Opportunistic encryption kasutamine Postfixiga
Sisukord
Sissejuhatus
Üldiselt saab Postfix'i seadistada käima nii väljuvat kui sisenevat andmevahetust krüptima. Seejuures saab valida kui nö agressiivselt Postifix krüptimise ning lisaks autentimisega tegeleb. Üks populaarne andmevahetuse krüptimise viis on nn võimalusel krpüptimine (ingl. k. opportunistic encryption), mis tähendab seda, et osalised ei autendi üksteist, kuid kui mõlemad pooled suudavad krüptimise osas kokku leppida, siis toimub andmevahetus üle krüptitud kanali. See ei ole küll range turvameede, kui pigem teeb andmevahetuse võimalusel turvalisemaks selles mõttes, et andmevahetust on kolmandal osapoolel raskem pealt kuulata.
Serveri seadistamine
Postfixi server toetab võimalusel krüptimist kui seadistusfailis kasutada
smtpd_tls_cert_file=/etc/ssl/certs/ssl-cert-snakeoil.pem
smtpd_tls_key_file=/etc/ssl/private/ssl-cert-snakeoil.key
smtpd_use_tls=yes
smtpd_tls_session_cache_database = btree:${data_directory}/smtpd_scache
smtpd_tls_loglevel = 1
smtpd_tls_received_header = yes
Vaikimisi sisalduvad Debiani Lenny Postfixi seadistusfailis sarnased read, kus
- smtpd_tls_received_header - kirja päisesse lisatakse rida krüptimise kohta
Kliendi seadistamine
Postfixi klient toetab võimalusel krüptimist kui seadistusfailis kasutada
smtp_use_tls = yes
smtp_tls_note_starttls_offer = yes
smtp_tls_cert_file=/etc/ssl/certs/ssl-cert-snakeoil.pem
smtp_tls_key_file=/etc/ssl/private/ssl-cert-snakeoil.key
smtp_tls_session_cache_database = btree:${data_directory}/smtp_scache
Opportunistic encryption kasutamine
Võimalusel krüptimise kasutamiseks ei ole lõppkasutaja vaja midagi erinevat tavalisest teha, kaks postimasinat krüptivad võimalusel andmevahetust ja serveri logis paistab see välja selliselt
Jul 10 21:05:36 post-lenny postfix/smtpd[6306]: connect from smtp1.auul[192.168.1.150] Jul 10 21:05:36 post-lenny postfix/smtpd[6306]: setting up TLS connection from \ smtp1.auul[192.168.1.150] Jul 10 21:05:36 post-lenny postfix/smtpd[6306]: Anonymous TLS connection established from \ smtp1.auul[192.168.1.150]: TLSv1 with cipher ADH-AES256-SHA (256/256 bits) Jul 10 21:05:36 post-lenny postfix/smtpd[6306]: AFD77AC10E: client=smtp1.auul[192.168.1.150] Jul 10 21:05:36 post-lenny postfix/cleanup[6311]: AFD77AC10E: \ message-id=<20090710180536.8B6FB6E50A@smtp1.auul> ...
