MDaemon Combattere lo spam con MDaemon e SPF Abstract... 2 Cos è SPF... 2 Configurazione di SPF in MDaemon... 3 Attivare SPF in MDaemon 7... 3 Attivare SPF in MDaemon 8... 4 Attivare SPF in MDaemon 9... 5 Creazione del record SPF... 6 Esempi... 8 Aggiunta del record SPF al server DNS di Windows... 9 Verifica della configurazione... 11
Abstract MDaemon fornisce un nuovo strumento per combattere lo spam: il protocollo SPF. Lo scopo di SPF è impedire la falsificazione dei mittenti delle email, sfruttando degli elenchi di server autorizzati a inviare email gestiti dai DNS. Cos è SPF MDaemon a partire dalla versione 7.1 implementa il nuovo protocollo SPF (Sender Policy Framework), una delle ultime tecnologie nella lotta allo spam. Chiunque può inviare una email spacciandosi per qualcun altro ossia falsificando il mittente. Per il destinatario del messaggio non è semplice accorgersi dell inganno. L SPF è semplice da attivare e consente di controllare se un determinato mittente è stato falsificato o è autentico. Quando un utente di un dominio che usa SPF manda un messaggio, il server di posta effettua una connessione all email server del destinatario: questo server è in grado di dire se il server all altro lato della connessione appartiene o meno al mittente. Il principio su cui si basa SPF è semplice: avere un elenco di indirizzi IP certificati da cui un dominio di posta invia le proprie email, quando un server riceve una email viene confrontato l indirizzo IP sorgente (cioè del server che sta spedendo il messaggio) con gli IP da cui il dominio mittente ha diritto di spedire (quelli cioè dell elenco): se l IP non corrisponde significa che si è di fronte ad una email illecita. Per creare e tenere aggiornato l elenco degli indirizzi IP da cui un dominio può spedire email si usa il record TXT dei DNS: ogni amministratore di dominio deve preoccuparsi di effettuare le modifiche sul suo DNS, eventualmente appoggiandosi al proprio provider. L uso di SPF impedisce una truffa molto diffusa: il phishing. Questa tecnica consiste nell invio di una email da parte di finti mittenti credibili (banche, circuiti di pagamento telematico, ecc.) dove si raccomanda all utente di confermare i suoi dati proprio per tutelarsi da eventuali truffe: basta davvero poco per fornire dati preziosi a malintenzionati! Con SPF si possono individuare i mittenti fraudolenti. Per approfondire le tematiche legate a SPF si può consultare il sito http://spf.pobox.com. 2.
Configurazione di SPF in MDaemon Per utilizzare pienamente il protocollo in questione occorre fare due operazioni: 1. abilitare MDaemon a utilizzare SPF; 2. generare i record SPF da inserire nei DNS dei propri domini (vedi oltre) Attivare SPF in MDaemon 7 Per attivare SPF in MDaemon 7: andare sul menu Security -> Relay/Trust/Tarpit/Reverse Lookup/SPF/LAN IP, selezionare la sezione SPF e abilitare l opzione Enable SPF lookups. Il menu di MDaemon 7 per attivare l utilizzo del protocollo SPF. Consigliamo di impostare il valore 0 alla voce Add this to the Spam Filter score for PASS result invece del valore predefinito 2.5. Il meccanismo SPF implementato in MDaemon può dare l impressione che aumenti il volume dello spam invece di diminuirlo. MDaemon presume che se una email viene da un server autentico allora diminuisce la probabilità che sia spam. Ma non è sempre vero! Nelle opzioni di MDaemon vengono infatti sottratti 2.5 punti nel meccanismo di verifica e filtro dello spam alle email che passano il test. Ma il fatto che un email arrivi da una fonte autentica non significa automaticamente che non si tratti di spam: potrebbe essere uno spammer con il proprio server che si gestisce i DNS in autonomia e quindi ha inserito i record SPF per essere autentico ; nulla gli vieta di mandare spam. In questo modo si rifiuta la posta da chi non è in regola, ma non si accettano nemmeno troppo facilmente le email da chi dichiara di avere le carte in regola.. 3.
Attivare SPF in MDaemon 8 Per attivare SPF in MDaemon 8: andare sul menu Security -> SPF/DomainKeys&DKIM, selezionare la sezione Sender Policy Framework e abilitare l opzione Enable SPF lookups. Il menu di MDaemon 8 per attivare l utilizzo del protocollo SPF.. 4.
Attivare SPF in MDaemon 9 Per attivare SPF in MDaemon 9: andare sul menu Security -> SPF/Sender ID, selezionare la sezione SPF/Sender ID e abilitare l opzione Verify sending host using SPF. Il menu di MDaemon 9 per attivare l utilizzo del protocollo SPF.. 5.
Creazione del record SPF La creazione dei record SPF può essere fatta con una semplice procedura guidata: collegarsi all indirizzo http://spf.pobox.com/wizard.html per avviarla. La procedura guidata per la creazione dei record SPF. 1. Inserire nel campo Let s set SPF records for il proprio dominio di posta: per esempio achab.it. 2. Premere il pulsante Begin. 1 2 La procedura guidata nel caso del dominio achab.it. 6.
