Buenas prácticas para Servicio de Correo Electrónico
Autor: Jesús Sanz de las Heras (RedIRIS) Fecha: 23 Abril 2004
Estado: borrador
Introducción
El correo electrónico (correo-e) es una herramienta esencial en las Empresas o Instituciones ya que mejora la comunicación y productividad entre clientes, socios y empleados. Usado de forma correcta es un extraordinario vehículo para anunciar y divulgar nuestros productos o actividades al exterior. Pero la Red es un entorno muy agresivo para un servicio como el de correo-e, spam, virus, falsificaciones, fraudes etc ponen en peligro los recursos corporativos de los servidores y la propia productividad del correo-e. No sólo debemos defendernos de estas agresiones sino que es muy importante para la imagen de nuestro dominio (Empresa, Institución, etc) hacer uso correcto del correo electrónico y disponer de configuraciones adecuadas en los servidores.
Al igual que las Empresas o Instituciones se preocupan por la imagen corporativa de sus páginas web es importante garantizar esta misma imagen en las transacciones de correo electrónico que salen de nuestros servidores. El correo electrónico, no sólo representa a la persona que lo emite sino al dominio al que pertenece. Por tanto es necesario conocer todos los aspectos relacionados con el servicio de correo-e desde los técnicos hasta los legales pasando por la políticas de uso interno del servicio en cada institución.
El objetivo de este informe es promover la calidad y buen uso del correo electrónico en la Red intentando mejorar cada uno de los servidores de correo existentes. Es una guía práctica dirigida fundamentalmente a las personas que gestionan directamente el Servicio de correo-e de su Empresa o institución (postmaster) .También serían interesante que estas prácticas fueran recomendadas y divulgadas por los ISP o ESPs (proveedores de servicios de correo-e) a sus clientes para garantizar su difusión.
Se exponen los aspectos mas importantes a reforzar en el Servicio pero no cómo implementarlos lo cual dependerá de las configuraciones de cada dominio. La idea de este documento es definir unas “Buenas prácticas en el Correo Electrónico” enfocado a los gestores del servicio. Mejorar la calidad y el buen uso del correo electrónico implica reforzar los siguientes aspectos:
- Política de flujos del Servicio - Conocer los problemas del Servicio - Medidas técnicas en servidores - Coordinación con otros postmasters
Hemos incluido en el informe otros aspectos de posible: - Seguridad y soluciones anti-spam
- Buenas prácticas en servicios de listas de distribución y Boletines
Política de flujos SMTP del Servicio de correo electrónico
El aspecto más importante a tener en cuenta en la puesta en marcha del Servicio es la definición de las diferentes políticas aplicadas a los flujos SMTP de entrada y salida. Estas políticas deben ser aprobadas por la dirección, gestionadas por los postmaster y conocidas por las usuarios de la Empresa o Institución. La puesta en producción de estoas políticas dependerá de los diferentes diseños y configuraciones.
1 Política SMTP/salida: Es la estrategia que define cómo nos presentamos en la Red al encaminar correo hacia el exterior
1.1. Básicas:
• Filtros puerto 25/out: Forzar (router o firewall) el tráfico saliente de correo a través de una sola máquina que será la única que pueda encaminar correo al exterior y cuya configuración define la política SMTP/salida.
• No open-relay: Encaminar correo al exterior procedente exclusivamente de usuarios de los rangos IPs de nuestro dominio.
• Control del “Mail From:”. Encaminar al exterior exclusivamente correo con el campo “Mail From:” de nuestro dominio .
• HELO canonizado: Responder al comando HELO en la transacción SMTP con el nombre canonizado de la máquina
• Resolución inversa de servidores. Todas las máq uinas que encaminen correo al exterior deberán disponer de resolución inversa en el DNS
1.2. Opcionales:
• Antivirus: Escaneo del correo en busca de virus antes de ser encaminado al exterior • Contenidos: Límite tamaño mensajes, uso compatible con la Política de Uso del correo
electrónico de la Empresa
• Sender Permitted From (SPF). Definición en DNS de registros SPF de los servidores salientes.
