcore a to jeste tenkrat nebyl SPAM.

[PanVP]

Až takovy masakr to není, hlavně když máš nějaký drobný prašule a nahodíš si rd.party virtuál na gumování spamu a virů. (Aktualizuje se!)Tvůj virtuál přijme poštu, předá jí tomu sráči, a ten jí vyčištěnou vrátí. Spam se otaguje a Viry na něm uváznou. Ma to třeba i webksicht, abys mohl kontrolovat maily v karanténě

Pak jde jen o to, nastavit tvůj pošťák, aby maily z něj nepadaly zákazníků do spamu, což se bohužel běžně stává a chce si s tím pohrát. Neni to raketová věda, ale může to být opruz. Opruz 1. - lidi chtějí  webovou poštu, je to další sraní. Opruz 2. - lidi chtějí webovou poštu v mobilu a přístupnou z netu. Opruz 3. - obnov mi ten smazaný e-mail. Opruz 4. - nedělal jsem to, protože ten mail u nich skončil ve spam....

Od seznamu je služba mail na vlastni doméně a to je prostě pohodlné.

EDIT: Takže pravdu - podle mě - má Filip i RDa. Jen každý to má asi z jiného úhlu pohledu.

[by_cx]

Nemáte povinnost komentovat vše, co nechápete.

Jj, to vám uniká už od začátku.

Pořád tu melete něco o rozesílání spamu. Tak mi řekněte, nastavím si svůj email pomocí iRedMail, budu ho používat třeba jen já a moje žena. Ven půjde jen SMTP port, IMAP a webmail. Jak tenhle setup může ohrozit konzistenci emailových služeb celého světa? Open relay z toho není by default, jen stěží nám utečou přihlašovací údaje, přímý útok na webmail je spíš ze světa SciFi, zvlášť, když to je aktualizovaná instance a útok přes samotné zprávy je ještě vzácnější. O všech tu prohlašujete, že tomu nerozumí, tak mi prosím nadhoďte pár příkladů, jak takovýto emailový server může začít rozesílat spam a ohrožovat tím své okolí? Ta šance u takhle malých instancí je úplně mizivá. I na serveru s tisícovkou uživatelů jsme takovéto incidenty řešili jen párkrát do roka.

[Filip Jirsák]

Pořád tu melete něco o rozesílání spamu. Tak mi řekněte, nastavím si svůj email pomocí iRedMail, budu ho používat třeba jen já a moje žena. Ven půjde jen SMTP port, IMAP a webmail. Jak tenhle setup může ohrozit konzistenci emailových služeb celého světa? Open relay z toho není by default, jen stěží nám utečou přihlašovací údaje, přímý útok na webmail je spíš ze světa SciFi, zvlášť, když to je aktualizovaná instance a útok přes samotné zprávy je ještě vzácnější. O všech tu prohlašujete, že tomu nerozumí, tak mi prosím nadhoďte pár příkladů, jak takovýto emailový server může začít rozesílat spam a ohrožovat tím své okolí? Ta šance u takhle malých instancí je úplně mizivá. I na serveru s tisícovkou uživatelů jsme takovéto incidenty řešili jen párkrát do roka.

Největší problém je to, že máte utkvělou představu, že server musí být open relay, aby přes něj někdo rozesílal spam. Na tom serveru můžete mít jinou děravou webovou aplikaci (nebo jinou aplikaci), můžete mít špatně nakonfigurované posílání nedoručenek, díru ve webmailu bych rozhodně nepovažoval za sci-fi. Vy nebo vaše žena můžete mít napadený počítač. No a že to není open relay by default, to neznamená, že nebude někdo vylepšovat konfiguraci a server neotevře, třeba jen trochu. Zejména když se na fóru dočte, že to přece nic není a nemůže se nic stát.

[Reklama]

[PanVP]

Ano, to jsou časté chyby, kdy při nějaké pozdější konfiguraci dojde k vytvoření bezpečnostního problému.
Na druhou stranu, velmi rychle se objeví na blacklistech, což ho přiměje zkontrolovat nastavení.

Filipe, zjevně má času jako nakakáno, tak proč ho od toho odrazovat, ať si to zkusí ne?
Já bych mu popřál hodně úspěchů, třeba z něj bude špičkový e-mailový provider, takové lidi potřebujeme.

