最 小コストで最 大 限 の 不 正 行 為 対 策

sendmailは最新版を使う
メールサーバーを運用する際に気をつけなくてはならないのは、外部のネットワークからメールサーバーを利用されないようにする点です。
外部から誰でも利用できる設定になっていた場合には、ダイレクトメールを大量に発送するspam業者（376ページのコラム参照）などに中継サーバーとして悪用されてしまう危険性があります。
この連載ではRedHat Linux 5.2の利用を想定していますが、現在ではRedHatを含む多くのLinuxパッケージでメールの不正中継対策がデフォルトで施されています。メールの配送に用いるsendmail というプログラムでは、配送実践

Linux

セキュリティー講座

ルールをsendmail.cfというファイルに記述しますが、RedHat Linux 5.2ではデフォルトでは中継ができない設定になっています。
古 い記 事 などでは、 s p a m 対 策 としてsendmail.cfの設定に関する記述がありますが、こうした内容は古いsendmail システムをそのまま使い続けているような所や、独自のルールによるsendmail.cfを作成しているような所のためのものです。最新のsendmail のパッケージでもデフォルトで不正中継を禁止する設定になっています。

今回はメールシステムに関係したセキュリティーについて取り上げます。メールサー

この連載の守備範囲ではありませんが、以前バーを運用する場合、もっとも注意しなくてはならないのは、外部のネットワークかから使っているUNIX システムは注意が必要でらサーバーを不正に利用されないようにすることです。以前はこうした設定は面倒す。sendmail バージョン8.8.3 や8.8.4 といっでしたが、最新版のサーバープログラムであれば、すでに対策が施されているので、た古いものは非常に危険な脆弱性を持っていま設定はそれほど難しくありません。

す。このバージョンで運用しているマシンが外第 16 回部からバッファーオーバーフロー攻撃を受ける

メール関連のセキュリティーを設定する

s e n d m a i l にアップデートすると同 時 にと重 大 な問 題 を引 き起 こします。 最 新 のソフトウェアコンサルタント すずきひろのぶ

sendmail.cfも更新してください。

配送コントロールの設定
RedHat Linuxでは、メール配送コントロー
ルは/etc/mailの下にある4つのファイルによって行います。以下にそれぞれについて説明していきます。

374 INTERNET magazine 2000/5

インターネットマガジン／株式会社インプレスR&D©1994-2007 Impress R&D

1 /etc/mail/deny・/etc/mail/deny
メールの受け取りを拒否する記述を行うファイルです。フォーマットは次のようになります。

user@domainname.co.jp
210.145.219.248
domainname.co.jp
210.145.219

user@domainname.co.jpからのメール拒否
210.145.219.248からのメールを拒否
domainname.co.jpからのメールを拒否
210.145.219.xxxからのメールを拒否

拒否する相手 <タブ> エラーメッセージ
拒否する相手の記述は、直接メールアドレ
スを「user@domainname.co.jp」という具

2 makemapの実行% makemap -v /etc/mail/deny < /etc/mail/deny

合に書くこともできますし、拒否したい相手側のマシンのIPアドレスを書くこともできます。
また、domainname.co.jpというようにドメインを指定すると、そのドメイン全体からのメー。
ルを拒否できます（1）3 /etc/mail/ip̲allow
192.168.1.10

4 /etc/mail/name̲allow
pc

メール中継を受け付けるIPアドレス

メール中継を受け付けるマシン名

5 リレーが必要な場合

アドレスの後をタブで区切ってメッセージをメールサーバー

書くと、それが拒否した相手に送られる時に使リレーわれるメッセージに使われます。メッセージの指 定 がなければ拒 否 した相 手 には「 5 5 0
Access denied」というメッセージが送られまインターネットす。 d e n y ファイルを更 新 した後 に、makemap コマンドを使ってDB ファイルを作。
成して終了です（2）内部のUNIXマシン/etc/mail/relay̲allowの設定が必要となるのは、内部に別のUNIXマシン（直接Sendmailでメールを受け取る）がある場合のみクライアントPC

