Postfix: Versenden mit falschem Absender verhindern

Mit dem Standard-Mailserver-Setup nach meiner Anleitung können Benutzer des Mailservers E-Mails über einen falschen Namen verschicken. Das lässt sich z.B. über Mozilla Thunderbird und die „Identitäten“-Funktion in der Kontenverwaltung realisieren. Ein Benutzer user1@domain.de ist also in der Lage, eine E-Mail zu verschicken, die nicht seinen eigenen Benutzernamen als Absenderadresse trägt, sondern beispielsweise user2@domain.de. Dass dieses „Feature“ von den Benutzern missbraucht werden kann, ist selbstverständlich. Solcher Missbrauch kann dann nur doch eine entsprechende Analyse des Logfiles aufgeklärt werden. Der Empfänger der E-Mail hat aber selbst keine Möglichkeit, die Fälschung zu enttarnen.

Besser ist es, dem Missbrauch vorzubeugen und festzulegen, dass ein Benutzer als Absenderadresse nur seine eigene Mailadresse (oder ausgewählte andere Adressen) verwenden darf.

In der Postfix Hauptkonfiguration werden dazu folgende neue Einstellungen festgelegt:

smtpd_sender_login_maps = mysql:/etc/postfix/virtual/sender-login-maps.cf
smtpd_sender_restrictions = permit_mynetworks, reject_non_fqdn_sender, reject_sender_login_mismatch, permit_sasl_authenticated

Durch die erste Zeile wird der Pfad zu einer SQL-Datei angegeben, die SQL-Anweisungen enthält. Durch diese Anweisungen kann der SQL Server gefragt werden, welche Mailadressen der aktuelle Benutzer als Absenderadresse verwenden darf. In Normalfall ist das nur die eigene Mailadresse. Es können jedoch auch weitere Mailadressen definiert werden, die verwendet werden dürfen.

Die Datei „/etc/postfix/virtual/sender-login-maps.cf“ muss neu angelegt werden und enthält folgenden Inhalt (DB Zugang anpassen!):

user = [db benutzername]
password = [passwort]
hosts = 127.0.0.1
dbname = [db name]
query = SELECT concat(username, '@', domain) FROM users WHERE username='%u' AND domain='%d'

Update um 19:57: Noch effizienter funktioniert die Abfrage so:

query = SELECT '%u@%d' AS mailaddress

… weil man der DB hierbei die „WHERE“-Suche erspart. ;)

Die Anfrage „query“ ist hierbei auf mein eigenes Datenbanklayout angepasst: Ich verwende je eine Spalte für Benutzernamen und Domain. Ggf. muss die Anfrage ebenfalls angepasst werden. Wichtig ist hierbei nur: Dem SQL Server wird die aktuelle Mailadresse (oder jeweils beide Teile davon) des Benutzers mitgeteilt, und das Ergebnis muss eine oder mehrere vollständige Mailadresse[n] sein. Die Beispielabfrage führt immer dazu, dass die eigene Mailadresse des aktuellen Benutzer als einzige Absenderadresse zugelassen wird. Das sollte in der Regel eine vernünftige Einstellung sein.

Wollte man weitere Mailadressen zulassen, würde sich eine eigene Tabelle dafür in der Datenbank eignen, die die „Besitzverhältnisse“ enthält.

Die zweite Zeile in der Postfix Konfiguration aktiviert letztendlich diese Beschränkung: Benutzer dürfen von nun an nur noch die Mailadressen als Absenderadressen verwenden, die vom SQL Server zurückgegeben wurden. Hier im Beispiel ist das nur die eine Adresse, die dem Benutzer ohnehin gehört.

Nach diesen Änderungen muss der Postfix Mailserver mit

service postfix restart

neu gestartet werden. Wenn ihr die neuen Einstellungen testen wollt, könnt ihr das sehr bequem mit Mozilla Thunderbird machen. Einfach in die Konteneinstellungen wechseln, eine neue Identität mit einer falschen E-Mail Adresse (die einem nicht gehört) anlegen und versuchen, über diese eine E-Mail zu verschicken. Der Vorgang sollte mit der Fehlermeldung „Sender address rejected: not owned by user“ abgebrochen werden.