Postfix/Dovecot: Mails an unbekannte Adressen rausfiltern

[gelöschter Benutzer]

Hallo Leute,

Ich bekomme immer wieder Mails in den Posteingang, die an ganz andere Adressen gingen, die zu mir weitergeleitet werden. Vor allem GMX und Web.de (alles ein Mistverein) wird wohl für diese neue Spam-Masche genutzt. Hier mal eine Original-Mail (gekürzt):

[src=text]Return-Path: <elf.elf@wanadoo.fr>
Delivered-To: phre4k@example.me.uk
Received: from out.smtpout.orange.fr (out02.smtpout.orange.fr [193.252.22.211])
by mail.example.me.uk (Postfix) with ESMTP id 747CE5441361
for <phre4k@example.de>; Thu, 12 Mar 2015 02:11:19 +0100 (CET)
Received: from wwinf1h15 ([10.232.41.59])
by mwinf5d58 with ME
id 2RBK1q0041GbNoi03RBK9L; Thu, 12 Mar 2015 02:11:19 +0100
X-ME-Helo: wwinf1h15
X-ME-Auth: ZWxmLmVsZkB3YW5hZG9vLmZy
X-ME-Date: Thu, 12 Mar 2015 02:11:19 +0100
X-ME-IP: 90.191.179.221
Date: Thu, 12 Mar 2015 02:11:19 +0100 (CET)
From: Yuliya Beauty <elf.elf@wanadoo.fr>
Reply-To: elf.elf@wanadoo.fr
To: dodo-wawa@gmx.de
Message-ID: <2133290675.28228.1426122679032.JavaMail.www@wwinf1h15>
Subject: Tag.
MIME-Version: 1.0
Content-Type: multipart/mixed;
boundary="----=_Part_28226_296963067.1426122679028"
X-Originating-IP: [90.191.179.221]
X-WUM-FROM: |~|
X-WUM-TO: |~|
X-WUM-CCI: |~||~||~|
X-WUM-REPLYTO: |~|

------=_Part_28226_296963067.1426122679028
Content-Type: multipart/alternative;
boundary="----=_Part_28227_306271441.1426122679028"

------=_Part_28227_306271441.1426122679028
Content-Type: text/plain; charset=UTF-8
Content-Transfer-Encoding: 7bit

Salut!
Ich hatte nie gedacht, dass das schicksal mich mit dem Internet zu bringen,
fur die Suche nach meinem zweiten Teil.
Ich habe mich entschieden, das Internet zu verwenden, um kennenzulernen, da sich im realen
Leben mir die schlechten Manner treffen, die mich verraten mich nicht schatzen.
Ich bin 31 jahre alt, lebe in Russian Federation in der provinz weit von groBen Stadten und all diese Eitelkeit.
Ich war verheiratet niemals und ich habe keine Kinder.
Es ist ein wunsch, den guten mann fur die ernsten beziehungen treffen.
Ich hoffe, dass sie mein Photo war angenehm. Schreiben sie mir, wenn sie sich fur mich interessieren.
Sehr wichtig! Ich freue mich nur ernsthafte Beziehung! Ich brauche keine Spiele und virtuellen Sex!
Ich werde euch noch mehr Foto senden

Wenn ich dir interessant bin, Bitte beantworten Sie nur meine personlichen e-mail: whiterosayuliya@gmail.com


Schreiben Sie mir den gegenwartigen Namen.
Bye
Yuliya
------=_Part_28227_306271441.1426122679028
Content-Type: text/html; charset=UTF-8
Content-Transfer-Encoding: quoted-printable

[...]
------=_Part_28227_306271441.1426122679028--

------=_Part_28226_296963067.1426122679028
Content-Type: application/octet-stream; name=DSC_660.jpg
content-transfer-encoding: base64
Content-Disposition: attachment; size=56348; filename=DSC_660.jpg

[...]
[/src]

Ich stehe ja weder in To: noch CC:/BCC: drin. Warum kommt die dann trotzdem durch?