6 /etc/mail/relay̲allow

・/etc/mail/ip̲allow
・/etc/mail/name̲allow

server2

7 ip̲allowの通常の設定例
内部ネットワーク192.168.1.xxx
からのメール中継を受け付ける

192.168.1

リレーを許可するマシン名

ip̲allowとname̲allowは、それぞれメールサーバーへのアクセスを許可するマシンのIPア

8 ネットワーク構成図

ドレスとドメイン名を記述します。34 の例

ネットワークアドレス

サイト

192.168.0.0

は、pc（192.168.1.10）というマシンからのメールの外部への配送メールを受け付けるという意味です。このメー内部
ネット

ル中継が許されないマシンからのメールの中継ルーター（専用機）

依頼には「we do not relay」というエラーが戻ります。

インターネット・/etc/mail/relay̲allow
外部からのメールをさらにリレーする場合の境界
ネット

外部からのメール受信Server192.168.0.10

ネットワークアドレス
192.168.1.0

メールの配送要求192.168.1.10

設定ファイルです。ただし、メールサーバーがメールの受信1台しかなく、このマシンでPOPサーバーあるPCルーター

いはIMAP サーバーを提供してるならば、さら。リレーにリレーする必要はありません（5）PC
ブロードキャストアドレス

ブロードキャストアドレス

192.168.0.255

192.168.1.255を行う場合には、相手先マシンのIPアドレスま。
たはドメイン名を記述します（6）

ここでは、多くのインターネットユーザーが使いなれた、メールサーバーが中心にあって、インターネットマガジン／株式会社インプレスR&DIMAP（アイマップ／Internet Message Access Protocol）：インターネットで、メールを保存しているサーバーからメールをメールソフトに送受信するためのプロトコル。
POPとは違い、メールはサーバー側に置いたまま管理するため、会社や自宅、モバイルなど、複数の環境からメールを読み書きできる。
©1994-2007 Impress R&D

INTERNET magazine 2000/5375そこからPOPやIMAPでメールを受信する方法【欠点】各サービスに沿ったセキュリティーをとることにします。こうした場合には、7 のポリシーが立てにくいように/etc/mail/ip̲allowに内部ネットワーク→シンプルな設定が難しいのアドレスを記述するだけで十分です。構築す→きめの細かい設定が難しいるネットワークの全体像は8 のようになります。

メールサーバーは独立すべきか

POP3サーバーの設定
内部のマシンからメールを利用するために、サーバーマシンにPOP3 サーバーをインストー

利点の部分で「管理コストが少ない」と書。インストールはパッケージでルします（9 ）きましたが、これは常に正しいとは限りません。

簡単に行えますが、古いバージョンのimapdのたとえばサービスによって分割したほうが、シRPMパッケージには脆弱性を持ったimapdがメールサーバーは他のシステムとは切り離し

ステムのセキュリティーポリシーはシンプルに含まれています

独立に持つべきか、それとも他のサーバーと同なります。シンプルになればなるほど管理も単降であれば問題ありませんが、古い環境をまだ居させるのかという判断はサイトごとに状況が純化されて簡単になり、また同時に抜け道も少アップデートせずに使っていると危険ですので、違うので、一概にはどちらがいいとは言えませなくなります。もしかするとシンプルに分割し必ず最新のパッケージを利用してください。

ん。1つのマシンにウェブサーバーもメールサーたほうが作業の手間という面で管理コストが安バーも同居させることの利点と欠点を天秤にかいという可能性もあります。

。RedHat Linux 5.2以

Step1 パッケージのインストール

筆者の場合は、同居させるという方針をとLinux RedHatではimap-xx-xx.rpmのパッ【利点】1台のLinuxマシンを用意するだけでります。理由は、管理を1台に集中できること

ケージの中にipop2d、ipod3d、imapdの3つ良いけてみる必要があります。と、メールアカウントを発行するユーザー数ががあり、/usr/sbinにインストールされます。こ→金銭的負担が少ない

少ないこと、利用環境が狭い範囲なのであまりのうち、古い規格のPOP2（ipop2d）が必要→1台で管理できるので管理コストが少ない

複雑なアクセス制御は必要ないからです。になることはほとんどないでしょう。また、ユーザーが少ないSOHO環境でPOP3とIMAPのどちらのプロトコルも必要という状況は少ない

