Yadiel Pérez Villazón 1*, Amaury Viera Hernandez 2, Yasiel Pérez Villazón 3,Jesus Castañeda Valdéz 4, Dayli Gómez Gúman 5. Resumen

Transcripción

1 Optimizaciones de rendimiento y seguridad de las tecnologías de correo electrónico en las empresas cubanas. Performance optimizations and security of technologies in Cuban enterprises. Yadiel Pérez Villazón 1*, Amaury Viera Hernandez 2, Yasiel Pérez Villazón 3,Jesus Castañeda Valdéz 4, Dayli Gómez Gúman 5 1 Centro de Software Libre, Universidad de las Ciencias Informáticas, Carretera a San Antonio de los Baños, Km 2 1/2,. Torrens, Boyeros, La Habana, Cuba, CP: ypvillazon@uci.cu 2 Centro de Software Libre, Universidad de las Ciencias Informáticas, Carretera a San Antonio de los Baños, Km 2 1/2,. Torrens, Boyeros, La Habana, Cuba, CP: avhernandez@uci.cu 3 Centro de Software Libre, Universidad de las Ciencias Informáticas, Carretera a San Antonio de los Baños, Km 2 1/2,. Torrens, Boyeros, La Habana, Cuba, CP: yasielpv@uci.cu 3 Centro de Software Libre, Universidad de las Ciencias Informáticas, Carretera a San Antonio de los Baños, Km 2 1/2,. Torrens, Boyeros, La Habana, Cuba, CP: jcastaneda@estudiantes.uci.cu 5 Centro de Software Libre, Universidad de las Ciencias Informáticas, Carretera a San Antonio de los Baños, Km 2 1/2,. Torrens, Boyeros, La Habana, Cuba, CP: dayli@jatib.ssp.co.cu * Autor para correspondencia: ypvillazon@uci.cu Resumen Dentro de las múltiples actividades de informatización en Cuba en los últimos años, se encuentran los procesos de migración que ha llevado a cabo el país, el área de los servicios telemáticos, se ve afectada por la carencia de soluciones integradoras y que se ajusten a las necesidades tecnológicas de las entidades nacionales. El departamento de Servicios Integrales en Migración, Asesoría y Soporte comenzó a desarrollar en el 2012 la Herramienta de Migración y Administración de Servicios Telemáticos, la cual tiene como objetivo ofrecer una solución al problema antes descrito. Esta herramienta, actualmente incorpora un módulo para la gestión del servicio de correo electrónico. El principal resultado de esta investigación es ofrecer los mecanismos que garantizan la adaptabilidad del módulo de servicio de correo electrónico a partir de configuraciones que una vez realizadas reducen el rendimiento de algunas de las tecnologías que lo componen, cumpliendo con las necesidades de las empresas cubanas, también se reflejan características de algunas de las tecnologías tales como Postfix, Fail2Ban, OpenDKIM, Amavis-new, Postgrey y Spamassassim que garantizan la seguridad de la solución propuesta en el módulo. 1

2 Palabras clave: optimización; rendimiento; seguridad; servicio de correo electrónico; software libre Abstract Among the many activities of computerization in Cuba in recent years, are the processes of migration that has held the country, the area of telematic services is affected by lack of integrative and solutions that meet the technological needs of national entities. Department of Comprehensive Immigration Services, Counseling and Support (SIMAYS) began development in 2012 Migration Tool and Telematic Services Administration (HMAST), which aims to provide a solution to the problem described above. HMAST currently incorporates a module for managing service. The main result of this research is to provide mechanisms to ensure the adaptability of the service module from settings once made reduce the performance of some of its component technologies, meeting the needs of Cuban enterprises, characteristics of some of the technologies such as Postfix, Fail2Ban, OpenDKIM, Amavis-new, Postgrey Spamassassim and ensuring the security of the proposed solution in the module are also reflected. Keywords: service; free software; optimization; performance; safety Introducción Dentro de las múltiples actividades de informatización en Cuba en los últimos años, se encuentran los procesos de migración que ha llevado a cabo el país, organizados estos, por una estructura que consta de cuatro grupos de trabajo con tareas y acciones específicas que permiten el éxito del proceso en el país bajo la dirección del Grupo Ejecutivo (ver Figura 1). Figura 1: Grupo Técnico Nacional. 2

