Analyse des relais Exchange

SMTP est le principal protocole de transport dans Exchange 2003 et Exchange 2000. Souvent, Exchange relaie les messages entre plusieurs serveurs jusqu’à leur destination finale, mais par défaut les deux versions sont configurées afin de ne pas être des relais ouverts publics. Prenons l’exemple de la configuration de la figure 1 : plusieurs serveurs hébergeant les boîtes aux lettres et un serveur distinct faisant office de tête de pont sont réunis au sein d’un groupe de routage. Le serveur tête de pont accepte les courriers en provenance d’Internet et les relaie aux serveurs de boîtes aux lettres. Il accepte également les courriers sortants des serveurs de boîtes aux lettres et les remet aux hôtes de destination sur Internet.

Comme SMTP constitue le principal protocole de transport, chaque serveur comporte un serveur virtuel SMTP à l’écoute du port 25. Les propriétés du serveur virtuel permettent à n’importe quel ordinateur de se connecter et d’ouvrir une session SMTP, mais le serveur virtuel n’autorise pas le relais non authentifié. En examinant la boîte de dialogue Relay Restrictions (Restrictions de relais) du serveur virtuel SMTP du serveur tête de pont, illustrée à la figure 2, vous pouvez voir deux paramètres servant à contrôler la fonction de relais. Le premier est l’option Select which computer may relay through this virtual server (Sélectionner l’ordinateur autorisé à relayer via ce serveur virtuel). Lorsque vous définissez Only the list below (Uniquement la liste ci-dessous) pour cette option, vous devez spécifier explicitement l’adresse IP, les sous-réseaux ou les noms de domaine de tout système autorisé à utiliser le serveur virtuel en tant que relais. Lorsque la liste est vide (paramétrage par défaut), les relais basés sur l’identification de serveur via l’adresse IP ne sont pas autorisés. Le tableau 1 présente les aspects à prendre en compte lors de l’ajout de ces définitions.

La deuxième méthode utilisée par un serveur virtuel SMTP pour contrôler la fonction de relais passe par l’authentification. Sur la figure 2, notez que la case à cocher Allow all computers which successfully authenticate to relay, regardless of the list above (Autoriser tous les ordinateurs authentifiés à relayer, sans tenir compte de la liste ci-dessus) est activée. Cette option indique au serveur virtuel SMTP que le client de messagerie doit s’authentifier (en fournissant un nom d’utilisateur et un mot de passe) avant que le serveur puisse accepter le courrier et le relayer. Exchange 2003 et Exchange 2000 incluent tous deux cette option.

La principale différence entre les versions est que Exchange 2000 utilise une approche tout ou rien pour l’authentification. En effet, si la case à cocher d’authentification est désactivée, vous ne pouvez pas utiliser cette méthode pour déterminer les ordinateurs autorisés à relayer. Si la case à cocher est activée, n’importe quel ordinateur du domaine capable de s’authentifier peut relayer le courrier, même les comptes sans boîte aux lettres Exchange correspondante. Exchange 2003 affine l’authentification de cette fonction afin de fournir un contrôle à granularité plus fine sur les ordinateurs autorisés ou non à relayer. Dans Exchange 2003, lorsque la case à cocher est désactivée, un bouton Users (Utilisateurs) devient accessible. Celui-ci vous permet d’accéder à la boîte de dialogue de la figure 3 afin d’octroyer des autorisations à des comptes et groupes de sécurité spécifiques, basées sur l’authentification. Pour attribuer à un utilisateur ou groupe le droit de relayer, vous devez les ajouter à la liste Permissions (Autorisations) et activer les cases à cocher Allow (Autoriser) pour les autorisations Submit Permission (Autorisation de dépôt) et Relay Permission (Autorisation de relais). Lorsqu’un client de messagerie réussit à se connecter au serveur virtuel SMTP et qu’il essaie de relayer un message, le serveur virtuel accepte le message en question. Si le client de messagerie ne s’authentifie pas, ou s’il s’authentifie mais qu’il n’est pas membre des groupes de sécurité autorisés, Exchange rejette le message avec le code de réponse SMTP 550 Unable to Relay.

Au début de cette section, j’expliquais que, par défaut, Exchange 2003 et Exchange 2000 ne sont pas des relais ouverts publics. Selon votre degré de paranoïa en matière de sécurité, vous les considérerez peut-être encore comme tels. Ils sont ouverts dans le sens où quiconque à même de s’authentifier auprès du serveur peut déposer un message à remettre.

Le fait que n’importe qui avec un compte de domaine soit en mesure de s’authentifier et de relayer peut constituer un problème dans un environnement relativement sécurisé car l’authentification ne vérifie en aucun cas que l’adresse du message indiquée dans la zone From (De) correspond à l’adresse affectée au compte employé pour l’authentification (si tant est qu’une adresse ait été attribuée). Prenons l’exemple d’un compte de domaine nommé SteveN ayant une adresse steve.neubauer@neulan.net. Le compte SteveN peut être utilisé afin de s’authentifier correctement auprès du serveur virtuel SMTP, en vue de relayer un message à l’adresse chris.neubauer@neulan.net, mais rien n’oblige SteveN à utiliser l’adresse steve.neubauer@neulan. net.

Il pourrait, s’il le souhaitait, très facilement reprendre george.bush@whitehouse.gov. Le fait de pouvoir spécifier n’importe quelle adresse dans la zone From (De) est inhérent à SMTP, mais les utilisateurs malveillants peuvent facilement s’en servir à mauvais escient. Dans la mesure où le relais lie directement le message en amont aux serveurs de messagerie d’une organisation, certains responsables de la sécurité considèrent qu’il est risqué de laisser n’importe qui disposer d’un accès au relais.