ライトプロテクトをほどこしたMO ででしょうから、POP3（ipop3d）かIMAP

ウェブサーバーを運用すれば不正アク
spamの語源
セスやハードディスクのクラッシュか（imapd）のどちらかを残し、不必要なものはらコンテンツを保護できる。

不特定多数のユーザーに対してメールをちろんspamなどという名称などありません。

削除したほうが確実でしょう。ここではPOP3送り付けるような行為は、公式の場ではUsenet 上で「しつこく繰り返し迫るのは、を使うことにします。

UCE（ Unsolicited Commercial E-mail:これはモンティパイソンのSPAMのコントと希 望 しない広 告 メール） または U B E同じだ」といったところからspamという名（Unsolicited Bulk E-mail:希望しないバル前が付きました。もともとインターネットのクメール）と呼ばれていますが、一般には世界は大学と研究所を中心としたフランク

spam と呼びます。もともとSPAM は米なユーザーが中心ですから、この手の俗語がHormel Foods社の肉の缶詰の商標です。

テクニカルターム化しているものがたくさん

spamという言葉はイギリスのテレビ番組モあります。

Step2 ユーザーのアカウントを作る
ユーザーのアカウントはコマンドuseraddを使って登録します。この時、ホームディレクトリーとログインシェルには/dev/nullを設定し、決してログインできない環境にしておきます。
アカウント作成後、そのアカウントにパスワー

ンティパイソンで流れた有名なコントから取このストーリーには続きがあります。このられています。大衆レストランにカップル客移民専門弁護士事務所はこのspamのおかが入って料理の種類を尋ねるとすべてがげで本当にお金を儲けたようで、後に「イSPAM料理で、そのまわりの客が「スパム、ンターネットですぐに10 万ドルを儲ける方

Step3 /etc/inetd.confでipop3dを設定スパム、スパム、スパム」と繰り返す歌を法」という本を出してさらに印税を稼ごう

いままで/etc/inetd.confでコメントアウトし歌うという有名なコントです。モンティパイとします。この本はインターネット関連の雑ていたipop3dのエントリーを復活させます。

ソンのビデオに入っているので、一度見てお誌、あるいはインターネット販売を行っていくもの一興でしょう。

る書店からは軒並み広告拒否、取扱拒否をさて世界で最初の大規模なspam は、ア受けます。しかし、このことが「本当にメリカにある移民専門弁護士事務所からspam でお金を儲けることができる証拠だ」

Usenetに流されたアメリカ移民局労働ビザとspam 関連業者の宣伝材料にされてしま抽選手続き代行の広告でした。この頃はもったのでした。

ドを設定します。

Step4 TCP̲WRAPPERのアクセス許可
TCP̲WRAPPERでのipop3dへのアクセス許可を記述します。必ず、内部ネットワークとローカルファイルのみからのアクセスを許すだけにしてください。

376 INTERNET magazine 2000/5

インターネットマガジン／株式会社インプレスR&D

RPM（アール・ピー・エム／RedHat Package Manager）：各種ソフトウェアをLinuxにインストールする際に用いるプログラムの名称。RPMを使えば、実行ファイルやソースコードなどをまとめたパッケージと呼ばれる1つのファイルから簡単に各種ソフトウェアをインストールできる。RedHat
Linux以外のLinuxでも広く利用されている。
©1994-2007 Impress R&D最 小コストで最 大 限 の 不 正 行 為 対 策

9 POP3サーバーのインストール
Step5 inetdにシグナルを送る
i n e t d に H U P のシグナルを送 って/etc/inetd.confの内容をリロードさせます。

Step1 パッケージをインストール# rpm -v -h -i imap-4.4-2.i386.rpm

Step2 ユーザーのアカウントを作る
あとは、プロバイダーのメールサーバーを利# useradd -c 'Account for PostPet' -d /dev/null -s /dev/null -g mail -u 1007 kuma

用するのと同じような方法で利用してください。
いままでの設定で行った各設定情報はq のようになります。
Step1でも説明しましたが、不必要なプログ

1 コメント4 グループ名

2 ホームディレクトリー

5 ユーザーID# passwd kuma
6 アカウント名
New UNIX password:********
きちんとしたパスワードを入力すること
Retype new UNIX password:********
パスワードの再入力
passwd: all authentication tokens updated successfully
3 ログインシェル