3 El Grupo Técnico Nacional posee su núcleo y principal fuerza de trabajo en el Centro de Software Libre (CESOL) de la Universidad de las Ciencias Informáticas (UCI). Este Centro posee como objetivos fundamentales: 1) Desarrollar el sistema operativo para la migración en Cuba. 2) Definir las directrices, lineamientos y soluciones que guiarán la migración nacional. Actualmente el proceso de migración se ha realizado en entidades cubanas entre las que se pueden citar la empresa Telemar del Ministerio de la Alimentación (MINAL) y el Centro de Cibernética Aplicada a la Medicina (CECAM). La migración de los servicios telemáticos en estas entidades se ha realizado por parte de los especialistas en migración de manera manual y la administración de los servicios una vez migrados se desarrolla con herramientas no adaptadas a las condiciones de las empresas cubanas y que resultan complejas para los administradores a cargo de la gestión, una vez montados los servicios, en ocasiones, por las capacidades tecnológicas de hardware e infraestructura de red de la entidad, estos suelen cargarse provocando la caída de los mismos y la insatisfacción del cliente. Cumpliendo con el segundo objetivo de los antes mencionados se está desarrollando una herramienta para la administración y migración de los servicios telemáticos (HMAST), la misma está compuesta por una serie de módulos que responden a los diferentes servicios telemáticos existentes. Uno de estos módulos es para administrar el servicio de correo electrónico, servicio importante para el intercambio de información. La infraestructura para el flujo de los mensajes utilizada en dicho módulo está compuesta por una serie de tecnologías que responden a la necesidad de las empresas cubanas. A esta infraestructura se le han adicionado una serie de tecnologías que garantizan la seguridad del servicio de correo, así como que se han realizado una serie de configuraciones que mejoran el rendimiento de la misma, garantizando así, la adaptabilidad de esta, a las condiciones tecnológicas de las empresas cubanas. Desarrollo Para el correcto funcionamiento del servicio de correo electrónico influyen un conjunto de tecnologías relacionadas entre sí; a continuación se describen las propuestas a usar en el módulo de correo electrónico para esto se tuvo en cuenta los requisitos funcionalidades y no funcionales así como las configuraciones que se ajusten más al entorno de la empresa cubana, también se verificó la aparición en las principales herramientas de administración de correo electrónico que existen en el mundo. 3

4 Tecnologías utilizadas Agentes de transferencia de correo (MTA). Los MTA son aplicaciones que implementan el protocolo SMTP mayoritariamente [1], en esta categoría se analizaron Postfix, SendMail, Exim y Qmail, de todas ellas la propuesta para emplear como MTA para el desarrollo del módulo de administración de correo electrónico es la herramienta Postfix [2], puesto que está bajo una licencia libre, además tiene un buen registro de seguridad, rendimiento, flexibilidad, así como una fácil configuración y amplia comunidad. Filtrado spam. Actualmente existen una enorme variedad de aplicaciones que se utilizan para dar soporte como antispam, empleadas para escanear los mensajes de correo en tiempo real que llegan y salen al servidor [3], en esta categoría se analizaron SpamAssassin., BogoFilter y DSPAM, de todas ellas la propuesta para antispam a tener en cuenta para la infraestructura del correo electrónico es la herramienta Spamassassin, debido a que es la que en mayor medida cumple con las características necesarias para el desarrollo de la solución. Antivirus Actualmente existen una enorme variedad de aplicaciones que se utilizan para dar soporte como antivirus, empleadas para escanear los mensajes de correo en tiempo real que llegan y salen al servidor [4], en esta categoría se analizaron Kaspersky Security for Linux Mail Server, Clamav y SAVUnix Milter, luego del estudio de las tecnologías de antivirus antes mencionadas y teniendo en cuenta las características del entorno que se propone, la propuesta de software antivirus para el desarrollo del módulo de administración de correo es la herramienta Clamav [2], debido a que en mayor medida cumple con las características necesarias para el desarrollo de la solución. Agentes de entrega de correo (MDA) Actualmente se encuentran una enorme variedad de aplicaciones que implementan el protocolo IMAP y/o POP3 en esta categoría se analizaron Courier IMAP Server, Cyrus Imap y Dovecot. La propuesta para dar soporte al protocolo IMAP y POP3 para la infraestructura del correo electrónico es la herramienta Dovecot [2], por ser esta de código abierto para GNU/Linux y sistemas de tipo UNIX. Dovecot es una excelente opción para todo tipo de institución, independiente al tamaño de la misma. Es rápido, fácil de configurar y utiliza pocos recursos de hardware. Esta herramienta está considerada entre las que implementan el protocolo IMAP 4