[RDa]

Největší problém je to, že máte utkvělou představu, že server musí být open relay, aby přes něj někdo rozesílal spam. Na tom serveru můžete mít jinou děravou webovou aplikaci (nebo jinou aplikaci), můžete mít špatně nakonfigurované posílání nedoručenek, díru ve webmailu bych rozhodně nepovažoval za sci-fi. Vy nebo vaše žena můžete mít napadený počítač. No a že to není open relay by default, to neznamená, že nebude někdo vylepšovat konfiguraci a server neotevře, třeba jen trochu. Zejména když se na fóru dočte, že to přece nic není a nemůže se nic stát.

Vsechny vyjmenovane vektory utoku jsou zcela ortogonalni k existenci instance MTA instalovane a spravovane tazatelem a muzou nastat zcela se stejnou pravdepodobnosti ve spojitosti s vnejsi instalaci a spravovanim od kohokoliv jineho.

Nebylo by jednodussi pane Jirsaku, doporucovat vsem uzivatelum roota zcela generickou a vsespasnou radu, aby pocitac vubec nepouzivali, nezapojovali do site, ani do te elektricke, vubec nezapinali, hlavne ani nevlastnili a nedejboze aby se na ne dovolili vubec podivati v obchodech a behem rodinnych navstev?

Protoze hrozba svetoveho kolapsu je 2 minuty pred dvanactou!!!

[PanVP]

Takže, směle do toho.

Doporučuji tento setup - Nějaký malý VLASTNÍ virtualizační server.
1. VPS: Doporučuji automaticky aktualizovaný systém s řízeným firewallem.
Je to trochu opruz, mít to oddělené, ale nevadí.
Úkol tohoto VPS je převzít data a předat na samotný živý systém.
Požadavky: Cca 2 sdílená jádra a 256mb paměti, systém samozřejmě bez GUI, zakázat všechny nepotřebné porty.
Tento VPS může být nahrazen firewallem v modemu, někde jinde. Ale SKUTEČNĚ NIKDY, nespojujte funkci mailového serveru a firewallu.

2. VPS: Tady budou bydlet data a samotný MTA, takový klasický je Postfix, proč ne...

3. VPS: Použít Security for Mail Server
https://www.kaspersky.com/small-to-medium-business-security/mail-server
Cena za užíváka je asi 29 dolarů ročně, ale každý ten jeden dolar stojí za to, systém se sám aktualizuje a je schopný zlikvidovat většinu bordelu.

Data putují z VPS 1 přesměrováním do VPS 2, to je pošle na VPS 3 a vrací se na VPS 2.
Každý ten stroj se dá zálohovat a obnovovat samostatně, VPS 3 se dá odstavit a VPS 1 se dá snadno reinstalovat.
Samotné e-maily jsou uložené na VPS 2.

Konfiguračních možností je víc, je na každém, jaký komunikační řetězec preferuje.
Tohle samozřejmě není jediný setup, ale drbání se spamassasinem...řešení AV, zasekávání celého řetězce.
Takhle to je out of the box, směrem k vám by se měly ztratit jen viry a SPAM.

Abyste nekončil v koši u ostatních lidí, je velmi rozumné používat Outlook.

Pochopte:
Thunderbird -> Thunderbird je OK.
Thunderbird -> Seznam/Google je OK.
Outlook -> Thunderbird je OK.
Thunderbird -> Outlook končí často ve spamu!

Propojení se serverem třeba IMAP.

Na web mail se vykašlete, stejně tak na mail v mobilu.
Jsou za tím s*a*ky, zbytečnosti a bezpečnostní problémy.
Veřte mi, NECHCETE OTVÍRAT IMAP do internetu.
Rozhodně ne s trapně jednoduchým firewallem.

IMAP můžete otevřít do internetu...(v ostrém rozporu s mým předchozím tvrzením)... ale potřebujete například vymezit určité rozsahy IP adres. Třeba pouze pro základní rozsahy používané O2/Tmobile/Vodafonem nebo od koho máte server.

Lepší firewally dokáží rozpoznat pouze adresy v ČR, je to maglajs, ale skutečně stačí ty hlavní ČR sítě, aby to fungovalo dostatečně dobře. A co s dovolenou? PORT KNOCKING! Pokud pošlete na port 12345 paket dlouhý přesně 666B, což lze realizovat prostým příkazem PING, zdrojová adresa se zadá do povolených na firewallu.

