SPF, DomainKeys y su implementación. Toni de la Fuente Diaz [blyx.com] 30 Octubre'04 HackAndalus Hackmeeting Sevilla

Transcripción

1 SPF, DomainKeys y su implementación Toni de la Fuente Diaz [blyx.com] 30 Octubre'04 HackAndalus Hackmeeting Sevilla

2 Contenido: Introducción Funcionamiento del correo electrónico SPF (Sender Policy Framework) Conceptos, características. Anatomía, sintaxis. Ejemplos, casos prácticos. Implementación DomainKeys Conceptos, características Ejemplos, casos prácticos Implementación

3 Introducción: Que es SPAM? Spam es correo no deseado y no solicitado. Más del 40% de los correos electrónicos recibidos por cualquier ISP al día son spam. * Por qué los Spammers hacen SPAM? Por dinero. Ahorro en anunciar ciertos productos. Gusanos con propio motor SMTP Phishing Attacks... Coste del SPAM: - Pérdida de productividad (4.4s/mensaje) y de recursos del servidor (ancho de banda y almacenamiento). * (2003)

4 Métodos utilizados para acabar con el SPAM: SpamAssassin. BlackLists. Filtros Bayesianos : Teorema de Bayes. Filtros en los clientes. Control de ancho de banda. Uso intensivo del cortafuegos (tráfico saliente puerto 25/TCP). Y un largo etcétera.

5 Cómo funciona el correo electrónico?

6 Estructura de un mensaje de correo electronico: Envelope: mail from: (Return-Path) rcpt to: (Delivered-To) Header: From: Subject: Asunto To: Date: Reply-To: Message-ID: ETC...

7 Una sesión especial: $ telnet smtp.dominio.com 25 Trying Connected to smtp.dominio.com. Escape character is '^]'. 220 smtp.dominio.com ESMTP mail from: pepe@lospepes.com 250 ok rcpt to: toni@dominio.com 250 ok data 354 go ahead From: yomismo@oleoleyole.es Subject: ayyyy lereee lereee To: toniblyx@loqueyoquiera.com Adiooooooosss!!!. 250 ok qp 3884 quit 221 smtp.dominio.com Connection closed by foreign host.

8 Resultado, fuente del mensaje recibido: Return-Path: Delivered-To: Received: (qmail 3884 invoked from network); 1 Jul :59: Received: from unknown ( ) by 0 with SMTP; 1 Jul :59: From: yomismo@oleoleyole.es Subject: ayyyy lereee lereee To: toniblyx@loqueyoquiera.com X-Evolution-Source: pop://toni%40diminio.com@pop3.dominio.com Date: Thu, 01 Jul :57: Message-Id: < camel@flame> Mime-Version: 1.0 Adiooooooosss!!! Quien recibe el correo? toni@dominio.com Aunque aparecerá en el cliente toniblyx@loqueyoquiera.com procedente de yomismo@oleoleyole.es

9 Falsear direcciones de correo es fácil: SPAMMER

10 SPF = Sender Policy Framework SPF (antes llamado Sender Permitted From) permite a los servidores de correo identificar y bloquear envíos falsificados haciendo una simple consulta al DNS sobre el registro TXT del dominio origen. Gran parte de las empresas y asociaciones ya publican sus registros SPF como Google, AOL, gnu.org, oreilly.com, wanadoo.es, etc. Cómo sé si mi proveedor publica SPF? host t txt ya.com Basado en: RMX: Reverse Mail exchanger DMP: Designated Mailers Protocol

11 Características para la implementación de SPF Implica a los protocolos DNS (sólo TXT) y SMTP (necesita modificación). La adopción de SPF puede ser asimétrica, no es necesario que otros utilicen SPF. Uso de SMTP Autenticado muy recomendable. Usuarios viajeros con MTA propios, etc. Hay otras iniciativas como M$ Caller-ID o M$ SenderID. SPF es compatible. Web del proyecto: RFCs:

12 Anatomía de un registro SPF:

13 Con SPF:

14 Sintaxis Ejemplo: Sólo los MX de blyx.com pueden enviar correos En BIND: blyx.com. IN TXT "v=spf1 mx -all" En tinydns/djbdns: 'blyx.com:v=spf1 mx -all:600 NOTA: all es equivalente a +all Existen asistentes para configuración de la zona TXT para SPF:

