[Postfixbuch-users] Trotz SMTP-Auth extreme Spamwellen - Die Lage in den Griff kriegen

[Timo Heinrichs]

Die letzten Mails gingen wohl nicht an alle, hier nochmal:

>Also soweit ich das sehe nutzt du in Dovecot "nopassword", was bedeutet das das Passwort nicht von Dovecot geprüft wird sondern im Query-WHERE-Bereich, doch hinten fehlt mir die Überprüfung des Passworts.

Mir ist gerade die Kinnlade runtergefallen, als der Login auf der Konsole mit einem beliebigen Passwort geklappt hat! Das kann doch nicht sein! 

Ob ich diesen Query nutze (ist der aktuelle):

password_query = SELECT NULL AS password, 'Y' as nopassword, b.ip_address as host, a.email as destuser, 'Y' AS nologin, 'Y' AS nodelay, 'Y' AS proxy, 'any-cert' as 'ssl', 'Y' as starttls FROM mail_user as a LEFT JOIN server_ip as b ON a.server_id = b.server_id WHERE a.email = '%u'

oder den aus dem Wiki:

password_query = SELECT NULL AS password, 'Y' as nopassword, host, destuser, 'Y' AS proxy FROM proxy WHERE user = '%u'

Kommt auf's gleiche raus und ist ja saugefährlich! Was kann ich denn dagegen tun? Login per Webmail oder Mailclient funktioniert schließlich auch nicht mit einem beliebigen Passwort. Wenn das wirklich so sein sollte, dass das immer geht, gehört dieser Wiki-Artikel schnellstens aus dem Verkehr gezogen.

Oder versteh ich hier einfach irgendwas falsch?

Gruß

Timo Heinrichs