Newsgroup: it.comp.os.linux.sys
Titolo: Zimbra - strano preoblema autenticazione

Uno dei miei provider di posta é migrato recentemente a zimbra.
Ho una cam (da parecchi anni) che periodicamente invia alcune foto ad un
account di google.
La cam puó fare l'autenticazione MA non ha la possibilitá di usare tls o ssl,
quindi debbo passare da quel provider, il quale accetta connessioni non
criptate (ma con autenticazione).
Per diversi anni, fino al recente passaggio a zimbra, tutto é filato liscio.
Ora succede una cosa alquanto strana...
Se la cam invia una mail, la risposta del server é:
 
"Failed The server does not support the authentication mode used by the device"
 
MA SE mi autoinvio una mail usando thunderbird (su linux) o tramite uno script
e sendemail, poi per un po' di tempo (alcune ore) le mail della cam vengono
regolarmente accettate.
Trascorso quel tempo (non sono ancora riuscito a quantificarlo), ritorna
l'errore di autenticazione.
Ho giá avuto contatti con chi gestisce il server, ma non hanno ancora risolto.
La cosa é sitematica da alcune settimane.
Idee?
 
-- 
+---------------------------------------------------------------------------+
| ELICOTTERO: espressione di un extracomunitario per indicare dei cibi:     |
| E' li cottero.    E' la crudero.                                          |
+-----#34--------------------Campagna contro le pubblicita` idiote.---------+

 regolarmente accettate.
 
Questa è alquanto strana, e dal punto di vista della security mi
puzza un po…

 puzza un po?
Anche a me, e parecchio...
Il solo fatto che una autentificazione passi e ne consenta poi le connessioni a
qualcosa che pochi istanti prima aveva rifiutato...
 
 
-- 
+----------------------------------------------------------------------------+
|         Crapa pelada fa 'l purcel co' la dona dei so fradel.               |
|         So fradel l'han ciapa, crapa pelada a'l bus slarga'                |
+-----#39--------------------Diamanti di saggezza.---------------------------+

 e non si sa che programmi ci siano (é un linux, sicuramente con openbox
                                                     busybox -----^^^^^^^
Sorry!!!!
 
-- 
+----------------------------------------------------------------------------+
|           2 + 2 = circa 6 per valori molto abbondanti di 2                 |
+-----#40--------------------Diamanti di saggezza.---------------------------+

e nessuna criptazione (no ssl e no tls).
 
Evidentemente, non è così. Cioè la configurazione sarà uguale, ma quello che
fanno i due accrocchi è diverso, se no funzionerebbero entrambi, o nessuno.
 
Quindi il primo passo è capire cosa fanno. tcpdump is your friend, direi. 
 
Magari c'è qualcosa di magico nell'EHLO iniziale.
 
Poi bisogna vedere se si riesce a replicare la magia di Thunderbird anche in
quale che sia il client sulla cam.
 
Leonardo
-- 
 
A terrible beauty is born.
                                     - W. B. Yeats, Easter 1916

 quale che sia il client sulla cam.
La cam non é accessibile, sorry (pseudo foscam cinese di diversi anni fa,
pre-moda p2p o cloud).
L'unica cosa che si vede, é il /proc/kcore che posso scaricare (8 mega).
Non ha telnet, non ha ssh, nessuna porta in ascolto tranne la 80.
 
 
-- 
+----------------------------------------------------------------------------+
|             Due galli in un pollaio senza galline, diventano gay?          |
+-----#41--------------------Diamanti di saggezza.---------------------------+

Dopo alcune ore, viene ancora bloccata.
 
Sai cosa mi ricorda? Il comportamento di POPb4SMTP quando autenticare le
connessioni SMTP era ancora roba da sciùri.
 
...sei sicuro sicuro sicuro che la cam la mandi, l'autenticazione?
 
Puoi inviare un msg con Thunderbird, provare a mandarne uno via cam (A),
ottenere un IP diverso, e mandarne un secondo via cam (B)?
 
Se A passa e B no, significa che il blocco è basato su IP, e questo è il
comportamento in caso di non-autenticazione da parte del server.
 
Magari puoi configurare nella cam un server sotto il tuo controllo (e se
il router fa hairpinning è pure facile), per vedere cosa manda.


 il router fa hairpinning è pure facile), per vedere cosa manda.
Nope!  Nella cam non si puo vedere ne installare alcunché!  :(
 
Ed il router...  di grazia che riese a fare...  il router!
(Posso, al limite, pasticciare un pochetto con iptables da shell.)
 
-- 
+---------------------------------------------------------------------------+
|              Non e' morto cio' che in eterno puo' attendere.              |
|         Con il passare di strane ere anche la morte puo' morire.          |
+-----#42--------------------Diamanti di saggezza.--------------------------+

> connessioni SMTP era ancora roba da sciùri.
 
Questa sera, provo a vedere con tcpdump, almeno quello che passa dal pc.
 
-- 
+-------------------------------------------------------------------------+
|          "Qualunque cosa tu stia cercando su internet,                  |
|          ci sara' almeno un sito porno che rispondera'                  |
|          ai tuoi criteri."                                              |
+-----#46--------------------Diamanti di saggezza.------------------------+

 sicuramente con openbox direi, da 8 mega in totale).
 
Hehe, si, intendevi busybox? (ho visto l'altro followup di
errata) :D
 
Nella soluzione che suggeirsco il tunnel non deve necessariamente
essere sulla cam stessa. Puoi puntare la cam su una macchina
d'appoggio facendo finta che sia un SMTP. La macchina d'appoggio
costruisce un tunnel SSL verso la vera macchina SMTP (che può
essere anche quella di google direttamente).
 
Certo il fatto di aver bisogno di una macchina d'appoggio
potrebbe rendere un po' meno pragmatico l'approccio…

 Questa sera, provo a vedere con tcpdump, almeno quello che passa dal pc.
 
Ieri non ho avuto tempo...
La prova l'ho fatta con un vecchio TB (icedove 2.0.0)
Dunque, con tcpdump, sembra che TB se ne strafotta se ho
selezionato "connessione sicura=no".
Infatti i pacchetti tranne l' EHLO sono illeggibili (opzioni dst port
25 -A -n -v -l).
Direi che usi comunque la connessione sicura anche se é deselezionata.
E forse questo apre la strada.
Sto facendo prove con una jessie e sendemail e guardo i pacchetto con tcpdump
cambiando IP (spegnendo e riaccendendo il modem-router).
Per oggi mi fermo altrimenti mi staccano l'adsl per eccesso di "guasti" :)
 
-- 
+---------------------------------------------------------------------------+
|    Etiam eu urna pellentesque, iaculis lectus a, venenatis ante.          |
+-----#1---------------------------------------------Frasi celebri.---------+

 potrebbe rendere un po' meno pragmatico l'approccio?
 
In effetti...
Ho fatto oggi un accrocchio, e provo per qualche giorno se funzia...
Un raspberry in cron manda una mail con sendemail e sembra (sembra)
funzionare...
 
-- 
+---------------------------------------------------------------------------+
|  Negli ultimi 3 mesi, 25 tamponamenti per leggere questo cartello.        |
|  Guarda avanti, idiota!                                                   |
+-----#2---------------------Campagna contro le pubblicita` idiote.---------+

 
 
Dato che i boss non intendono capire/metterci mano/altri&eventuali, tengo
questo accrocchio, che fin'ora funzia.
Mi resta il dubbio che ci sia qualche bachetto nell'implementazione del loro
server di posta!