15 Prefijos: - fail ~ softfail + pass? neutral Operadores (mechanism): v = versión de SPF, actualmente es spf1 a = registros A en DNS mx = registros MX en DNS ptr = registros PTR (resolución inversa) en DNS ip4/ip6 = declaración de ip o rangos Ipv4 o Ipv6 all = redes e IP restantes include = comprueba registro SPF de otro dominio y pasa al siguiente operador exist = si existen registros SPF de otro dominio Modificadores: exp = (explanation) respuesta en caso de rechazo (pj. explicar como utilizar smtp-auth) redirect = consulta el registro SPF de otro dominio

16 Otros ejemplos: Si blyx.com sólo fuera un dominio de web y no envía correo: blyx.com. TXT "v=spf1 -all" Informe de los fails por IP (no aparece en spf v2): v=spf1 mx report=toni@blyx.com -all"

17 Registro SPF y comprobación:

18 Comprobación con libspf: ( Prueba satisfactoria: # spfquery -i s toni@blyx.com -h blyx.com pass policy result: (pass) from rule (ip4: /26) (null) Prueba fallida: # spfquery -i s toni@blyx.com -h blyx.com fail policy result: (fail) from rule (-all) See

19 Comprobación:

20 AOL: SPF, DomainKeys y su implementación Análisis de algunos registros SPF: aol.com text "v=spf1 ip4: /24 ip4: /24 ip4: /24 ip4: /23 ip4: /24 ip4: /23 ip4: /24 ptr:mx.aol.com?all" Implementación interesante de SPF: WANADOO: wanadoo.es text "v=spf1 +a:allow.spf.wanadoo.es?all" Ejecuta: # nslookup allow.spf.wanadoo.es Interesante verdad?

21 Desventajas: - Problemas con los reenvios de correo: Solución: Protocolo SRS (Sender Rewriting Scheme) marcas de camino, MTA original: seguimiento de correo. - Usuarios móviles con MTA propios: Solución: SMTP-AUTH

22 Qué hago en mi servidor SMTP? Paquetes y parches disponibles para MTAs en: Mail::SPF::Query Módulo de Perl que permite la implementación con Sendmail, paquetes RedHat, Fedora y Debian. Postfix Mail::SPF::Query Sendmail-milter - qmail - Exim - Courier Librerias en C para Sendmail y Qmail - Librerias en Python - Librerias en Java

23 Caso práctico: implementación con qmail 1- Publicar los registros SPF en el dns: Añadir en la zona /var/named/blyx.com.db: blyx.com. IN TXT "v=spf1 mx -all" 2- Parchear, compilar, instalar: Parche simple: Parche con soporte ldap, smtp-auth, tls: 3- Configurar qmail (/var/qmail/control): spfbehavior: valor ideal 3 *mas info: # man 8 qmail-smtpd

24 spfbehavior: Comportamiento de nuestro MTA Configura el comportamiento del MTA según las respuestas SPF obtenidas. El valor por defecto es 0 (off). Los valores son de 0 a 6: 0: Never do SPF lookups, don't create Received-SPF headers 1: Only create Received-SPF headers, never block 2: Use temporary errors when you have DNS lookup problems 3: Reject mails when SPF resolves to fail (deny) 4: Reject mails when SPF resolves to softfail 5: Reject mails when SPF resolves to neutral 6: Reject mails when SPF does not resolve to pass

25 Demostración: En DNS: blyx.com text = "v=spf1 mx -all" En MTA: /var/qmail/control/spfbehavior = 6 $ telnet smtp.blyx.com 25 Trying Connected to Escape character is '^]'. 220 smtp.blyx.com ESMTP mail from: atacante@aol.com 250 ok rcpt to: toni@blyx.com 550 See 40aol.com&ip= &receiver= (#5.7.1) quit 221 smtp.blyx.com Connection closed by foreign host. Captura del tráfico con tcpdump: 22:37: smtp.blyx.com > chico.rediris.es.domain: [1au] TXT? aol.com. (36) (DF) 22:37: chico.rediris.es.domain > smtp.blyx.com.32771: 36152* 1/4/5 TXT[ domain] (DF)

