Riflessione: è ora di spostare la mail?

A differenza di altri articoli, questo non è un howto, ma una sorta di riflessione ad alta voce.

Premessa: sono un consulente IT e gestisco clienti sia con mail on premises sia con mail online; non sono in alcun modo legato a nessuno dei marchi citati, né ho accordi di provvigione per la vendita dei prodotti citati. Leggi tutto “Riflessione: è ora di spostare la mail?”

Perché la mail non viene recapitata?

Royal Mail buildingSpesso gli utenti si chiedono come mai i loro messaggi di posta elettronica rimbalzino o non vengano recapitati istantaneamente ai destinatari.

Chiariamo subito un concetto base: la posta elettronica NON è un instant message.

Un messaggio di posta elettronica una volta uscito dal client può trovarsi in questi stati: in transito, in coda, recapitato, rimbalzato, scartato silenziosamente.  Leggi tutto “Perché la mail non viene recapitata?”

Inibire il traffico mail sicuro

Pavia - Ponte CopertoEFF ha denunciato il fatto che alcuni provider americani e tailandesi impediscono ai client di posta elettronica di inviare messaggi su un canale sicuro.

Quelli segnalati da EFF sono i casi di cui si ha evidenza, ma è possibile che altri provider o altri fornitori di servizi di connettività, anche occasionale via WiFi, implementino le medesime politiche lesive della privacy.

Quello che viene bloccato è l’equivalente HTTPS del protocollo SMTP utilizzato per inviare la posta elettronica dal client (posta in uscita) oppure per trasmettere i messaggi email tra server differenti.

Il blocco in questione non ha nulla a che fare con eventuali metodi di cifratura del testo del messaggio. Se il testo del messaggio è cifrato, tale resta. Leggi tutto “Inibire il traffico mail sicuro”

SMTP STARTTLS in crescita

Sottopasssaggio con cavi / Subway with cablesUn rapporto di Facebook dimostra che la cifratura della posta elettronica ha raggiunto una “massa critica”.

Questa è senza dubbio una buona notizia per la tutela dei dati personali perché il normale protocollo SMTP, figlio di quando Internet era un’altra cosa, dialoga in chiaro.

L’estensione STARTTLS consente anche ad SMTP di passare ad una connessione cifrata utilizzando la medesima connessione TCP.

I dati presentati da Facebook evidenziano che tre quarti dei mail server con cui dialoga il social network supportano STARTTLS, anche se solamente poco più della metà delle mail vengono cifrate con successo. Leggi tutto “SMTP STARTTLS in crescita”

Spam nell’oggetto

SPAM nell'oggettoOgni tanto gli spammer riescono ancora a stupirmi.

Ieri sera ho ricevuto una mail di spam riprodotta a lato il cui messaggio di spam era tutto nell’oggetto.

Analizzando gli header, risulta che la mail è partita effettivamente da un account di Yahoo! giapponese, la cui validità è verificata anche dal DKIM, con buona pace di chi si illude che questa tecnologia possa servire ad evitare lo SPAM.

Il malfattore ha utilizzato l’IP 41.207.194.14 della Costa D’Avorio per collegarsi al webmail di Yahoo! e inviare la mail.

Se il sistema di filtro della posta elettronica lo permette e questo tipo di protezione non è già attiva, si potrebbe limitare la lunghezza dell’oggetto delle mail ad una dimensione ragionevole. Per la cronaca, la dimensione totale dell’header Subject della mail qui riprodotta è di 3501 byte.

La posta elettronica

Honeywell Electronic MailCorreva l’Anno Zero dell’Era Star Wars, noto a molti anche come 1977, e Honeywell pubblicava negli USA questa pubblicità.

Tomorrow’s automated office will clearly include Electronic Mail.

Su questo bisogna dire che la pubblicità ci ha azzeccato, anche se nessuno avrebbe potuto mai prevedere lo SPAM. E, a parte il posacenere e l’assenza di un computer, la scrivania da impiegato quadratico medio maniaco dell’ordine non è cambiata molto.

Sette anni dopo quella pubblicità Tom Jennings attivava su una macchina MS-DOS Fido BBS e gettava le basi della FidoNet, palestra informatica e telematica per molti di noi prima dell’Era di Internet. La FidoNet era una rete di scambio di messaggi privati denominati netmail (in Italia era meglio non chiamarla posta elettronica per via del monopolio delle Poste) e solamente dopo è diventata una rete di scambio di messaggi pubblici divise in aree: molti ricorderanno il famoso mantra “l’echomail si appoggia sulla netmail” derivato dal fatto che i messaggi pubblici non erano altro che allegati compressi spediti tramite l’infrastruttura della netmail (espressioni come “tossare i messaggi echo” erano all’ordine del giorno). Leggi tutto “La posta elettronica”

Se l’attacco è mirato

MinervaLe mail di phishing arrivano quasi quotidianamente, nonostante le protezioni antispam e alcune sono talmente grossolane da strapparci qualche secondo di ilarità.

