înregistrare Logare
Puncte:0
avatar Server

Care sunt setările Postfix corecte pentru a activa conexiunile vechi TLS v1.0 dintr-o cutie Windows XP veche?

drapel in
Jon Cage

Am o cutie WinXP Embedded SP3 veche (nu judeca; suntem în proces de depreciere) care trebuie să trimită e-mail pentru actualizări de stare etc.

Acesta folosea Gmail, dar vor dezactiva în curând suportul pentru aplicațiile nesigure, așa că avem nevoie de o soluție pentru a rezolva problema pe termen scurt. În acest scop, am configurat un server postfix bazat pe Ubuntu (v3.4.13) și am încercat să îl configurez pentru a permite conexiuni TLS v1.0.

Pe mai noi (mașini bazate pe Windows 10) care rulează exact același client, se pot conecta cu succes și se pot trimite e-mail. Din anumite motive, totuși, mașina XP emite erori.

Există o setare pe care trebuie să o modific în postfix pentru a permite aceste conexiuni vechi?

Exemplu de conexiune eșuată (jurnalele postfix):

24 mar 15:51:22 smtp-relay postfix/smtpd[83942]: inițializarea motorului TLS de pe partea serverului
Mar 24 15:51:22 smtp-relay postfix/smtpd[83942]: conectați de la necunoscut[62.232.130.246]
24 mar 15:51:22 smtp-relay postfix/smtpd[83942]: configurarea conexiunii TLS de la necunoscut[62.232.130.246]
24 mar 15:51:22 smtp-relay postfix/smtpd[83942]: necunoscut[62.232.130.246]: listă de coduri TLS „aNULL:-aNULL:HIGH:MEDIUM:+RC4:@STRENGTH”
24 mar 15:51:22 smtp-relay postfix/smtpd[83942]: SSL_accept:before SSL initialization
24 mar 15:51:22 smtp-relay postfix/smtpd[83942]: citit din 558F3C6A5600 [558F3C6AC5A3] (5 bytes => -1 (0xFFFFFFFFFFFFFFFF))
24 mar 15:51:22 smtp-relay postfix/smtpd[83942]: citiți din 558F3C6A5600 [558F3C6AC5A3] (5 octeți => 5 (0x5))
Mar 24 15:51:22 smtp-relay postfix/smtpd[83942]: 0000 16 03 01 00 41 ....A
24 mar 15:51:22 smtp-relay postfix/smtpd[83942]: citiți din 558F3C6A5600 [558F3C6AC5A8] (65 octeți => 65 (0x41))
Mar 24 15:51:22 smtp-relay postfix/smtpd[83942]: 0000 01 00 00 3d 03 01 62 3c|93 7a a3 47 25 d5 46 cd ...=..b%< .z.
Mar 24 15:51:22 smtp-relay postfix/smtpd[83942]: 0010 b6 ca 43 77 7c 91 23 47|60 f7 bb 1a 88 04 81 62 ..Cw|.#G `......b
Mar 24 15:51:22 smtp-relay postfix/smtpd[83942]: 0020 07 e3 ac 35 20 1f 00 00|16 00 04 00 05 00 0a 00 ...5 ... ........
Mar 24 15:51:22 smtp-relay postfix/smtpd[83942]: 0030 09 00 64 00 62 00 03 00|06 00 13 00 12 00 63 01 ..cd.b...
24 mar 15:51:22 smtp-relay postfix/smtpd[83942]: 0040 - <SPACES/NULLS>
24 mar 15:51:22 smtp-relay postfix/smtpd[83942]: SSL_accept:before SSL initialization
24 mar 15:51:22 smtp-relay postfix/smtpd[83942]: scrieți la 558F3C6A5600 [558F3C6B4750] (7 octeți => 7 (0x7))
Mar 24 15:51:22 smtp-relay postfix/smtpd[83942]: 0000 15 03 01 00 02 02 28 ......(
24 mar 15:51:22 smtp-relay postfix/smtpd[83942]: alertă SSL3 scrie:fatal:eșec de strângere de mână
24 mar 15:51:22 smtp-relay postfix/smtpd[83942]: SSL_accept:eroare în eroare
24 mar 15:51:22 smtp-relay postfix/smtpd[83942]: eroare SSL_accept de la necunoscut[62.232.130.246]: -1
24 mar 15:51:22 smtp-relay postfix/smtpd[83942]: avertisment: problema bibliotecii TLS: eroare:1417A0C1:rutine SSL:tls_post_process_client_hello:fără cifră partajată:../ssl/statem/statem:2rvr3
24 mar 15:51:22 smtp-relay postfix/smtpd[83942]: conexiune pierdută după STARTTLS de la necunoscut[62.232.130.246]
Mar 24 15:51:22 smtp-relay postfix/smtpd[83942]: deconectare de la necunoscut[62.232.130.246] ehlo=1 starttls=0/1 comenzi=1/2