26 Análisis de cabeceras: Caso neutral?all Return-Path: Delivered-To: Received: (qmail invoked by uid 508); 9 Sep :48: Received: from unknown (HELO fcmx1.nostracom.com) ( ) by pop.nostracom.com with SMTP; 9 Sep :48: Received: (qmail invoked by uid 600); 9 Sep :51: Received: from 182.red pooles.rima-tde.net ( ) by with SMTP; 9 Sep :51: Received-SPF: neutral ( : is neither permitted nor denied by SPF record at aol.com) X-Evolution-Source: pop://toni%40blyx.com@mailbox1.nostracom.com/ From: Date: Thu, 09 Sep :47: Subject: No Subject Message-Id: < camel@flame.nostracom.com> Mime-Version: 1.0

27 Análisis de cabeceras: Caso pass -all Return-Path: Delivered-To: Received: (qmail invoked by uid 508); 8 Sep :59: Received: from unknown (HELO fcmx1.nostracom.com) ( ) by pop.nostracom.com with SMTP; 8 Sep :59: Received: (qmail invoked by uid 600); 8 Sep :02: Received: from mta201.info.redhat.com ( ) by with SMTP; 8 Sep :02: Received-SPF: pass ( : SPF record at b.info.redhat.com designates as permitted sender) Date: Wed, 8 Sep :04: Message-ID: <bz0214fa94ddcqbh1mccmbv7qgpamb @mta201.info.redhat.com> List-Unsubscribe: <mailto:rm-0bz0214fa94ddcqbh1mccmbv7qgpamb@info.redhat.com> From: "Red Hat" <redhat@info.redhat.com> To: toni@blyx.com Subject: Under the Brim Red Hat September 2004

28 Análisis de cabeceras: Caso none sin SPF declarado Return-Path: Delivered-To: Received: (qmail invoked by uid 508); 3 Sep :41:21-00 Received: from unknown (HELO fcmx1.nostracom.com) ( ) by pop.nostracom.com with SMTP; 3 Sep :41: Received: (qmail invoked by uid 600); 3 Sep :44: Received: from 19.red pooles.rima-tde.net (HELO iol.ie) ( ) by with SMTP; 3 Sep :44: Received-SPF: none ( : domain at noconname.org does not designate permitted sender hosts) Received: from peron (hugo.iol.ie [ ]) by iol.ie(postfix) with SMTP id 8521D23 for <toni@blyx.com>; Fri, 3 Sep :49: (CEST) Message-ID: <008d01c491f6$f830b320$0200a8c0@peron> From: <fxksjis@iol.ie> To: "Toni dlf. Diaz" <toni@blyx.com>

29 DomainKeys

30 DomainKeys DomainKeys crea un entorno de autenticación a nivel de dominio usando tecnología de clave pública y DNS para comprobar la procedencia del correo electrónico y el contenido del mismo de forma que se evita el SPAM. Idea desarrollada por Yahoo! Borrador publicado ante la IETF para su estandarización como protocolo. (Agosto 2004) Autentica la procedencia y su contenido. Web oficial:

31 Arquitectura de clave pública o asimétrica (PKI) qué es? Basada en el uso de un par de claves, debemos cifrar con una de ellas y descifrar con la otra (sólo con la otra) La clave privada solo está en poder del propietario. Debe ser conservada de forma segura. La clave pública se deja a disposición de quien quiera comunicarse con nosotros de modo seguro. En el caso de DomainKeys se utiliza la arquitectura de PKI para firmar los mensajes de correo electrónico y comprobar su origen e integridad.

32 Características de DomainKeys Implica a los protocolos DNS (sólo TXT) y SMTP (necesita modificación como con SPF). La adopción de DomainKeys puede ser asimétrica, no es necesario que otros utilicen DomainKeys pero para el correcto funcionamiento es necesario DK <-> DK. Uso de SMTP Autenticado muy recomendable. Usuarios viajeros con MTA propios, etc. No se necesita una CA aunque se puede usar. No involucra a los usuarios. Multiples claves para el mismo dominio (grandes entornos)

33 Cómo funciona Envío de correo: 1 El propietario de un dominio genera 1 o más par de claves pública y privada (exclusivas para ese dominio) 2 Se publica la/las clave pública para ese dominio en el DNS. 3 Se pone a disposición del servidor de correo saliente la clave privada para firmar los mensajes. 4 La firma se incluye en la cabecera del correo electrónico y se envía usando el método tradicional.