La storia cambia notevolmente se una persona o un’organizzazione viene presa di mira con un attacco mirato, detto tecnicamente spear phishing.

A differenza del phishing che pesca a strascico (come le notifiche da banche in cui non solo non abbiamo un conto, ma di cui ignoriamo l’esistenza), un attacco mirato avviene al termine di un’indagine sulla vittima.

Nel caso in cui la vittima sia un’organizzazione, l’attaccante conosce molte cose tra cui (a titolo di esempio) la regola con cui vengono assegnate le mail (nome.cognome@, ncognome@, eccetera), i nomi di alcuni dipartimenti o di alcuni manager, la firma standard in fondo alle mail. Sono tutte informazioni che aiutano ad aumentare la percezione che una comunicazione sia legittima.

Alcune di queste informazioni sono facilmente reperibili sul sito dell’organizzazione, altre possono essere raccolte con poco sforzo, come (sempre a titolo di esempio) sui social network, chiedendo informazioni sui prodotti venduti e facendo in modo di scambiare alcune mail con il personale della forza vendite.

Leggi tutto “Se l’attacco è mirato”

Forward secrecy in Postfix

È possibile implementare la forward secrecy anche nelle sessioni TLS di Postfix.

Questa guida parte dal presupposto che Postfix abbia TLS configurato e funzionante, non importa se con un certificato auto-emesso o rilasciato da un’autorità PKI, e si applica alla versione 2.10, le versioni precedenti potrebbero aver bisogno di qualche aggiustamento dei parametri, come indicato nel readme apposito.

Lo scopo è di avere delle chiavi di sessione effimere con una vita relativamente breve al fine di rendere più ardua la cosiddetta retrospective decryption attraverso una rigenerazione periodica dei parametri p e g dell’algoritmo Diffie-Hellman per lo scambio di chiavi.

Leggi tutto “Forward secrecy in Postfix”

Come gestisci la tua mail?

Fortunately it's a bug!Negli anni ho visto tante modalità di gestione della posta elettronica.

Grazie alle nuove versioni di Outlook, al fatto che altri programmi gestiscono serenamente mailbox voluminose e alla sempre maggiore diffusione di IMAP, adesso è facile tenere molti messaggi, ma ciascuno ha un proprio metodo di archiviazione.

Leggi tutto “Come gestisci la tua mail?”

Svuotate quell’accidente di cestino!

Waste binQualche giorno fa ho migrato un mail server con storage maildir e client in IMAP di un cliente su una nuova macchina virtuale.

Nonostante siano configurati relativamente pochi utenti, /var/spool/mail è di 30 Gb. Non è un problema, su Linux la limitazione è solamente lo spazio disco e, come per i file server, parto sempre dal presupposto che se una persona conserva un messaggio di posta elettronica ha motivo di farlo.

Analogamente ai file server, ogni tanto eseguo delle analisi statistiche sui mail server per vedere come è utilizzato lo spazio.

Uno scriptino stupido come questo permette di vedere quanto occupano i cestini in una struttura maildir in cui ogni dominio è una directory con dentro le varie mailbox (/var/spool/mail/example.com/user/var/spool/mail/acme.com/user, eccetera):

#!/bin/bash
for D in $(find /var/spool/mail/ -mindepth 2 -maxdepth 2 -type d) ; do
   du -sh $D/.Trash* ;
done

Quando ho eseguito questo script sullo storage del cliente di cui sopra mi sono accorto che circa 1/3 delle mail era nei cestini.

Leggi tutto “Svuotate quell’accidente di cestino!”

Email: come aumentare la produttività in azienda

Fortunately it's a bug!La posta elettronica può rappresentare un pericolo alla produttività aziendale, ecco tre semplici regole per evitare che ciò avvenga.

  1. Le mail intra-aziendali vengono recapitate con un ritardo casuale base che va dai 400 agli 800 secondi; la stocasticità del recapito evita che qualcuno ne tragga beneficio.
  2. Per ciascun destinatario (to) o destinatario in copia palese (cc) dopo il primo si aggiunge un ritardo casuale dai 40 agli 80 secondi; per ciascun destinatario in copia nascosta (bcc) si aggiunge un ritardo casuale dai 300 ai 600 secondi. Contano solamente i destinatari della medesima azienda, non contano i contatti esterni.
  3. Se il messaggio viene inviato entro i 90 minuti che precedono l’inizio dell’orario di lavoro o entro i 90 minuti che seguono il termine dell’orario di lavoro si applica un ulteriore ritardo casuale da 200 a 400 secondi; i messaggi inviati fuori dell’orario di lavoro oltre quei limiti verranno recapitati all’inizio dell’orario di lavoro del primo giorno disponibile. Anche in questo caso le regole si applicano ai messaggi intra-aziendali.