Postfix main.cf (gekürzt):

[src=text]## General Postfix configuration
# should be the default domain from your provider eg. "server100.provider.tld"
mydomain = example.me.uk

# should be different from $mydomain eg. "mail.$mydomain"
myhostname = mail.$mydomain

# hostname in the EHLO/HELO command
smtp_helo_name = example.me.uk

mydestination = $myhostname,
localhost.$myhostname,
localhost.$mydomain,
localhost
mynetworks = 127.0.0.0/8
inet_interfaces = all
append_dot_mydomain = no
biff = no

# Postfix performance settings
default_destination_concurrency_limit = 20
local_destination_concurrency_limit = 2

# SMTPD Settings
# Banner default: $myhostname ESMTP $mail_name
smtpd_banner = $myhostname ESMTP $mail_name (Debian/GNU)

smtpd_helo_required = yes

smtpd_recipient_restrictions = permit_mynetworks,
permit_sasl_authenticated,
reject_unauth_destination,
reject_unauth_pipelining,
reject_non_fqdn_recipient,
check_policy_service inet:127.0.0.1:10023

smtpd_sender_restrictions = permit_mynetworks,
reject_sender_login_mismatch,
permit_sasl_authenticated,
reject_unknown_helo_hostname,
reject_unknown_recipient_domain,
reject_unknown_sender_domain

smtpd_client_restrictions = permit_mynetworks,
permit_sasl_authenticated,
reject_unknown_client_hostname

# Postfix 2.10 requires this option. Postfix < 2.10 ignores this.
# The option is intentionally left empty.
#smtpd_relay_restrictions =

# The unknown_local_recipient_reject_code specifies the SMTP server
# response code when a recipient domain matches $mydestination or
# ${proxy,inet}_interfaces, while $local_recipient_maps is non-empty
# and the recipient address or address local-part is not found.
#
# The default setting is 550 (reject mail) but it is safer to start
# with 450 (try again later) until you are certain that your
# local_recipient_maps settings are OK.
#
unknown_local_recipient_reject_code = 450

# Maximum size of Message in bytes (50MB)
message_size_limit = 52428800

## SASL Auth Settings
smtpd_sasl_auth_enable = yes
smtpd_sasl_local_domain = $myhostname
broken_sasl_auth_clients = yes
## Dovecot Settings for deliver, SASL Auth and virtual transport
smtpd_sasl_type = dovecot
mailbox_command = /usr/lib/dovecot/deliver
virtual_transport = dovecot
dovecot_destination_recipient_limit = 1
smtpd_sasl_path = private/auth

# Virtual delivery settings
virtual_mailbox_base = /var/customers/mail/
virtual_mailbox_maps = mysql:/etc/postfix/mysql-virtual_mailbox_maps.cf
virtual_mailbox_domains = mysql:/etc/postfix/mysql-virtual_mailbox_domains.cf
virtual_alias_maps = mysql:/etc/postfix/mysql-virtual_alias_maps.cf
smtpd_sender_login_maps = mysql:/etc/postfix/mysql-virtual_sender_permissions.cf
virtual_uid_maps = static:2000
virtual_gid_maps = static:2000

# Local delivery settings
local_transport = local
alias_maps = $alias_database

# Default Mailbox size, is set to 0 which means unlimited!
mailbox_size_limit = 0
virtual_mailbox_limit = 0

### TLS settings
###
## TLS for outgoing mails from the server to another server
#smtp_tls_security_level = may
#smtp_tls_note_starttls_offer = yes
## TLS for email client
#smtpd_tls_security_level = may
#smtpd_tls_cert_file = /etc/ssl/server/froxlor.crunch.me.uk.pem
#smtpd_tls_key_file = $smtpd_tls_cert_file
#smtpd_tls_CAfile = /etc/ssl/certs/ca-certificates.crt
#smtpd_tls_loglevel = 1
#smtpd_tls_received_header = yes

debugger_command =
PATH=/bin:/usr/bin:/usr/local/bin:/usr/X11R6/bin
ddd $daemon_directory/$process_name $process_id & sleep 5[/src]

Wo ist mein Denkfehler?

 

[m6ld8ywqya]

Wieso kommst du auf die Idee, dass GMX und WEB.DE im konkreten Fall Teil des Problems sind? In den Headern deiner Beispiel-E-Mail gibt es dafür gar keine Hinweise.