5 con mejor rendimiento, basado en los estándares de formato de buzón mbox1 y maildir2. Los buzones están indexados de forma transparente, lo que permite una compatibilidad total con las herramientas de manejo de buzón. Dovecot tiene la característica de auto reparación, solucionando la mayoría de los problemas de manera autónoma, por ejemplo: archivos de índice rotos. Registrándose los problemas para que el administrador posteriormente pueda estudiar las causas. Los mensajes de error comunes son fáciles de comprender. Agentes de agente de usuario (MUA) Actualmente existe una amplia variedad de aplicaciones que se emplean como clientes de correo electrónico o agente de usuario de correo, en esta categoría se analizaron SquirrelMail, RoundCube y Horde, de todas estas tecnologías la propuesta para cliente de correo electrónico para el desarrollo del módulo de administración de correo es la herramienta RoundCube [2], Presencia de estas tecnologías en las principales herramientas de administración. Para la gestión y administración del servicio de correo electrónico existen un conjunto de herramientas que son ampliamente usadas en el mundo. Una de las herramientas más populares es Zentyal [4]. Zimbra también se ha convertido en la solución de Código Abierto líder a nivel mundial tanto para empresas como para proveedores de servicios, centros educativos y administraciones públicas, en agosto de 2010 había superado el número de 60 millones de buzones de correo, distribuidos entre clientes [5]. También existen otras herramientas importantes como son Iredmail, Artica, Kolab, Yast y Webmin las cuales son usadas por administradores en muchas instituciones en el mundo. Postfix Dovecot SpamAssassin Clamav RoundCube Iredmail X X X X X Zimbra X X Artica X X X Kolab X X X X 1 Formatos de fichero que se usan para almacenar los correos electrónicos, los mensajes en un buzón mailbox están concatenados en un único fichero. 2 Formatos de fichero que se usan para almacenar los correos electrónicos, los mensajes se almacenan en ficheros distintos con nombres únicos. 5

6 webmin X X X X X Zentyal X X X X X Yast X X ND X Ejecuta mandatos cuando un patrón ha sido detectado por la misma dirección IP para más de X veces. X puede ser cambiado. Tabla 1: Presencia de las tecnologías seleccionadas en las principales herramientas de administración. La Tabla 1 demuestra que las tecnologías seleccionadas en la investigación son las más usadas en la administración del servicio de correo electrónico ya que todas se encuentran por encima de un 50% de las herramientas de administración de servicios más importantes en el mundo del Código Abierto [2]. Interacción entre las tecnologías Figura 2: Flujo de transferencia de mensajes Una vez que el MTA recibe el mensaje, este es involucrado en un flujo de procedimientos antes de ser entregado al buzón del destinatario. Cuando se envía un correo electrónico se enruta mediante el MTA usando el protocolo SMTP (Paso 1), la próxima etapa consiste en realizar un escaneo del mensaje mediante el filtro antispam para determinar si es un correo basura y luego a través del antivirus para comprobar si el mensaje está infectado (Paso 2). Posteriormente 6