2 Política SMTP/entrada: Estrategia que define el tipo de tráfico SMTP que aceptamos
2.1. Básicas
• Filtros puerto 25/in: Forzar el tráfico entrante de correo a través de una sola máquina (registros MX)que será la única que podrá aceptar correo del exterior y cuya configuración define la política SMTP/entrada
• Control del “RcptTo:”. Aceptar del exterior exclusivamente correo con el campo “Rcpt To:” de nuestro dominio .
• Control del “Mail From:”. Rechazar correo del exterior si el dominio del campo “Mail From:” no existe (resolución directa en DNS)
• Antivirus: Escaneo del correo entrante en busca de virus. Impedir la emisión de informes si el virus detectado es un gusano.
2.2. Opcionales:
• HELO canonizado: Chequear transacción SMTP si el comando HELO del servidor remoto no responde con el nombre canonizado de la máquina
• Resolución inversa: Chequear las conexiones SMTP de IP sin resolución inversa.
• Reverse MX: Rechazar correo del exterior si el dominio del campo “Mail From:” no dispone de registros MX.
• Definición de listas negras vía DNS (DNSbl): Rechazar o etiqueta transacciones SMTP de IPs incluidas en determinadas listas negras
• Contenidos. Implantación de filtros adaptativos o estáticos para rechazar o etiquetar correo que incumple la política del correo definida por la empresa.
3 Política SMTP/local. Política de aceptación de correo entre usuarios locales.
3.1. Básicas: cifrado de claves de acceso, límite en el tamaño de mensaje, virus, spam, adjuntos
3.2. Opcionales: Servicios móviles (Webmail,smtp-auth etc), cifrado de transacciones TLS
IMPORTANTE: Los usuarios deben conocer las políticas de uso y flujo del Servicio de correo de la Empresa y mantenerlos informados de cualquier cambio.
Descripción de problemas
Además del tiempo perdido en ver y borrar spam hay otra serie de problemas:
Robo de identidad. Phishing y scams
Virus: Virus y sobre todo los gusanos que utilizan técnicas de spam para propagarse después de infectar un PC
Combinación de virus y spam. Las últimas generaciones de virus se han creado para ayudar a los spammers. Estos virus dejan abiertos puertos (open-proxy) que son utilizados por los spammers para distribuir spam. La distinción entre hackers y spammers es cada vez menos obvia. Muchos spammers han incorporado código malicioso en su spam.
Ataques con direcciones falsificadas. Consiste en inundar el servidor de un dominio real con los errores generados por una máquina atacada al procesar spam para distribuirlo a miles de destinatarios. El spammer coloca como dirección receptora de estos errores un dominio real y un usuario aleatorio. Esto provocará problemas de ancho banda, colapso del servidor (colas, disco etc). Puede ser considerado una Ataque de denegación de Servicio.
Generación innecesaria de tráficoSMTP. El envío y encaminamiento de un simple mensaje de correo electrónico implica el uso de varios recursos: conexiones SMTP, consultas DNS, procesamientos por MTA. Los propios errores de SMTP, el spam, los virus etc, generan informes a direcciones falsificadas provocando confusión en los usuarios y generando un exceso de tráfico SMTP. Es este tráfico se puede reducir optimizando la política de generación de informes (virus, spam, usuarios desconocidos etc)
Buenas prácticas en Servicio de correo electrónico
Las dividiremos en 3 apartados: Seguridad, Gestión e Información. Nos referiremos a Institución como la entidad responsable del servicio de correo de un dominio, podrán ser Empresas, Asociaciones entidades públicas etc, es decir cualquier que disponga de servicio de correo en su dominio.
Seguridad
La Institución tiene que garantizar que todos los servidores de correo-e de su red (dominio y rango de direcciones IP asignadas):
- Evitar colocar direcciones de correo-e en las páginas web.
- Evitan el encaminamiento de forma no autorizada a terceros. - Disponen de resolución inversa en el DNS.
- Chequean el DNS para rechazar mensajes en los que durante la sesión SMTP aparezca un valor de MAIL FROM: con un dominio incorrecto
(no registrado en DNS)
- Añaden cabeceras "Received:" con suficiente y correcta información a todo el correo que circula por su dominio .