Conexiune reușită de la o mașină win-10 (secvențe binare scurtate pentru concizie):

24 mar 15:45:32 smtp-relay postfix/smtpd[83924]: inițializarea motorului TLS de pe partea serverului
Mar 24 15:45:32 smtp-relay postfix/smtpd[83924]: conectați de la necunoscut[62.232.130.246]
24 mar 15:45:32 smtp-relay postfix/smtpd[83924]: configurarea conexiunii TLS de la necunoscut[62.232.130.246]
24 mar 15:45:32 smtp-relay postfix/smtpd[83924]: necunoscut[62.232.130.246]: listă de coduri TLS „aNULL:-aNULL:HIGH:MEDIUM:+RC4:@STRENGTH”
24 mar 15:45:32 smtp-relay postfix/smtpd[83924]: SSL_accept:before SSL initialization
24 mar 15:45:32 smtp-relay postfix/smtpd[83924]: citit din 55CE58FD8490 [55CE590115A3] (5 bytes => -1 (0xFFFFFFFFFFFFFFFF))
24 mar 15:45:32 smtp-relay postfix/smtpd[83924]: citit din 55CE58FD8490 [55CE590115A3] (5 bytes => 5 (0x5))
Mar 24 15:45:32 smtp-relay postfix/smtpd[83924]: 0000 16 03 01 00 7a ....z
24 mar 15:45:32 smtp-relay postfix/smtpd[83924]: citiți din 55CE58FD8490 [55CE590115A8] (122 bytes => 122 (0x7A))
Mar 24 15:45:32 smtp-relay postfix/smtpd[83924]: 0000 01 00 00 76 03 01 62 3c|92 0b e0 5b 1a 7f 9e 24 ...v..b< ...[... $

...

Mar 24 15:45:32 smtp-relay postfix/smtpd[83924]: 0070 00 00 17 00 00 ff 01 00|01 ........ .
24 mar 15:45:32 smtp-relay postfix/smtpd[83924]: 0079 - <SPACES/NULLS>
24 mar 15:45:32 smtp-relay postfix/smtpd[83924]: SSL_accept:before SSL initialization
24 mar 15:45:32 smtp-relay postfix/smtpd[83924]: SSL_accept:SSLv3/TLS citiți client salut
24 mar 15:45:32 smtp-relay postfix/smtpd[83924]: SSL_accept:SSLv3/TLS write server salutare
24 mar 15:45:32 smtp-relay postfix/smtpd[83924]: scrieți la 55CE58FD8490 [55CE59019750] (4096 bytes => 4096 (0x1000))
Mar 24 15:45:32 smtp-relay postfix/smtpd[83924]: 0000 16 03 01 00 41 02 00 00|3d 03 01 4d d2 77 f9 9c ....A... =..M...

...

Mar 24 15:45:32 smtp-relay postfix/smtpd[83924]: 0ff0 e9 ec e3 86 00 de 9d 10|e3 38 fa a4 7d b1 d8 e8 ........ .8..}.. .
24 mar 15:45:32 smtp-relay postfix/smtpd[83924]: SSL_accept:SSLv3/TLS write certificate
24 mar 15:45:32 smtp-relay postfix/smtpd[83924]: SSL_accept:SSLv3/TLS write key exchange
24 mar 15:45:32 smtp-relay postfix/smtpd[83924]: scrieți la 55CE58FD8490 [55CE59019750] (330 bytes => 330 (0x14A))
Mar 24 15:45:32 smtp-relay postfix/smtpd[83924]: 0000 49 82 84 06 9b 2b e8 6b|4f 01 0c 38 77 2e f9 dd I....+.k O....8w...

...