7 se devuelve el correo al MTA (Paso 3), en caso de haber alguna dificultad se notifica al remitente, sino el MTA del destinatario entrega el correo electrónico al MDA (Paso 4), el cual almacena el correo electrónico mientras espera que el usuario lo acepte. Esta última operación se puede realizar a través de dos protocolos: POP3 el cual recupera el correo electrónico y deja una copia en el servidor e IMAP el cual guarda una copia de cada mensaje en el servidor. La recuperación del correo se logra a través del MUA (Paso 5). La Figura 2 ilustra el proceso descrito. Tecnologías de apoyo que garantizan la seguridad y el rendimiento. En toda infraestructura de correo electrónico es necesario contar con un conjunto de tecnologías para lograr la correcta interacción de los componentes ilustrados en la Figura 2. Tales soluciones sirven de apoyo para lograr un eficiente servicio de correo electrónico, que garantice el correcto filtrado de los mensajes, así como la garantía de contar con funcionalidades útiles en el entorno común que se presenta en los OACE en Cuba. Postix Por el propio diseño, postfix proporciona niveles de seguridad en el servicio que no proporcionan otros gestores de correo. Aún así, se han dispuesto una serie de directivas que permiten tener un mayor control de lo que ocurre, o especificar unos mayores niveles de exigencia para admitir un mensaje. Rechazo por no resolución inversa: postfix permite delimitar los clientes a los que permitirá establecer una sesión SMTP. Para ello dispone de la directiva smtpd_client_restrictions, que entre otros criterios, permite rechazar las conexiones desde clientes cuya dirección IP no disponga.. Verificación de RBL: otro mecanismo de lucha contra el SPAM que en los últimos años está teniendo gran importancia son las Listas Negras (RBL por sus siglas en inglés). Postfix permite fácilmente verificar que el cliente que ha establecido la conexión SMTP no está inscrito en alguna de las listas negras que se designen. Esto se define en la variable maps_rbl_domains asignándole los nombres de los servidores RBL que se estimen adecuados de resolución inversa en el DNS, activando este mecanismo en la directiva smtpd_client_restrictions. Filtrado por cabeceras: un mecanismo que proporciona Postfix, y que se está utilizando ampliamente contra la propagación de virus, es la posibilidad de filtrar los mensajes en base a las cabeceras de los mismos y a patrones definidos mediante expresiones regulares. De esta manera, todo mensaje que contenga una cabecera que cumpla un determinado patrón será rechazado automáticamente. 7

8 Filtrado por contenido: de igual manera que pueden filtrarse mensajes en base a patrones que se definen sobre las cabeceras de los mensajes, también se pueden definir patrones que se aplicarán al contenido de los mensajes. Uso de autenticación SASL: es una capa software que permite añadir soporte de autentificación en protocolos orientados a conexión, como puede ser SMTP. Uso de TLS: permite utilizar mecanismos de cifrado, evitando que toda la información que viaja por Internet sea en claro. Amavisd-new. Amavisd-new es una interfaz entre el MTA y las herramientas que chequean contenido como aplicaciones antivirus y spam, posee un alto rendimiento. Está escrito en Perl, lo que garantiza una alta fiabilidad, portabilidad y facilidad de mantenimiento [6]. Se ejecuta como demonio en el sistema, iniciándose automáticamente y diseñado pensado en un alto rendimiento. Se ejecuta con un usuario propio, garantizando un mayor nivel de seguridad en el sistema. Implementa chequeo de errores, informando con mensajes de notificación las fallas ocurridas. Dispone de un mecanismo de funcionamiento a prueba de errores. Soporta verificación de firmas de correo integrado con OpenDKIM. Dispone de soporte para más de 40 antivirus, brindando la posibilidad de ejecución paralela de los mismos. Soporta de forma nativa SMTP y LMTP. Presenta mecanismos contra ataques de denegación de servicios (DOS). Postgrey. Postgrey es un inspector licenciado bajo GNU/GPL que implementa la política greylisting3 del servidor Postfix [7]. Ventajas: Mejora el modo de acceso a la base de datos de listas grises por defecto de Postfix, evitando la corrupción de la misma, mediante una mejora en el control de escritura. 3 Método de defensa de correo electrónico de los usuarios contra el spam. 8