34 Cómo funciona Recepción de correo: 1 El servidor que recibe el correo extrae la firma de la cabecera del mensaje. 2 Consulta mediante DNS la clave pública del dominio que envía el mensaje. 3 Usa la clave pública del remitente para determinar si la firma ha sido generada con la correspondiente clave privada y por lo tanto si ha sido enviado por un servidor autorizado. 4 El servidor de correo que recibe el mensaje puede determinar que política aplicar basándose en el resultado de la comprobación de la firma.

35 Creación de las claves - privada: # openssl genrsa -out rsa.private 1024 Generating RSA private key, 1024 bit long modulus e is (0x10001) # cat rsa.private -----BEGIN RSA PRIVATE KEY----- MIICXQIBAAKBgQDGayvYWrS0o4bV51vdg6MGP3qkBXvtUFEOxiOxMhwSjW6F+H26 a9fpslh9qkhvb6aiwryjqhqu4+kjmjg0k7bhxuqq15abxeasdes5m5qmoac73m9h WpUkdRKx/WZCN7sgrjlQ2Yb9A1dR+43D/GwoX5lOAqA/yjIw1+B477acZQIDAQAB AoGAeB6LVZhcC3tv9nDwqWK2v+KQIVn8k0drOvFyzCQU4JpkjZBItSHyfVTp09Jf 1dIe/MtBxggL1jW/b4LEqdjFFqseqb7vtEOpCO6BvvKI2ic9zUN5uA61/uEvkTW2 cyucbzo9at+dplgbj6ohgumbwpk7jlvkz1gujphdsjsv6qecqqdvt7klonoec+wp 4PIknx7xVyLCJPxTSGGpILJCdQEdbFp5r6njX50+Yafv43H1JtPjBuoSh4qh4lHG 9GoNKpn9AkEA1EFwDtOfIJJr2drX+mUBfnnsnbocadWh5qlzpxjQpxk5L4xmdAiO 830lF5QD0gi/Pc7p6PFFtG+xminc8P9EiQJBANMaZtHRayTMr6Oxv2j2xQD4cLz6 i2uckipbowrmenloh/haoalpsxlaarh+1wp/iglgspnt5akwubtfefftalecqqck Ffhc7Pf9LMTVejZARC3wpkl1Y3rQr5cghOUktFQqIZK+iEyu+FJnvea/rB/AKMih 4VbzoOOEO5YDgXCnqKphAkAOp9iJdt+lDfYW6KTNCllh6I1blLvgCAPr+SXd/g5S 0FkscKseXd0g1pZMXcVeLfpA/VTLmi6fr9NuU+vZM/2v -----END RSA PRIVATE KEY----- Longitud de claves soportadas: 512, 768, 1024, 1536 y 2048 bits recomendados. Tipo de clave por defecto RSA (SHA1 digest) Para firmar los correos salientes

36 Creación de las claves - pública: # openssl rsa -in rsa.private -out rsa.public -pubout -outform PEM writing RSA key # cat rsa.public -----BEGIN PUBLIC KEY----- MIGfMA0GCSqGSIb3DQEBAQUAA4GNADCBiQKBgQDGayvYWrS0o4bV51vdg6MGP3qk BXvtUFEOxiOxMhwSjW6F+H26a9fpslH9QKhVB6AiwRyjQhQU4+kJmJg0K7BhXUqq 15abxEasDEs5M5QmOAC73M9HWpUkdRKx/WZCN7sgrjlQ2Yb9A1dR+43D/GwoX5lO AqA/yjIw1+B477acZQIDAQAB -----END PUBLIC KEY----- Para publicar en DNS - A mayor tamaño de la clave mayor consumo de CPU para verificar y firmar el mensaje. - Las claves deben ser reemplazadas cada cierto tiempo (semanas o pocos meses)