Dass man beliebige Adressen als Absender und Empfänger benutzen kann, ist dir bewusst? Entscheidend ist die im SMTP-Protokoll angegebene Empfängeradresse und die muss nicht mit denen im Header übereinstimmen. Dein Server scheint diese Adresse in Delivered-To: zu verewigen.

 

[accC]

Das stimmt so nicht ganz. Natürlich kann der absendende Server beliebige Absender auf der Email vermerken, das heißt aber nicht, dass du den Shit dann noch annehmen musst.
Kommt auf meinem Mailserver eine Email an, etwa von absender@server1.de [1.2.3.4], dann wird zunächst geprüft, ob 1.2.3.4 überhaupt server1.de verwenden darf.
Dann wird noch überprüft, ob ich überhaupt als Empfänger in Frage komme, also ob ein empfaenger@meinserver.de überhaupt existiert.

Jetzt frag mich aber besser nicht, wie die Konfiguration dafür aussieht. Ich habe mir das selbst einrichten lassen, weil Emailserver nun nicht gerade meine Stärke sind und da doch recht viel Potential besteht doch als Relay/ Bouncer/ what ever zu fungieren.

 

[m6ld8ywqya]

Noch einmal: Die in der E-Mail stehenden Adressen müssen nicht mit denen im SMTP-Protokoll verwendeten übereinstimmen und es ist in der Regel nicht der Server, der die Absenderadresse (From-Header) in der E-Mail vermerkt.

Insbesondere muss in der E-Mail auch nicht zwangsläufig überhaupt ein Empfänger angegeben sein. Es reicht, wenn der Empfänger im SMTP-Protokoll übermittelt wird. Viele Server kümmert es nicht mal, wenn die Flichtheader (From, Date) fehlen. Die eigentliche E-Mail ist in der Regel nur der zu transportierende Inhalt, der um einzelne Header (z. B. Received) erweitert wird.

Natürlich kann es sinnvoll sein, für bestimmte Checks, z. B. auf eine mögliche Mailschleife o. a., auf Inhalte der E-Mail zuzugreifen. Eine E-Mail abzulehnen, weil man nicht in irgendeinem Header als Empfänger vermerkt ist, führt unter Umständen zur Ablehnung legitimer E-Mails.

Bei der Konfiguration des Mailservers kann ich auch nicht helfen.

 

[gelöschter Benutzer]

Wieso kommst du auf die Idee, dass GMX und WEB.DE im konkreten Fall Teil des Problems sind? In den Headern deiner Beispiel-E-Mail gibt es dafür gar keine Hinweise.

Da die To:-Adressen immer von GMX oder Web.de sind. Ist natürlich gefälscht oder kann gefälscht sein, das könnte man dann ja eigentlich mit DKIM/SPF-Checks lösen. Aber wie mache ich das?

Geht konkret um Postfix, die Config ist oben angegeben.

 

[Asseon]

@m6ld8ywqya:
SMTP hat im Protokoll keine eigenen Adressfelder, der benutzt den header der email. Andernfalls könnte man E-Mails problemlos vollständig per e2e crypto verschlüsseln, man kann aber nur den body verschlüsseln, weil die sonst ihr Ziel nicht mehr findet.

@phre4k:
postfix selber kann leider beides nicht.
Ich mach das über den milter aka content filter, amavisd-new.
Der Kann dkim selbst und leitet auch noch an spammassassin weiter, der dann u.a. spf checks macht und gegen seine Spamfilter prüft.

hier die doku von amavis dazu, musst aber ggf. ein bisschen anpassen weil ist schon etwas älter …


Alternativ gehts auch mit nem proxy, aber dann musst aufpassen, dass postfix nicht blind localhost vertraut.

 

[m6ld8ywqya]

Und was sind dann MAIL FROM: und RCPT TO:, siehe Wikipedia: SMTP

Ach ja, hier noch ein Zitat von obiger Seite:

Es können sich sogar die Adressen im MAIL FROM- und RCPT TO-Kommando (sog. Envelope-From bzw. Envelope-To) von den Adressen im From:- und To:-Mailheader unterscheiden.

 

[Asseon]

glaub doch nicht alles was in Wikipedia steht *hust*

Spoiler

scheiße hast recht
nächstes mal mache ich meine Hausaufgaben wieder gründlicher …