ラムは削除しましょう。インストールされているにも関わらず使っていないサービスのため、その存在を忘れているといったパターンが多く

Step3 /etc/inetd.confでipop3dを設定
pop-3

streamtcp

nowaitroot/usr/sbin/tcpd

ipop3d見受けられます。たとえば今回のパッケージでもipop2d、ipop3d、imapが同時に入っています。そのような状態で脆弱性対応として使っているipop3d だけアップデートし、脆弱性をStep4 TCP̲WRAPPERのipop3dへのアクセス許可/etc/hosts.allowに以下を追加
ipop3d:LOCAL,192.168.1.
ALL: ALL: DENY

ローカルマシンと192.168.1. (内部ネットワーク)のみ持つ古いipop2dや古いimapがそのままだというサイトがあるようです。最初のインストール時点でとにかく何でもかんでも思いつきでインストールしてしまうのは止めましょう。きちんと利用計画を立ててインストールすれば、利用

Step5 inetdにシグナルを送る# ps axuw | grep inetd
root
278 0.0 0.3

稼動中のinetdのPIDを調べる

792

408?

SFeb

6

# kill -HUP 278

0:00 inetd
inetdにHUPシグナルを送って/etc/inetd.confの内容をリロードさせる

しないのでサーバーの存在を忘れてしまうルーズな管理にはならないはずです。

q クライアント側の設定

www.cert.org/advisories/CA98.09.imapd.html

受信メールサーバー
メールサーバー

次回は外部ルーターの設定

送信メールサーバー：server（あるいはserverのIPアドレス）

サーバーのプロトコル種類 ：POP3サーバー

実際のメールサーバーの運用にあたっては、ユーザー名：kuma

DNS サーバーに登録する必要があります。本パスワード：さきほど登録したもの

SMTPサーバー：server（あるいはserverのIPアドレス）

ユーザー名：kuma

連載ではDNSサーバーについてはプロバイダー側で管理してもらうことを前提としていますので、DNS サーバーへの登録方法は契約しているプロバイダーのマニュアルなどを参照してください。最終回となる次回は、これまで触れてこなかったインターネットに接続されるルーターによるIPフィルタリングについて説明したいと思います。

インターネットマガジン／株式会社インプレスR&D

HUP（エイチ・ユー・ピー）：UNIXのkillコマンド（実行中のプログラムを停止させるコマンド）でオプションとして指定する文字列の1つ。HUPはハングアップの略。

©1994-2007 Impress R&D

INTERNET magazine 2000/5377

［インターネットマガジン バックナンバーアーカイブ］ ご利用上の注意
この PDF ファイルは、株式会社インプレス R&D（株式会社インプレスから分割）が 1994 年～2006 年まで発行した月刊誌『インターネットマガジン』の誌面を PDF 化し、「インターネットマガジン バックナンバー
アーカイブ」として以下のウェブサイト「All-in-One INTERNET magazine 2.0」で公開しているものです。

http://i.impressRD.jp/bn
このファイルをご利用いただくにあたり、下記の注意事項を必ずお読みください。
z 記載されている内容（技術解説、URL、団体・企業名、商品名、価格、プレゼント募集、アンケートなど）は発行当時のものです。
z 収録されている内容は著作権法上の保護を受けています。著作権はそれぞれの記事の著作者（執筆者、写真の撮影者、イラストの作成者、編集部など）が保持しています。
z 著作者から許諾が得られなかった著作物は収録されていない場合があります。
z このファイルやその内容を改変したり、商用を目的として再利用することはできません。あくまで個人や企業の非商用利用での閲覧、複製、送信に限られます。
z 収録されている内容を何らかの媒体に引用としてご利用する際は、出典として媒体名および月号、該当ページ番号、発行元（株式会社インプレス R&D）、コピーライトなどの情報をご明記ください。
z オリジナルの雑誌の発行時点では、株式会社インプレス R&D（当時は株式会社インプレス）と著作権者は内容が正確なものであるように最大限に努めましたが、すべての情報が完全に正確であることは保証できません。このファイルの内容に起因する直接的および間接的な損害に対して、一切の責任を負いません。お客様個人の責任においてご利用ください。

このファイルに関するお問い合わせ先
All-in-One INTERNET magazine 編集部
im-info@impress.co.jp
Copyright © 1994-2007 Impress R&D, an Impress Group company. All rights reserved.