Newsgroup: it.comp.sicurezza.unix
Titolo: Sicurezza del vpopmail

Ho abbinato vpopmail al qmail per poter dare dei limiti di dimensione alle
caselle postali degli utenti ma sono un po' perplesso sulla sicurezza della
nuova configurazione visto che dalle ricerche che ho fatto, il qmail era
abbastanza sicuro mentre il vpopmail oltre a girare come root (brrrr)
presentava, almeno nella versione di 2 anni fa un grave bug che permetteva
tramite buffer overflow sulla richiesta della password di ottenere accesso
root....
Le nuove versioni di vpopmail come sono? Voi vi fidereste?

 Le nuove versioni di vpopmail come sono? Voi vi fidereste?
Devi fare un mail server per te o tua sorella ? Per la tua scuola ?
Intanto fai andare le ditina sui tastini, poi leggi un pò di doc e fatti
un'idea precisa.
Ciao

 un'idea precisa.
è un associazione di volontariato quindi dobbiamo fare tutto da noi

> č un associazione di volontariato quindi dobbiamo fare tutto da noi
http://www.inter7.com/vpopmail/INSTALL
Il server č perennemente collegato ad internet ?

 Il server č perennemente collegato ad internet ?
sě con un adsl, di mezzo c'č un pc con openbsd e il pf.conf settato in modo
da far passare verso la dmz solo porta 25 e 110 tcp in entrata e porta 25
tcp e 53 tcp/udp in uscita con "keep state" per permettere i pacchetti di
ritorno
Va tutto, sono perplesso per il discorso dei diritti di root, a me pare
proprio che il server pop3 che risponde alle connessioni esterne giri con
diritti di root.... casomai domani ti posto il ps -aux
grazie ciao ciao

Se siete dei principianti come dici, evitate di usare un pò OpenBSD, un pò
FreeBSD o Linux o altro... è un inutile dispendio di risorse e nel caso in
esame non ci sono vantaggi evidenti.
Il server POP3 _NON_E'_ vpopmail.
Ti consiglio di adottare Courier IMAP ed di usare IMAP e non POP3, ti
permette una gestione milgiore dei dati nel tuo caso.

 Il server POP3 _NON_E'_ vpopmail.
Se per altri tuoi post posso essere in parte concorde con te qui devo
precisare che il server pop3 NON E' vpopmail ma l'autenticazione del pop3
SI'.
Quindi.... mah.
-- 
* Cristiano Deana - Amante del demone rosso col forcone in mano *
* Wind*ws non danneggia, i formati proprietari si'. Boicottali! *
* Il tuo HTML si e' mangiato la banda che serviva al mio reply! *

 Quindi.... mah.
Se avessi un minimo di esperienza sapresti che differenza passa tra un
server POP3 e vchkpw.
Stai dicendo una cagata immane, volendo potrei usare anche PAM per
l'autentificazione (ma non per questo PAM è un pezzo del demone POP3).
L'architettura modulare (o quella del "make it simple") prevedono l'uso di
plug-in o la sostituzione di alcune routine in base ad esigenze specifiche.
Nel caso specifico quando una connessione viene passata da un qualsiasi
tcpwrapper (ucspi-tcp, inetd o xinetd) al POP3 quest'ultimo invoca una
procedura di autentificazione che è un processo esterno e slegato dal server
POP3.
L'esempio lampante e, a mio avviso, migliore è che installando Courier-IMAP
vchkpw nono viene nemmeno utilizzato perchè Courier-IMAP ha il suo POP3 che
utilizza vpopmail per la gestione dei domini etc. etc.
Ora sei della mia idea ?
Hai cosa da aggiungere ?


Mi stai consigliando di usare windows 2000?
Peccato dover cancellare tutto, sta funzionando cosi' bene...

 permette una gestione milgiore dei dati nel tuo caso.
un'alternativa piuttosto commentata e' l'how-to per installare
postfix+cyrus+...=cyradm non ricordo piu'.
comunque il tuo consiglio (courier) e' da preferire (piu' lineare)
fabio

 Peccato dover cancellare tutto, sta funzionando cosi' bene...
Nooo!!!
Cioè, no, non vale la pena cancellare tutto, siete arrivati ad un buon punto.
Poi non credo siate COSÌ principianti, se avete già installato anche OpenBSD.
Io l'ho installato vpopmail, e non mi risulta giri con i privilegi di root.
FORZA CHE IO TIFO X VOI!!!
--
Dario Billo
rod...@libero.it
ICQ# 157099730

 Poi non credo siate COSÌ principianti, se avete già installato anche
OpenBSD.
sì hai ragione non gira come root