Mar 24 15:45:32 smtp-relay postfix/smtpd[83924]: 0130 bb bf c2 b5 eb 25 5e 18|74 6e ca ad 10 ee 91 51 .....%^. tn.....Q
Mar 24 15:45:32 smtp-relay postfix/smtpd[83924]: 0140 2f 16 03 01 00 04 0e /......
24 mar 15:45:32 smtp-relay postfix/smtpd[83924]: 0147 - <SPACES/NULLS>
24 mar 15:45:32 smtp-relay postfix/smtpd[83924]: SSL_accept:SSLv3/TLS server de scriere terminat
24 mar 15:45:32 smtp-relay postfix/smtpd[83924]: citit din 55CE58FD8490 [55CE590115A3] (5 bytes => -1 (0xFFFFFFFFFFFFFFFF))
24 mar 15:45:32 smtp-relay postfix/smtpd[83924]: citit din 55CE58FD8490 [55CE590115A3] (5 bytes => 5 (0x5))
Mar 24 15:45:32 smtp-relay postfix/smtpd[83924]: 0000 16 03 01 00 25 ....%
24 mar 15:45:32 smtp-relay postfix/smtpd[83924]: citit din 55CE58FD8490 [55CE590115A8] (37 bytes => 37 (0x25))
Mar 24 15:45:32 smtp-relay postfix/smtpd[83924]: 0000 10 00 00 21 20 01 8c 9c|11 84 58 2d d6 b3 77 7c ...! ... ..X-..w|
Mar 24 15:45:32 smtp-relay postfix/smtpd[83924]: 0010 5c d0 87 bd 98 e7 0e a1|dd 10 51 c8 27 98 e9 3e \....... ..Q.'.. >
Mar 24 15:45:32 smtp-relay postfix/smtpd[83924]: 0020 cb 64 24 7a 0a .d$z.
24 mar 15:45:32 smtp-relay postfix/smtpd[83924]: SSL_accept:SSLv3/TLS server de scriere terminat
24 mar 15:45:32 smtp-relay postfix/smtpd[83924]: citit din 55CE58FD8490 [55CE590115A3] (5 bytes => 5 (0x5))
Mar 24 15:45:32 smtp-relay postfix/smtpd[83924]: 0000 14 03 01 00 01 .....
24 mar 15:45:32 smtp-relay postfix/smtpd[83924]: citiți din 55CE58FD8490 [55CE590115A8] (1 octeți => 1 (0x1))
Mar 24 15:45:32 smtp-relay postfix/smtpd[83924]: 0000 01 .
24 mar 15:45:32 smtp-relay postfix/smtpd[83924]: SSL_accept:SSLv3/TLS citiți schimbul de chei client
24 mar 15:45:32 smtp-relay postfix/smtpd[83924]: citit din 55CE58FD8490 [55CE590115A3] (5 bytes => 5 (0x5))
Mar 24 15:45:32 smtp-relay postfix/smtpd[83924]: 0000 16 03 01 00 30 ....0
24 mar 15:45:32 smtp-relay postfix/smtpd[83924]: citiți din 55CE58FD8490 [55CE590115A8] (48 octeți => 48 (0x30))
Mar 24 15:45:32 smtp-relay postfix/smtpd[83924]: 0000 a4 a1 7c 35 01 99 6f 54|16 81 3a 80 00 a4 2e 99 ..|5.......oT ..|5.......oT
Mar 24 15:45:32 smtp-relay postfix/smtpd[83924]: 0010 b1 2a 95 89 f3 37 0e 96|21 25 06 cc c8 8b 57 4e .*...7.. !%....N
Mar 24 15:45:32 smtp-relay postfix/smtpd[83924]: 0020 16 46 5f 54 0f 77 14 59|47 30 00 9e a5 6a b9 5f .F_T.j._Y G0...j.
24 mar 15:45:32 smtp-relay postfix/smtpd[83924]: SSL_accept:SSLv3/TLS citiți modificarea spec. cifrului
24 mar 15:45:32 smtp-relay postfix/smtpd[83924]: SSL_accept:SSLv3/TLS read finished
24 mar 15:45:32 smtp-relay postfix/smtpd[83924]: necunoscut[62.232.130.246]: Emiterea biletului de sesiune, expirarea cheii: 1648138531
24 mar 15:45:32 smtp-relay postfix/smtpd[83924]: SSL_accept:SSLv3/TLS bilet de sesiune de scriere
24 mar 15:45:32 smtp-relay postfix/smtpd[83924]: SSL_accept:SSLv3/TLS scrieți modificarea codului spec.
24 mar 15:45:32 smtp-relay postfix/smtpd[83924]: scrieți la 55CE58FD8490 [55CE59019750] (250 bytes => 250 (0xFA))
Mar 24 15:45:32 smtp-relay postfix/smtpd[83924]: 0000 16 03 01 00 ba 04 00 00|b6 00 00 1c 20 00 b0 b0 ........ .... ...

...