Chi utilizza il proprio account personale per aggirare le regole è passibile di lettera di richiamo.


Aggiornamenti dopo la prima pubblicazione:

Si trova proprio di tutto

Museo di Iraklio / Heraklion museumAbbiamo trattato varie volte il problema dei motori di ricerca che indicizzano più di quello che ci si aspetta.

Con la formula corretta si possono trovare varie cose: chiavi private, log di trasferimenti FTP, chiavi o configurazioni dei VPN, telecamere

Aggiungiamo questa messe di informazioni un esempio di come sia possibile cercare dei fogli di Excel il cui none finisce con la parola email:

filetype:xls inurl:"email.xls"

Il risultato è interessante e potrebbe essere una delle tante possibili risposte alla domanda “Ma da dove diavolo hanno preso la mia mail?!”

Mutatis mutandis, si potrebbero cercare documenti che contengono altre parole nel nome.

Chi ha detto “password”?

inurl:elmah.axd "powered by elmah" password

Mail server in IPv6

Cabina da distribuziunQuesto articolo spiega come passare in IPv6 un mail server Linux con Postfix, Amavisd-new e Dovecot.

Il sistema di partenza è un Linux con il dual stack IPv4/IPv6 attivo e funzionante con un indirizzo pubblico IPv4 e uno IPv6. Anche il sistema di posta elettronica è perfettamente funzionante in IPv4 con le ultime versioni dei programmi indicati sopra installati da sorgente, non da pacchetto della distribuzione Linux. Ciò perché con IPv6 è sempre meglio avere le ultime versioni, anche se la maggior parte delle istruzioni che seguono dovrebbero funzionare anche con le versioni distribuite nei pacchetti standard.

Leggi tutto “Mail server in IPv6”

Reset della password

Per vari motivi ho cercato in giro alcune linee guida su come scrivere una buona procedura di reset della password di un account via posta elettronica, ne riassumo qui alcune, in ordine sparso.

Non modificare i dati fino alla conferma dell’utente. A meno di necessità specifiche o casi particolari, i dati di autenticazione non devono essere modificati fino all’avvenuta conferma da parte dell’utente, al fine di impedire che buontemponi blocchino l’accesso all’utente semplicemente chiedendo un reset della password.

Usare CAPTCHA. La pagina di richiesta del reset della password dovrebbe contenere un CAPTCHA per evitare che i sistemi automatici possano attaccare facilmente il sistema oppure possano provocare disagi a più utenti.

Utilizzare una buona fonte di entropia. L’URL per il reset della password inviato via mail deve contenere una parte casuale, che non deve essere legata al timestamp o ad altri valori deterministici. È bene utilizzare sempre il generatore di numeri casuali disponibile sul sistema (/dev/urandom per *NIX) anziché una funzione di libreria del linguaggio.

Limite di tempo. L’URL utilizzabile per il reset della password deve avere una scadenza oltre la quale non è più valido.

Spiegare bene. Sia la pagina di reset della password sia le mail che vengono inviare all’utente devono essere ben chiare e spiegare bene la modalità di reset. In particolare, la mail deve indicare in maniera precisa il nome del sito di cui si sta reimpostando la password, il termine ultimo di validità e le azioni da intraprendere se chi riceve la mail non ha chiesto il reset della password.

Confermare. Una volta terminata (o cancellata) l’operazione, è bene inviare una seconda mail di conferma all’utente.

Monitorare. Una funziona amministrativa dovrebbe segnalare gli account di cui viene richiesta spesso la reimpostazione della password. Inoltre è bene impedire un numero non-umano di richieste di reset della password nell’unità di tempo, come, ad esempio, 500 richieste all’ora.

HTTPS. Se possibile, utilizzare HTTPS con un certificato valido per il form di richiesta di reset e per l’URL di sblocco.

Cookie. Non devono essere utilizzati i cookie per identificare l’utente ed eventuali cookie di sessione o di identificazione devono essere cancellati nel momento in cui la password viene reimpostata.

Riservatezza. Se nel form di richiesta password si richiede direttamente la mail (da evitare, se possibile), quando viene inserita una mail sconosciuta, il programma deve comportarsi allo stesso modo in cui si comporterebbe se la mail fosse di un utente registrato, al fine di impedire ad un eventuale curioso o attaccante di capire se una mail corrisponde ad utente effettivamente registrato.

Va da sé che queste sono linee guida che si applicano a siti normali, per ambienti che richiedono una sicurezza maggiore devono essere messe in campo procedure completamente diverse.

Bloccare le conferme di lettura con Postfix

Alcune organizzazioni vogliono impedire che vengano inoltrate le conferme di lettura dei messaggi.