3 4 5 Da questo IP si inviano email? L IP del servizio di posta è autorizzato a inviare email? Tutte le macchine che dichiarano di appartenere a achab.it possono inviare email? 6 Eventuali altre macchine autorizzate a inviare posta. 7 Indicare il dominio del proprio ISP. La procedura guidata nel caso del dominio achab.it La procedura effettua alcune interrogazioni al DNS, compila automaticamente i campi e chiede se: 3. L indirizzo IP corrispondente al record A di achab.it è un IP da cui si invia posta del dominio achab.it Nel caso dell esempio la risposta è no. 4. L IP corrispondente al record MX (cioè al server di posta) è un IP da cui si invia posta. Nell esempio la risposta è affermativa. 5. Un indirizzo IP il cui record PTR (ossia la voce che nel DNS associa e un indirizzo IP un host) fornisce un nome host con suffisso achab.it è sicuramente autorizzato ad inviare posta per achab.it: in altri termini se tutte le macchine he dichiarano di appartenere al domini achab.it possono spedire email (senza passare dal server di posta). Nell esempio la risposta è negativa. 6. Si possono aggiungere manualmente delle machine (host) autorizzate ad inviare posta, specificandone il record A, MX o l indirizzo IP. 7. Nel campo include è possibile specificare altri domini autorizzati ad inviare la propria posta, per esempio il dominio del proprio Internet Service Provider. 8 Solo le macchine indicate possono inviare email per questo dominio. 9 La stringa generata per il dominio achab.it 8. Il campo all impostato a yes specifica che nessun host oltre a quelli specificati può inviare email per il dominio in questione, in questo esempio achab.it. 9. Premere il pulsante Explain per la generazione del record SPF. L utilizzo del record SPF così generato verrà illustrato più avanti.. 7.
Esempi Oltre a utilizzare una procedura guidata per la generazione dei record SPF è possibile scrivere manualmente le istruzioni necessarie per il proprio dominio. 1) Esempio: Tutte le email del dominio sono spedite dall host 222.123.111.222 Soluzione: Il corrispondente record SPF è: v=spf1 ip4:222.333.111.222/32 all Se l email server utilizzato per spedire le email ha un indirizzo IP privato, l indirizzo IP da inserire nel record SPF è quello pubblico del router o del gateway utilizzato per la connessione a Internet. 2) Esempio: Tutte le email del dominio vengono inviate da host che appartengono alla DMZ i cui indirizzi IP vanno da 111.222.123.1 a 111.222.123.254 Soluzione: Il corrispondente record SPF è: v=spf1 ip4:111.222.123.0/24 -all 3) Esempio: Tutte le email del dominio vengono inviate da due host: Host1 180.23.45.67 Host2 180.23.45.80 Soluzione: Il corrispondente record SPF è: v=spf1 ip4:180.23.45.67/32 ip4:180.23.45.80/32 -all 4) Esempio: L email server invia la posta attraverso il mail server del proprio ISP. Soluzione: In questo caso chiedere all ISP di configurare il record SPF per il proprio dominio.. 8.
Aggiunta del record SPF al server DNS di Windows Una volta creato il record SPF, aggiungerlo al proprio DNS per renderlo operativo. Se il DNS del proprio dominio è gestito da un provider, l aggiunta dei record SPF al DNS va gestita dal provider. L operazione è semplice: 1. Avviare il tool di gestione del DNS. 2. Selezionare e aprire il dominio nel quale si desidera aggiungere il record SPF. Fare click con il tasto destro del mouse sulla lista dei record e quindi selezionare Other New Records... dal menu contestuale. 3. Selezionare il tipo di record Text (TXT) e premere il pulsante Create Record.... 9.
4. Scrivere o incollare il record SPF, creato con la procedura a pagina 4, nella casella di testo Text ; confermare premendo il pulsante OK. 5. Confermare con il pulsante Done : si può notare immediatamente il nuovo record.. 10.
Verifica della configurazione Per verificare che il record SPF sia stato generato correttamente e che le impostazioni del DNS siano giuste consigliamo di fare un test. Un sistema gratuito per la verifica è disponibile sul sito http://www.dnsstuff.com Esempio Si supponga di voler verificare se è corretto che una email inviata da un account del dominio achab.it provenga dall indirizzo IP 83.103.96.229 1. Collegarsi all indirizzo: http://www.dnsstuff.com/pages/spf.htm 1 3 2 2. Compilare il primo campo con il nome del dominio (in questo caso achab.it) e il secondo campo con l indirizzo IP 83.103.96.229 3. Premere il pulsante Lookup per avviare il test. 4. Il test si è concluso con successo, come si vede dalla riga Result: PASS. Nota: se si è configurato il record SPF specificando uno o più indirizzi IP da cui esce la posta elettronica del proprio dominio, occorre verificare che ognuno di questi indirizzi passi il test ( Result: PASS ), e inoltre che un indirizzo IP diverso non lo passi ( Result: FAIL ). Nel caso in cui non esistano i record TXT (associati ai record SPF) per il dominio in questione, la procedura di verifica termina con Result: UNKNOWN.. 11.
Achab S.r.l. Piazza Luigi di Savoia, 2 20124 Milano Telefono: +39 02 54108204 Fax: +39 02 5461894 Per informazioni su MDaemon, visiti le pagine web: http://www.achab.it/mdaemon Per informazioni inerenti Achab, i servizi che offre e i prodotti che sviluppa e distribuisce, visiti il sito web: http://www.achab.it Per informazioni commerciali, contatti Achab all indirizzo email: sales@achab.it Per informazioni tecniche, contatti Achab all indirizzo email: supporto@achab.it MDaemon è un marchio registrato di Alt-N Technologies. Achab S.r.l. è distributore esclusivo per l Italia dei prodotti di Alt-N. Tutti i diritti sono riservati.