9 Es configurable para mantenimiento automático. Implementa mecanismos para automáticamente pasar los mensajes de la lista gris a la blanca. Fail2ban Fail2ban es una herramienta que observa los intentos de login de variados servicios, tales como SSH, FTP, SMTP, HTTP, entre otros; y si encuentra intentos de login fallidos una y otra vez desde una misma IP, fail2ban rechazará estos intentos de login bloqueando con reglas de iptables a esas IPs que estaban intentando. Ventajas: Multi-hilo. Altamente configurable. Analiza los archivos de registro y busca patrones dados. Después de un período de tiempo determinado, ejecuta otro comando con el fin de eliminar la prohibición de la dirección IP. Puede manejar múltiples servicios (sshd, apache, vsftpd, etc). Resuelve el nombre de host DNS a la dirección IP. OpenDKIM. OpenDKIM es una implementación de código abierto del identificador de llaves de dominio del correo (DKIM, por sus siglas en inglés), sistema de autenticación de remitente actualmente estandarizada por el IETF 4 [8]. También incluye implementaciones de las ADSP 5 [9] y VBR 6 [10]. El paquete OpenDKIM consiste en una biblioteca que implementa DKIM y una aplicación de filtro que puede conectar a cualquier MTA para prestar el servicio de firmas de correo electrónico. Spamassassin SpamAssassin es una utilidad de correo electrónico que intenta filtrar spam mediante la inspección del correo electrónico entrante, examinando si contiene características de spam. Usa pruebas Bayes (filtración bayesiana 7 de 4 Signing Technology Group: En español significa Grupo de Firma de Tecnología de Correo. 5 Prácticas de Firma de Autor de Dominio, extensión opcional a la DKIM para la autenticación. 6 Respuesta Por Referencia. es un protocolo para la adición de certificación de correo electrónico a terceros. 9

10 spam) y de red para inspeccionar el correo entrante. Las pruebas le dan una puntuación total. Si un mensaje entrante alcanza una puntuación predefinida, se descarta [11]. Ventajas Requiere muy poca configuración, no es necesaria la actualización continua del sistema de políticas antispam. Las políticas pueden ser aplicadas en servidores de correo. Está basado en Perl, se puede ejecutar como una aplicación independiente o como un subprograma de otra aplicación. Contiene un gran conjunto de reglas que se aplican para determinar si un correo electrónico es spam o no. La mayoría de las reglas se basan en expresiones regulares que se comparan con los campos del cuerpo o el encabezado del mensaje. Configuraciones que mejoran el rendimiento. Postfix El agente de transferencia de mensajes (MTA por sus siglas en inglés) postfix posee una serie de configuraciones que, asignándoles los valores adecuados pueden contribuir a mejorar el rendimiento de esta tecnología y además a aumentar el flujo de mensajes en los diferentes estados de las colas que este implementa. Los principales se describen a continuación. Mínimo tiempo entre intentos de entregar un mensaje diferido: Este parámetro responde a la configuración minimal_backoff_time y posee un valor por defecto de 300s, esto significa que el MTA estará durante 300 segundos intentando sacar un mensaje que por alguna razón ha sido diferido, cuando el flujo de mensajes es grande y existen varios mensajes en estado diferido, esto puede afectar el rendimiento si no se tienen las prestaciones adecuadas, por lo que disminuyendo este valor se puede aumentar la capacidad de rendimiento de la tecnología. Tiempo máximo en cola antes de considerar el mensaje no entregable: Este parámetro responde a la configuración maximal_queue_lifetime y posee un valor por defecto de 1d, esto significa que durante un día el MTA estará intentando entregar un mensaje que no sabe cómo entregar, disminuyendo este valor, también ayuda a mejorar la capacidad de rendimiento de la tecnología. 7 Técnica estadística de filtrado de correo electrónico. 1 0