- Almacenan la identidad de las máquinas (dirección IP) así como la fecha
correcta basada en NTP.
- Disponen de herramientas para filtrar direcciones de máquinas, dominios o direcciones de correo-e.
- Proporcionan códigos de error normalizados. - Son revisados y actualizados de forma periódica. - Centralización del Servicio: Filtros smtp entrada/salida
- Fomentar el acceso universal y autenticado al correo-e institucional: WebMail, SMTP-AUTH etc
- Instalación de Antivirus en el Servidor de correo, recomendable:
• Adjuntos: Definir y limitar los tipos de adjuntos que no sean necesarios en la Institución (ejemplos: exe, pif, com, bat, dll, etc)
• Informes: Evitar que el antivirus envíe informes de respuesta a los emisores de un mensaje infectado. Muchos de virus que se reciben tienen la dirección del emisor falsificada y enviar respuesta solo aportaría aumentar el flujo de mensajes y confusión entre los usuarios. Se recomienda dejas los mensajes infectados en cuarentena y actuar de forma conveniente
Gestión
- La Institución debe garantizar que el correo generado dentro de su red (dominio y rango de direcciones IP asignadas) puede ser traceado hasta su origen (emisor).
- La Institución debe conservar durante un tiempo razonable los ficheros de log con información correcta y suficiente y donde se reflejen las trazas de todas las transacciones SMTP.
- La institución debe garantizar que se compromete a gestionar y actuar con los incidentes que llegan al buzon < abuse@org.es >. Debe dar a conocer la existencia de dicha dirección y documentar la información indicando el tipo de información que es necesario enviar para poder tomar acciones.
- Cuando se ha demostrado un incidente de abuso interno, la Institución se compromete a tomar las medidas oportunas contra el involucrado de acuerdo a la política de uso (similar a un contrato) de dicha institución. - En caso de que la Institución disponga de un servidor de listas de
distribución o Boletines en su red debe disponer de las medidas mínimas para proteger el servicio.
- No permitir listas públicas de envío.
- Controlar la disponibilidad de la relación de suscriptores. - No permitir suscripciones no deseadas a terceros.
Información
- La institución deberá disponer de una Política de Uso Correcto del correo electrónico que delimite sus responsabilidades y optimice su uso. Este documento garantizará la información a futuros usuarios del Servicio en la institución
- El proveedor (ESP- Email Service Provider) deberá aplicar, a través de los contratos con sus clientes, un documento de Términos y Condiciones para asegurar el correcto uso del correo-e y garantizar que se penaliza a los que distribuyen spam. (sólo proveedores)
Seguridad y soluciones anti-spam
Actualmente (Mayo 2004) las soluciones anti-spam se dividen en: filtros, verificación emisor, retos y criptografía. Cada una de ellas intenta solucionar un problema pero todo tienen limitaciones. Este apartado pretende dar un panorámica general a estas soluciones para que sean conocidas y consideradas por todos los postmaster.
1 Filtros. Son utilizados por los receptores para identificar y organizar spam. Hay tres tipos de filtros:
1.1. Contenidos. Listas de palabras asociadas con el spam. Por ejemplo “viagra”, “hipoteca” 1.2. Listas negras y blancas. Listas de direcciones IP emisoras de spam y no emisoras de
spam
1.3. Hash. Sistemas que asignan a los mensajes determinados valores para la identificación masiva de correo.
1.4. Sistemas probabilísticos. Son sistemas que intentan aprender palabras frecuentes o características de los mensajes para identificarlos como spam y no spam.
Un filtro es bueno o malo en función de sus resultados de falsos -negativos (spam clasificado como correo bueno) o falsos-positivos (correo bueno clasificado como spam). Los problemas de los soluciones anti-spam basadas en filtros son:
• EL spam evoluciona y los filtros de palabras pierden efectividad.
