背景
smtp 是一种常见的服务,提供了程序自动化邮件外发的可能。不光是用于产品向客户的通知服务;更多的是用在企业内部的信息工具,比如我们就有 sentry / confluence / zulip 等等非常多的开源工具,都需要配置 smtp 来实现内部信息的联动。
当前最简单的邮箱使用方式是使用开放的邮箱服务,比如现在很多小型企业在使用的企业邮箱,可以配置一个专门的账号来提供发信服务。但是,这种方式存在非常大的安全隐患。
问题
直接使用公开的账号,很容易带来安全问题:
自动化发信的程序需要用户名和密码,这些信息需要存储在代码或者配置中
有经验的程序员知道将敏感信息分离,并且存储在代码库外;然而新员工,或者安全意识不强的同事很容易将这些信息入库
更糟糕的是,即使三令五申,有些程序员还是会无意的把代码放到 github 上,这些是公开可以访问的
然后就炸了
当邮箱账号一泄露(一般 smtp 账号同样能登陆邮件账户或者使用 pop3 协议),邮件里面隐藏的一些敏感信息(尤其是 confluence 的通知邮件)会带来更多的泄露,严重的可能会影响到我们竞选总统。
一种解决方案是,加强所谓的安全流程,同时通过一些工具来验证辅助(比如大家都在做的 github 扫描),但这种方式过于被动,而且无法从根本上来解决问题。技术上的问题,还得寻求技术方案来解决。
解决方案
其实传统的工具就可以解决这个问题,我们就采用了 postfix 作 smtp 中转:
配置 postfix 作为 smtp replay 服务,将发信方与真正的邮件服务器隔离开来
发信方与 postfix 使用公司内部账号(甚至无账号)进行内网通信,这样即使账号泄露,也无法用来登陆邮箱获取信息;同时,由于 postfix 是内部的服务,可以更灵活的配置防火墙
postfix 和 smtp 服务之间仍然使用 smtp 账号,但这里只有系统管理员才需要知道账户,相对安全。另外,还需要进行自动删信,禁用 pop3,微信登陆等手段来加强,这个 163 邮箱,qq 邮箱都有不同的配置,请自行设置
说白了,就是靠代理解耦来解决问题。熟悉我们的人估计一看就明白,因为我们很多问题都是靠这种方式来解决。下面简要描述下配置供参考。
sudo vim /etc/postfix/main.cf
#####以下是main.cf配置内容
relayhost = [$SMTP_HOST]:25
smtp_sasl_auth_enable = yes
smtp_sasl_password_maps = hash:/etc/postfix/sasl_passwd
smtp_sasl_security_options = noanonymous
#配置重写规则,强制修改发送邮件地址,防止smtp服务拒收邮件
ender_canonical_maps = pcre:/usr/local/etc/postfix/sender_canonical_map
#####以上是main.cf配置内容
sudo vim /etc/postfix/sender_canonical_map
#####以下是main.cf配置内容
/.*/ 发信smtp用户名
#####以上是main.cf配置内容
sudo vim /etc/postfix/sasl_passwd
#####以下是sasl_passwd配置内容
[$SMTP_HOST]:25 用户名:密码
#####以下是sasl_passwd配置内容
sudo postmap /etc/postfix/sasl_passwd
sudo service postfix resart
# done
自动化集成
1、通过 curl 命令发送邮件
/usr/local/bin/curl -s -v --url "smtp://xxxx:25" --mail-from "sender@bigsec.com" --mail-rcpt "receiver@bigsec.com" --upload-file mail.txt
# content of mail.txt
From:xxx@bigsec.com
To:xxx@bigsec.com
Subject: curl发送邮件标题
xxxxx
2、通过传统的mailx命令来发送邮件
其实依旧是相对传统的命令,比如 mailx 就能满足我们的需要。不过安装起来略显麻烦,需要在每个发行版找各自合适的包,比如 ubuntu 就应该安装 heirloom-mailx ,使用起来则更加简单:
echo "test" |mail -S smtp=xxxx -r sender@bigsec.com -s subject receiver@bigsec.com
我们更加倾向于采用第二种,因为比较简单:这使得我们在大量的脚本中能很方便的集成邮件通知功能。
总结
陆文,岂安科技联合创始人,首席产品技术官
曾担任PayPal资深高级工程师。参与岂安科技所有产品线的架构和设计,带领团队在数据挖掘、多媒体分析、跨数据中心分布式系统、高性能实时大数据计算、海量数据采集等领域进行前沿研究和产品化,推动岂安成为国内领先的大数据解决方案提供商。
原文来自:岂安科技
声明:所有来源为“聚合数据”的内容信息,未经本网许可,不得转载!如对内容有异议或投诉,请与我们联系。邮箱:marketing@think-land.com
涉农贷款地址识别,支持对私和对公两种方式。输入地址的行政区划越完整,识别准确度越高。
根据给定的手机号、姓名、身份证、人像图片核验是否一致
通过企业关键词查询企业涉讼详情,如裁判文书、开庭公告、执行公告、失信公告、案件流程等等。
IP反查域名是通过IP查询相关联的域名信息的功能,它提供IP地址历史上绑定过的域名信息。
结合权威身份认证的精准人脸风险查询服务,提升人脸应用及身份认证生态的安全性。人脸风险情报库,覆盖范围广、准确性高,数据权威可靠。