37 Publicación en DNS: -----BEGIN PUBLIC KEY----- MIGfMA0GCSqGSIb3DQEBAQUAA4GNADCBiQKBgQDGayvYWrS0o4bV51vdg6MGP3qk BXvtUFEOxiOxMhwSjW6F+H26a9fpslH9QKhVB6AiwRyjQhQU4+kJmJg0K7BhXUqq 15abxEasDEs5M5QmOAC73M9HWpUkdRKx/WZCN7sgrjlQ2Yb9A1dR+43D/GwoX5lO AqA/yjIw1+B477acZQIDAQAB -----END PUBLIC KEY----- En el archivo de la zona se ha de incluir la siguiente entrada: octubre._domainkey IN TXT "t=y; k=rsa; p=migfma0gcsqgsib3dqebaquaa4gnadcbiqkbgqdgayvywrs0o4bv51vdg6mgp3qkbxvtufe OxiOxMhwSjW6F+H26a9fpslH9QKhVB6AiwRyjQhQU4+kJmJg0K7BhXUqq15abxEasDEs5M5Qm OAC73M9HWpUkdRKx/WZCN7sgrjlQ2Yb9A1dR+43D/GwoX5lOAqA/yjIw1+B477acZQIDAQAB" Selector Modo test habilitado Tipo de clave publicada Clave públca

38 Comprobación Consulta al DNS: # host -t txt octubre._domainkey.blyx.com octubre._domainkey.blyx.com text "t=y\; k=rsa\; p=migfma0gcsqgsib3dqebaquaa4gnadcbiqkbgqdgayvywrs0o4bv51vdg6mgp3qkbxvtufeoxioxmhw SjW6F+H26a9fpslH9QKhVB6AiwRyjQhQU4+kJmJg0K7BhXUqq15abxEasDEs5M5QmOAC73M9HWpUkdRKx /WZCN7sgrjlQ2Yb9A1dR+43D/GwoX5lOAqA/yjIw1+B477acZQIDAQAB" Otros sitios con registros DomainKeys publicados: # host -t txt beta._domainkey.gmail.com # host -t txt _domainkey.yahoo.es -> Interim domain policy

39 Análisis de la cabecera del correo recibido: DomainKey-Signature: a=rsa-sha1; q=dns; c=nofws; s=beta; d=gmail.com; h=received:message-id:date:from:replyto:to:subject:mime-version:content-type:content-transferencoding; b=pjj/h48npq9yte3dxm/zwr+3mkmn43z7hsntq3hrykpcygiinnpqu7o 3AJrlCc+nUy6/QJqTcFKtLfFtVALucamZsNokS3V5TTs/zGjT6a1J4K9R csh+hkmnlxboodpnxhao3a027rpkl5uhllqjf3rgyxlsxo7twtnn5oxoy 6I= Firma Dominio que firma el mensaje Campos que contiene la cabecera Algoritmo usado para la firma Método de consulta Selector Método por el que se presentan los campos de la cabecera para ser firmados (simple o isfws)

40 Software usado para la creación del borrador: - OpenSSL gracias a la funcionalidad que ofrece. -Senmail y qmail.

41 Soporte de diferentes escenarios: -Reenvíos de correo electrónico. -Listas de correo. -Envío de terceros autorizados.

42 Con qmail: HOWTO disponible en dkcreator es una utilidad que nos ayuda a crear las claves para firmar y los registros TXT para publicarlos en el DNS. Disponible en Parche - libdomainkey - Openssl-devel -

43 Reflexión: SPF o DomainKeys? Son necesarios los dos? Es realmente el camino a seguir para acabar con el SPAM?

44 Apuntes: Tipo Nombre Función SOA Start Of Authority Define una zona representativa del DNS Zona NS Name Server Identifica los servidores de zona, delega subdominios A Dirección IPv4 Traducción de nombre a dirección AAAA Dirección IPv6 original Actualmente obsoleto Básicos A6 Dirección IPv6 Traducción de nombre a dirección IPv6 PTR Puntero Traducción de dirección a nombre DNAME Redirección Redirección para las resoluciones inversas IPv6 MX Mail exchanger Controla el enrutado del correo KEY Clave pública Clave pública para un nombre de DNS Seguridad NXT Next Se usa junto a DNSSEC para las respuestas negativas SIG Signature Zona autenticada/firmada CNAME Canonical Name Nicks o alias para un dominio LOC Localización Localización geográfica y extensión Opcionales RP Persona responsable Especifica la persona de contacto de cada host SRV Servicios Proporciona la localización de servicios conocidos TXT Texto Comentarios o información sin cifrar Securizar el Servidor DNS Bind:

45 Preguntas? :P

46 GRACIAS!!! Se permite la copia y difusión total o parcial por cualquier medio y la traducción a otros idiomas, siempre que se haga referencia al autor Toni de la Fuente Diaz = y se incluya esta nota. :wq