Apéndice: Opciones avanzadas de seguridad para Sendmail.

Creative Commons Reconocimiento-NoComercial-CompartirIgual 2.1

© 1999-2007 Joel Barrios Dueñas. Usted es libre de copiar, distribuir y comunicar públicamente la obra y hacer obras derivadas bajo las condiciones siguientes: a) Debe reconocer y citar al autor original. b) No puede utilizar esta obra para fines comerciales (incluyendo su publicación, a través de cualquier medio, por entidades con fines de lucro). c) Si altera o transforma esta obra, o genera una obra derivada, sólo puede distribuir la obra generada bajo una licencia idéntica a ésta. Al reutilizar o distribuir la obra, tiene que dejar bien claro los términos de la licencia de esta obra. Alguna de estas condiciones puede no aplicarse si se obtiene el permiso del titular de los derechos de autor. Los derechos derivados de usos legítimos u otras limitaciones no se ven afectados por lo anterior. Licencia completa en castellano. La información contenida en este documento y los derivados de éste se proporcionan tal cual son y los autores no asumirán responsabilidad alguna si el usuario o lector hace mal uso de éstos.

Introducción.

Debido a la naturaleza del correo electrónico, es posible para un atacante inundar fácilmente el servidor y desencadenar en una denegación de servicio. Fenómenos como el denominado correo masivo no solicitado o Spam no hacen las cosas más fáciles y las administración de un servidor de correo puede tornarse una pesadilla. Añadir opciones avanzadas de seguridad se convierte en algo indispensable.

Funciones.

Todas las funciones explicadas a continuación pueden incluirse en el fichero /etc/mail/sendmail.mc justo debajo de la última línea que incluya define y arriba de la primera línea que incluya FEATURE.

confMAX_RCPTS_PER_MESSAGE

Este parámetro sirve para establecer un número máximo de destinatarios para un mensaje de correo electrónico. De modo predefinido Sendmail establece un máximo de 256 destinatarios. En el siguiente ejemplo se limitará el número de destinatarios a 20:

confBAD_RCPT_THROTTLE

Este parámetro sirve para establecer el tiempo de letargo que se utilizará por cada destinatario que sobrepase el límite establecido por confMAX_RCPTS_PER_MESSAGE. De modo predefinido Sendmail no establece tiempo de letargo. En el siguiente ejemplo se establecerán 2 segundos de letargo por cada destinatario rechazado por sobrepasar el límite de destinatarios permitidos:

confPRIVACY_FLAGS

Cuando se establece como valor `goaway', se deshabilitan varios mandatos SMTP como EXPN y VRFY, los cuales pudieran ser utilizados para revelar los nombres de usuarios locales a un spammer. También deshabilita las notificaciones de entrega, el cual es un mecanismo comunmente utilizado por quienes envían correo masivo no solicitado para verificar/confirmar la existencia de una cuenta activa, y hace que el sistema solicite obligatoriamente HELO o EHLO antes de utilizar el mandato MAIL. Muchos programas de utilizados para enviar correo masivo no solicitado ni siquiera se molestan en utilizar HELO o EHLO. De modo predefinido los valores de confPRIVACY_FLAGS son `authwarnings,novrfy,noexpn,restrictqrun', cambie por lo siguiente:

confMAX_HEADERS_LENGTH

Esté parámetro se utiliza para definir el tamaño máximo permitido para la cabecera de un mensaje en bytes. Algunos programas utilizados para enviar spam tratan de impedir que los MTA puedan registrar transacciones generando cabeceras muy grandes.

Limitar le tamaño de las cabeceras hace más difícil la ejecución de guión que explote vulnerabilidades recientes (desbordamientos de búfer) en UW IMAP, Outlook y Outlook Express.

La mayor parte de los mensajes de correo electrónico tendrán cabeceras de menos de 2 Kb (2048 bytes). Un mensaje de correo electrónico ordinario, por muy exagerado que resulte el tamaño de la cabecera, rara vez utilizará una cabecera que sobrepase los 5 Kb o 6 Kb, es decir, de 5120 o 6144 bytes. En el siguiente ejemplo se limitará el tamaño máximo de la cabecera de un mensaje a 16 Kb (requrerido para MailScanner):

El valor sugerido es 16 Kb (16384 bytes). Aumente o disminuya el valor a su discresión.

confMAX_MESSAGE_SIZE

Este parámetro sirve para especificar el tamaño máximo permitido para un mensaje de correo electrónico en bytes. Puede especificarse lo que el administrador considera apropiado. En el siguiente ejemplo se limitará el tamaño máximo de un mensaje a 3 MB:

confMAX_DAEMON_CHILDREN

Este parámetro sirve para especificar cuantos procesos hijos se permitirán simultáneamente en el servidor de correo. De modo predefinido sendmail no establece límites para este parámetro. Si se sobre pasa el límite de conexiones simultáneas, el resto serán demoradas hasta que se terminen las conexiones existentes y dejen lugar para nuevas conexiones. En el siguiente ejemplo se limitará el número de conexiones simultáneas hacia el servidor a 5:

confCONNECTION_RATE_THROTTLE

Este parámetro sirve para establecer el numero de conexiones máximas por segundo. De modo predefinido sendmail no establece límites para este parámetro. En el siguiente ejemplo se limitará a 4 conexiones por segundo:

Alcance Libre
http://www.alcancelibre.org/staticpages/index.php/como-sendmail-apendice-03