Início / server / Perguntas / 693496
Accepted
rubo77
Asked: 2015-05-21 23:10:23 +0800 CST

Corrigir vulnerabilidade de impasse no correio

  • 772

O site fracodh.org explica como corrigir o postfix contra o ataque Diffie-Hellman fraco chamado "logjam".

Mas não tenho que consertar o correio também? Ou eu tenho que migrar para dovecot para ser seguro contra congestionamentos?

ssl

2 respostas

  1. Best Answer

    Encontrei este post no blog que explica muito bem.

    Para acelerar isso, primeiro verifique se você já possui bons parâmetros em /etc/ssl/certs/dhparams.pemcheque com

    openssl dhparam -text -noout -in /etc/ssl/certs/dhparams.pem

    em caso afirmativo, copie-os para /etc/courier/dhparams.pemcom

    cp -a /etc/ssl/certs/dhparams.pem /etc/courier/dhparams.pem

    caso contrário gerar com

    openssl dhparam -out /etc/courier/dhparams.pem 4096

    Courrier versão 4.15 remove o parâmetro TLS_DHCERTFILE dos arquivos de configuração imap e pop3d. Parâmetros DH, e apenas parâmetros DH, são lidos do novo arquivo TLS_DHPARAMS (e a outra funcionalidade de TLS_DHCERTFILE, para certificados DSA, é mesclada em TLS_CERTFILE). Após a atualização, execute o script mkdhparams para criar um novo arquivo TLS_DHPARAMS.

    Portanto, verifique sua versão instalada com

     apt-cache show courier-imap-ssl|grep Version

    Se você tiver pelo menos a versão 4.15, agora edite /etc/courier/imapd-ssle defina

    TLS_DHPARAMS=/etc/courier/dhparams.pem

    reinicie o correio-imap-ssl:

    /etc/init.d/courier-imap-ssl restart

    verifique a conexão com o openssl versão 1.0.2a.

    openssl s_client -host <yourhost.org> -port 993
    • 2

  2. Ao usar o correio, você precisa garantir que os parâmetros Diffie-Hellman /etc/courier/dhparams.pemsejam gerados com mais do que o padrão de 768 bits. Eu acho que 2048 ou 4096 bits devem servir.

    Em vez de usar mkdhparamspara gerar dhparams.pem(com apenas 768 bits por padrão!) Você poderia fazer assim:

    openssl dhparam -out /etc/courier/dhparams.pem 2048

service courier-mta-ssl restart

    Aqui estão algumas informações (em alemão) e algumas leituras adicionais sobre como mitigar o ataque de impasse no Courier-MTA.

    • 0

relate perguntas