Mar 24 15:45:32 smtp-relay postfix/smtpd[83924]: 00f0 db fc 56 30 de fc cf b4|70 68 ..V0.... ph
24 mar 15:45:32 smtp-relay postfix/smtpd[83924]: SSL_accept:SSLv3/TLS scrierea terminată
24 mar 15:45:32 smtp-relay postfix/smtpd[83924]: Conexiune TLS anonimă stabilită de la necunoscut[62.232.130.246]: TLSv1 cu cifr ECDHE-RSA-AES256-SHA (256/256 biți)
24 mar 15:45:32 smtp-relay postfix/smtpd[83924]: citit din 55CE58FD8490 [55CE590115A3] (5 bytes => -1 (0xFFFFFFFFFFFFFFFF))
24 mar 15:45:33 smtp-relay postfix/smtpd[83924]: citiți din 55CE58FD8490 [55CE590115A3] (5 octeți => 0 (0x0))
24 mar 15:45:33 smtp-relay postfix/smtpd[83924]: conexiune pierdută după STARTTLS de la necunoscut[62.232.130.246]
Mar 24 15:45:33 smtp-relay postfix/smtpd[83924]: deconectare de la necunoscut[62.232.130.246] ehlo=1 starttls=1 comenzi=2
66
0 + 0
Puncte:2
dave_thompson_085 avatar Server
drapel jp
dave_thompson_085

Nu spui ce versiune și versiune a OpenSSL (care determină suitele de criptare disponibile și, de asemenea, protocoalele, deși protocolul nu este problema ta aici) sau versiunea Ubuntu (care determină efectiv cele de mai sus), dar din fișierul sursă din mesajul de eroare este în mod clar 1.1.0 sau mai mare, și care în mod normal nu acceptă niciuna dintre suitele de criptare oferite de clientul dumneavoastră XP3. Dacă clientul variază în funcție de Windows pe care rulează, probabil că folosește schannel, iar XP/S03 (chiar și cu SP-uri) nu a făcut nicio criptare mai bună decât 3DES (confirmat în dump-ul ClientHello).

Cel mai ușor ar fi dacă clientul poate face clear-SMTP (fără TLS) și configurați postfix pentru a accepta asta; Atâta timp cât acest server este folosit doar pentru acel singur client, riscul de securitate nu este cu mult mai rău decât este deja acel client. În caz contrar:

(Sunt destul de sigur) puteți descărca pachetul sursă (OpenSSL) (adică, așa cum a fost deja patchat/ajustat de Ubuntu) plus buildeps și buildtools, schimbați pasul de configurare pentru a adăuga --enable-ssl-weak-ciphersși reconstruiți și instalați; acest ar trebui să să fie compatibil (și acum să suporte 3DES, inclus în MEDIUM), deși personal nu m-aș întâmpla dacă ceva important rulează pe același sistem.În caz contrar, fie trebuie să vă construiți propria versiune OpenSSL și propriul tău postfix care îl folosește sau presupunând că folosești implicit (465, nu STARTTLS) pune ceva (simplu) între ele, ca o pereche de stunnel back-to-back construită cu o versiune slăbită a OpenSSL, care este probabil mai simplă.

SAU Folosește doar un Ubuntu mai aproape de XP, cum ar fi 16.04 -- pe care se întâmplă să îl am pe WSL pentru testare și are OpenSSL 1.0.2g-plus-patch-uri care acceptă 3DES (și TLS1.0 -- toate OpenSSL de înainte de 0.9.8 fac asta). Dacă nu doriți să dedicați un sistem pentru aceasta, puneți-l într-o VM sau docker sau similar. Ceea ce, întâmplător, ar putea ajuta, de asemenea, să prevină producerea de panică dacă organizația dvs. efectuează scanări la nivel de rețea pentru versiuni învechite sau vulnerabile ale lucrurilor.

0 + 0
drapel in
Jon Cage
În prezent, rulează pe „Ubuntu 20.04.4 LTS” și „OpenSSL 1.1.1f 31 martie 2020”. Mulțumesc pentru sugestii - voi arunca o privire.
0
Răspunde
drapel in
Jon Cage
Recompilarea cu `enable-ssl-weak-ciphers` a reuşit. Vă mulțumesc foarte mult pentru ajutor. Acum să lucrez la planul de a elimina complet acea mașină :-)
0
Răspunde
drapel romania
SEF 777
întrebarea această in alte limbi:

Postează un răspuns

Majoritatea oamenilor nu înțeleg că a pune multe întrebări deblochează învățarea și îmbunătățește legătura interpersonală. În studiile lui Alison, de exemplu, deși oamenii își puteau aminti cu exactitate câte întrebări au fost puse în conversațiile lor, ei nu au intuit legătura dintre întrebări și apreciere. În patru studii, în care participanții au fost implicați în conversații ei înșiși sau au citit transcrieri ale conversațiilor altora, oamenii au avut tendința să nu realizeze că întrebarea ar influența – sau ar fi influențat – nivelul de prietenie dintre conversatori.