Přiznám se, že jsem na sobě zkoušel skutečně obří anální kolík a bylo to podobně zvrhle znepokojivé jako provozovat vlastní poštovní server. Člověk tak nějak podvědomě chápe, že to je dost divné a nechutné, ale zároveň zvrhle uspokojivé. Takže vám držím palce! A pokud by vás ten poštovní server omrzel, zkuste na sobě ten obří anální kolík, budete mít podobné pocity jako při provozu vlastního mailového řešení.
https://aukro.cz/obri-dildo-dinoo-hung-analni-kolik-rimba-s-liscim-ohonem-a-vibratorem-6969853858

[by_cx]

Na tom serveru můžete mít jinou děravou webovou aplikaci (nebo jinou aplikaci), můžete mít špatně nakonfigurované posílání nedoručenek, díru ve webmailu bych rozhodně nepovažoval za sci-fi. Vy nebo vaše žena můžete mít napadený počítač. No a že to není open relay by default, to neznamená, že nebude někdo vylepšovat konfiguraci a server neotevře, třeba jen trochu. Zejména když se na fóru dočte, že to přece nic není a nemůže se nic stát.

Tak nějak jsem si to myslel, že to je buď problém, který se může objevit kdekoli a je na providerovi nezávislý a nebo jde o vyloženě okrajové záležitosti, ke kterým při nějakém rozumném setupu nedojde. Ono obecně jste si půlku reakce mohl odpustit, protože dostat se do webmailu neznamená dostat se mimo prostor webového serveru, natož měnit nějaká serverová nastavení. Pak ta zmínka o vylepšení konfigurace je jen takové plácnutí do vody, protože fakt nevidím, jak by k ní ve vámi vyjmenovaných případech mohlo dojít.

Sice se tu snažíte všem vysvětlit, jak nezvládnou provozovat poštovní server, ale sám nedokážete napsat konkrétní scénář, který by ukázal proč. A nemusíte se o to snažit, protože cokoli, co si vycucáte z prstu, už je něco, co musíte odargumentovat a to vám teda nejde.

[Filip Jirsák]

Vsechny vyjmenovane vektory utoku jsou zcela ortogonalni k existenci instance MTA instalovane a spravovane tazatelem a muzou nastat zcela se stejnou pravdepodobnosti ve spojitosti s vnejsi instalaci a spravovanim od kohokoliv jineho.

Aha, to jste mne špatně pochopil. Já jsem nikdy netvrdil, že problém je v uživateli WIFT. Problém je ve znalostech a zkušenostech, které má správce serveru, a také v času, který správě serveru věnuje. Kdyby měl WIFT znalosti a zkušenosti provozovatelů komerčních řešení, tak se tady takhle neptá. A čas chce také asi trávit i něčím jiným, než správou poštovního serveru.

Nebylo by jednodussi pane Jirsaku, doporucovat vsem uzivatelum roota zcela generickou a vsespasnou radu, aby pocitac vubec nepouzivali, nezapojovali do site, ani do te elektricke, vubec nezapinali, hlavne ani nevlastnili a nedejboze aby se na ne dovolili vubec podivati v obchodech a behem rodinnych navstev?

Já jsem ale nepsal, že WIFT domácí server nemá provozovat. Já jsem jenom popsal, co to znamená provozovat poštovní server – a je na WIFTovi, aby zvážil, jestli to chce dělat nebo ne.

[Filip Jirsák]

Tak nějak jsem si to myslel, že to je buď problém, který se může objevit kdekoli a je na providerovi nezávislý a nebo jde o vyloženě okrajové záležitosti, ke kterým při nějakém rozumném setupu nedojde.

Aha, takže problémy, které podle zdjších komentářů neexistují, se najednou mohou objevit kdekoli. Zajímavé. Ano, uvedené problémy se mohou objevit kdekoli – ale u provozovatele, který spravuje velké množství schránek, už se ty problémy projevily a on má vybudované mechanismy, jak je co nejdřív rozpoznat a zablokovat. Stejně tak je pravda, že je potřeba mít poštovní server a jeho prostředí rozumně nastavené. Ale to já tady tvrdím celou dobu, zatímco oponenti tvrdí, že poštovní server prakticky nejde nastavit špatně, že stačí postupovat podle návodu a tím pádem server nebude open relay, takže je všechno v pořádku.

Ono obecně jste si půlku reakce mohl odpustit, protože dostat se do webmailu neznamená dostat se mimo prostor webového serveru, natož měnit nějaká serverová nastavení.

Jenom je škoda, že jsem o webmailu ve skutečnosti napsal jenom to, že i v něm může být chyba.

Pak ta zmínka o vylepšení konfigurace je jen takové plácnutí do vody, protože fakt nevidím, jak by k ní ve vámi vyjmenovaných případech mohlo dojít.