Con Postfix questo blocco si attua attraverso la funzione header_checks. Nel file main.cf si specifica qualcosa tipo

header_checks = regexp:/etc/postfix/header_checks

La distribuzione standard di Postfix contiene un file header_checks senza direttive ma con alcune istruzioni sommarie nei commenti.

Tenendo presente che le conferme di recapito hanno generalmente tra gli header la direttiva MIME che indica che il contenuto è di tipo Multipart/Report (RFC6522), è sufficiente aggiungere una riga di questo tipo a /etc/postfix/header_checks

/^Content-type: Multipart\/report/   DISCARD

Il file va quindi compilato con

postmap /etc/postfix/header_checks

e alla fine si ricarica Postfix per attivare la configurazione.

Archiviazione della posta elettronica

QIC TapesÈ fuori discussione che l’archiviazione della posta elettronica sia una necessità e, alcune volte, un obbligo.

Il SysAdmin deve risolvere in un modo o in un altro questa necessità degli utenti, senza decidere ex auctoritate che si tratta di un vezzo o della conseguenza della pigrizia di chi utilizza la mail. Nella posta elettronica ci sono le tracce con riferimenti temporali delle interazioni con clienti o fornitori esterni e alcune volte c’è la storia evolutiva di un’organizzazione.

L’utilizzo di funzioni di auto archiviazione sul disco locale di alcuni client di posta elettronica è molto pericolosa, in quanto viene sì alleggerito il carico del mail server, ma i messaggi vengono trasferiti su un sistema di storage senza backup.

Ancora una volta, un server IMAP locale potrebbe essere la soluzione che incontra tutte le esigenze dell’organizzazione, inclusi il basso costo dell’hardware e l’assenza di licenze.

Leggi tutto “Archiviazione della posta elettronica”

Rubare un account di Google con il cellulare

Bormio: la gente dei PasqualiNegli USA ci sono campagne basate sul social engineering in cui si cerca di rubare gli account di Gmail utilizzando la funzione di conferma via SMS.

Una delle opzioni offerte da Gmail in caso di perdita della password è l’invio di un codice di verifica ad un numero cellulare fornito in precedenza, se un attaccante conosce l’account di Gmail e utilizza metodi di social engineering per carpire il codice inviato, il gioco è fatto.

Ecco un esempio di come sia possibile un sistema del genere.

L’attaccante invia ad un gruppo di destinatari un SMS con un testo tipo

Hai Vinto! Vai su xxxxxxx.com e inserisci il codice 12345!

Leggi tutto “Rubare un account di Google con il cellulare”

Email privacy tester

Kraun WiFi detectorMike Cardwell ha aggiornato il suo email privacy tester.

Si tratta di un sito che ospita un’applicazione (i cui sorgenti sono disponibili) per verificare quando un client di posta elettronica riveli a terzi.

Un normale messaggio di posta elettronica senza oggetti incorporati o richieste di conferme non può rivelare molto perché l’azione di apertura del messaggio da parte del client di posta elettronica (Outlook, Thunderbird, un webmail o altro) non comporta alcuna interazione aggiuntive con Internet che non sia l’atto di scaricare il messaggio stesso, azione che avviene con il proprio mail server, senza che il mittente abbia traccia di alcunché.

Leggi tutto “Email privacy tester”

PEC, firme, certificati…

Posta KodakOramai ci siamo: tutte le aziende costituite in forma societaria devono dotarsi di un indirizzo PEC entro martedì 29 novembre p.v.

Nell’ultimo mese ho, però, notato che c’è molta confusione in merito al valore probatorio della PEC; le improvvide affermazioni esternate qualche tempo fa da qualche (ora ex) Ministro della Repubblica in qualche trasmissione televisiva non hanno fatto che peggiorare la situazione, dal momento che qualcuno ha dato valore di legge a quelle affermazioni tirate a caso.

Partiamo dal mondo reale. Una raccomandata con avviso di ricevimento è formata da tre documenti cartacei distinti: la lettera vera e propria, il tagliando con la ricevuta di presentazione della raccomandata allo sportello e l’avviso di ricevimento timbrato dall’ufficio postale e firmato dal destinatario.

Nell’analogia PEC, la lettera è il messaggio di posta elettronica, tagliando e avviso trovano i loro omologhi nell’avviso di accettazione e consegna.

Ma qual è  il valore probatorio di tutto questo cinema? Solamente il fatto che il tal giorno alla tal ora un messaggio con un tal oggetto è stato spedito dall’utente di PEC tale all’utente di PEC tal altro, il quale ha ricevuto il messaggio. Punto.

La PEC non certifica il contenuto o il mittente (inteso come persona fisica) del messaggio. La PEC non è un sostituto della firma digitale forte (o qualificata, o estesa, o pesante che dir si voglia, grazie alla schizofrenia dei legislatori).

Leggi tutto “PEC, firme, certificati…”