11 Tiempo que un mensaje rebotado va a estar en la cola: Este parámetro responde a la configuración bounce_queue_lifetime y posee un valor por defecto de 1d, esto significa que durante un día el MTA estará guardando en un cola todos los mensajes que han sido rebotados, tanto lo que entran, como los que salen y cuando existe un flujo muy alto las colas se llenarían mucho, provocando caída en ocasiones del servicio, disminuyendo este valor, puede ayudar a disminuir la persistencia de mensajes por mucho tiempo en las colas. Tamaño máximo que puede tener un mensaje: Este parámetro responde a la configuración message_size_limit y posee un valor por defecto de lo que significa que lo mensajes enviados podrán tener un tamaño máximo de 15 MB, esto, cuando la infraestructura de red es de bajas prestaciones y además el flujo de mensajes con el tamaño cercano a ese límite es grande, puede provocar la caída del servicio y la demora en las respuestas del mismo, por lo que disminuyendo este valor, se reducirían estos riesgos. Dovecot El agente de entrega de mensajes (MDA por sus siglas en inglés) dovecot posee un mecanismo para el tratamiento de cuotas por cuenta de correos, permitiendo personalizar las cuotas de correo por usuarios, configurando así la capacidad máxima del buzón de forma diferenciada, esto permitiría que aquellas estaciones de trabajo cuya capacidad sea limitada, tener un mejor aprovechamiento de sus recursos. Esto se realiza a través del plugin quota y el uso del diccionario, el cual se encargaría de realizar la actualización. Otro de los mecanismos que posee esta tecnología es el auto duplicado de adjuntos, una vez activado este plugin permite que cuando se envían varios mensajes con el mismo adjunto este va creando enlaces directos ubicando el adjunto en un solo lugar, esto atenta de igual forma a favor de la capacidad. Spamassassin Spamassassin es una tecnología que garantiza que los usuarios se liberen de correos no deseados, por cada mensaje entrante, se verifica si el mismo se encuentra en las listas negras, en caso de ser positivo este es descartado, también se verifica si este se encuentra en listas blancas, en este caso el mensaje no pasa por ningún flujo de verificación por parte del antispam, precisamente el Spamassassin posee un mecanismo llamado auto-whitelist, que una vez activado permite que si un remitente en varias ocasiones es identificado por el antispam como confiable pasa automáticamente como lista blanca, este es un recurso importante porque permite disminuir la verificación del antispam mejorando así el rendimiento. Conclusiones 1 1

12 Al terminar el desarrollo del trabajo se puede concluir que: Las tecnologías más adecuadas para el montaje de una infraestructura de correo electrónico ajustadas a las condiciones de la empresa cubana son: Postfix, Dovecot, Amavisd-new, Spamassassin y RoundCube. Existen una variedad de configuraciones y mecanismos que mejoran el rendimiento de las tecnologías propuestas, propiciando así la adaptabilidad de la infraestructura de servicio de correo a las condiciones de las empresas cubanas. Existen un grupo de directivas y tecnologías de apoyo que proveen una mayor seguridad a la infraestructura de servicio de correo tales como Fail2Ban, Postgrey, Amavis-new, entre otras. Referencias [1] RICHARD BLUM. Sams Publishing, ISBN Available from: [2] V. Yadiel Pérez and V. Yasiel Pérez, "Módulo de administración de correo electrónico para HMAST," UCI, [3] MICHAEL JOHN ANTHONY. Postfix-Antispam Available from: [4] ROBERTO CRUZ ACOSTA,YÁSKARA ARAFET, Libro Electrónico: Virus y Antivirus Seguridad Informática. Editorial Académica Española ISBN Available from: %C3%B3nico:-virus-y-antiviruseguridad-inform%C3%A1tica. [5] Zentyal: servidor Linux para pymes, Available from: [6] TIMOTHY PRICKETT MORGAN. VMware packs Zimbra into virtual appliance, 2010.Available from: 1 2

13 [7] MARK MARTINEC. Amavisd-new, Available from: [8] DAVID SCHWEIKERT. Postgrey - Postfix Greylisting Policy Server, Available from: [9] M. KUCHERAWY. DomainKeys Identified Mail (DKIM) Signatures, Available from: [10] E. ALLMAN. Author Domain Signing Practices (ADSP), Available from: [11] P. HOFFMAN. Vouch By Reference Available from: [12] Mike Cardwell. Exim Internet Mailer, Available from: 1 3