No to je právě ten problém, že tu o konfiguraci poštovního serveru píšou lidé, kteří nevědí, co by mohlo být špatně. Tak třeba bude chtít tazatel posílat e-maily z nějakých IoT zařízení, která neumí autentizaci nebo je její konfigurace pracná Tak povolí odesílat e-maily z lokální sítě bez autentizace. Nebo to povolí pro lokální počítač, protože bude chtít odesílat e-maily skriptem nebo z lokální aplikace. A už se ten server pomalu otevírá…

Sice se tu snažíte všem vysvětlit, jak nezvládnou provozovat poštovní server, ale sám nedokážete napsat konkrétní scénář, který by ukázal proč. A nemusíte se o to snažit, protože cokoli, co si vycucáte z prstu, už je něco, co musíte odargumentovat a to vám teda nejde.

Problém je v tom, že nejde o pár konkrétních scénářů. Jde o to chápat celek a umět posoudit, jak nebezpečné jsou které oblasti toho celku. Jinak konkrétní scénáře jsem uváděl a reakce na to jsou „no a proč by zrovna tenhle konkrétní scénář měl nastat“.

[neregistrovany]

tak mi prosím nadhoďte pár příkladů, jak takovýto emailový server může začít rozesílat spam a ohrožovat tím své okolí?

Ve SPAM bussinessu se toci neuveritelne penize coz zpusobuje, ze dobre zaplaceni SPAMeri maji na takove uvahy nasobne vic casu a dalsich prostredku nez jim muzete venovat vy. Sance ze na zpusob jak vas server zneuzit prijde SPAMer, je nepomerne vyssi nez ze napadne vas a vy ho predem eliminujete (pokud se nejedna u nejakou notoricky znamou techniku).

[McFly]

[by_cx]

No to je právě ten problém, že tu o konfiguraci poštovního serveru píšou lidé, kteří nevědí, co by mohlo být špatně. Tak třeba bude chtít tazatel posílat e-maily z nějakých IoT zařízení, která neumí autentizaci nebo je její konfigurace pracná Tak povolí odesílat e-maily z lokální sítě bez autentizace. Nebo to povolí pro lokální počítač, protože bude chtít odesílat e-maily skriptem nebo z lokální aplikace. A už se ten server pomalu otevírá…

S každým vašim komentářem mám pocit, že vyloženě teoretizujete a vůbec netušíte, jak vypadá reálný svět. Viděl jste IoT zařízení, které by chtělo posílat emaily a nepodporovalo ověření? Já totiž ne a to jich tu mám hromadu.

Problém je v tom, že nejde o pár konkrétních scénářů. Jde o to chápat celek a umět posoudit, jak nebezpečné jsou které oblasti toho celku. Jinak konkrétní scénáře jsem uváděl a reakce na to jsou „no a proč by zrovna tenhle konkrétní scénář měl nastat“.

Přesně takové reakce si to ale zaslouží. Když napíšete, proč by se něco mohlo stát, tak vám někdo napíše proč se to pravděpodobně nestane. Jen tu vaříte vodu.

Ono to je jednoduché. Pokud má poštovní server problém, tak ho ostatní odmítnou a tak to řešíte. Problém s ním budou mít jen když bude rozesílat spam. Pokud eliminujete možnosti, aby rozesílal spam, což je u serveru pro pár lidí triviální, tak na nic z těch vašich teorií nedojde.

[by_cx]

Ve SPAM bussinessu se toci neuveritelne penize coz zpusobuje, ze dobre zaplaceni SPAMeri maji na takove uvahy nasobne vic casu a dalsich prostredku nez jim muzete venovat vy. Sance ze na zpusob jak vas server zneuzit prijde SPAMer, je nepomerne vyssi nez ze napadne vas a vy ho predem eliminujete (pokud se nejedna u nejakou notoricky znamou techniku).

Spammerovi je váš SMTP server u řitě. Projde pár milionů SMTP serverů a pokusí se na ně aplikovat nějakou svou sadu exploitů. Pak mrkne jak se daří jeho botnetu a stáhne si z něj přihlašovací údaje ke schránkám jeho obětí a nakrmí s nimi svou rozesílací farmu. Pak možná ještě vyzkouší získané kreditní karty, aby s nimi nakoupil VPSka různých providerů a rozesílal chvíli z nich. Pokoušet se lámat nějaký malý server uprostřed ČR je ztráta času.