• Falsos positivos. Clasificar un mensaje bueno como spam o una IP buena como emisora de spam de spam
Los filtros de contenidos son actualmente la soluciones mas implantada y exitosa. Poer los filtros no evitan el spam , solo lo esconden Existe el mito que los filtros detienen ni previenen el spam y
no es cierto, el spam y atraviesa las redes y servidores y llega incluso al buzón de destinatario. Los filtros sólo ayudan a clasificar y separar el correo deseado del spam.
2 Verificación emisores. El spam suele falsificar el campo Sender (From:/Remite). Hay dos tipo de spam:
1.1. spam “legal” : no falsifican las cabeceras, el dominio del Sender y la IP están vinculados 1.2. spam “ilegal” : falsifican las cabeceras, el dominio del Sender y la IP no están vinculados. El spam exterior, suele ser spam “ilegal”, es el mas habitual y con frecuencia usa dominios reconocidos: yahoo.com, aol.com, hotmail.com. El spam nacional, suele ser spam “legal”, y es menos habitual. ¿por qué se falsifica el campo Sender en el spam?
• Aspectos legales. El contenido de mucho del spam suele ser ilegal (venta de drogas, fármacos etc), falsificando el emisor pueden permanecer en el anonimato y evitar problemas legales
• La mayor parte de los emisores de spam (spammers) saben que el spam que envía es no deseable. Falsificando el emisor pueden mitigar el enfado de los receptores.
• Limitaciones de ISP. La mayor parte de los proveedores de Internet tiene cláusulas de contrato para prevenir el spam. Falsificando el emisor puede mitigar el enfado del ISP para cancelar el acceso
Actualmente hay diferentes iniciativas para verificar emisores y evitar las falsificaciones • Reverse mail Exchanger (RMX)
http://www.ietf.org/internet-drafts/draft-danisch-dns-rr-smtp-03.txt
• Sender Permited From (SPF) http://spf.pobox.com
• Designated Mailers Protocol (DMP) http://www.pan-am.ca/dmp/
Estas iniciativas son muy similares y utilizan DNS como servicio para verificar registros de tipo MX y determinar si hay correlación entre: MX (relay) y dominio del Sender del mensaje. Fomentando que los correos se originen desde servidores de correo verificados a través de las IP registradas en registros DNS (MX u otros). Pero no todos los dominios están asociados con direcciones IP fijas, como usuarios, pequeñas empresas etc lo que provocaría que su correo fuera bloqueado por estos sistemas de verificación. Esto podría solucionarse si el tráfico SMTP de estos dominios fuera encaminado a través de los servidores de su ISP (filtro SMTP/out concentrar tráfico smtp salida).
Otro de los grandes problema de estas soluciones de verificación es el tema de los movilidad y que la verificación de emisores no permitiría a muchos usuarios móviles enviar correo.
3 Retos
El spammer usa programas automáticos para generar millos de mensajes por dia. Los retos intentan impedirlo ralentizando el proceso. Los sistemas de retos (CR) mantienen una lista blanca de emisores permitidos. El correo procedente de un emisor nuevo es detenido sin entregar, ya que se le envía un mensaje con un url que debe pinchar o responder. Se supone que si el emisor es un proceso automático y masi vo no realizará esta operación pero si lo hará si es un humano interesado en que su correo sea entregado. Después de hacerlo este nuevo emisor será añadido a la lista de emisores permitidos
4 Criptografía
Las soluciones criptográficas pretenden identificar al emisor de spam del que no lo es, APRA ellos usan sistemas de certificados para desarrollar la autenticación. Sin un certificado apropiado, un correo falsificado puede ser identificado. Algunas de las soluciones propuse son:
- AMTP http://www.ietf.org/internet -drafts/draft-weinman-amtp-02.txt
- MTP http://www.ietf.org/internet-drafts/draft -danisch-email-mtp-00.txt
- S/MIME y PGP/MIME http://www.imc.org/smime-pgpmime.html
El actual protocolo de SMTP no soporta autenticación criptográfica. Algunas de estas soluciones proponen extensiones SMTP (S/MIME y AMTP) mientras otras (MTP) pretende reemplazar la actual infraestructura de correo sustituyendo el protocolo.
