Re: SPF, DKIM, …: Was ist da tatsächlich sinnvoll für einen Betreiber eines privaten Mail-Servers?

[Florian]

Hallo Martin,

noch ein kleiner Kommentar zur Ehrenrettung von SPF, DKIM und DMARC: Du 
machst das ja nicht, um Google einen Gefallen zu tun, oder "nach deren 
Pfeife zu tanzen", sondern um dich selbst zu authentifizieren und deine 
Domain zu schützen. Leider setzen sich sinnvolle Standards manchmal erst 
in der Breite durch, wenn es die Großen "erzwingen".

Ohne SPF und DKIM kann eine Mail mit einer Absenderadresse deiner Domain 
von jedem beliebigen Menschen auf der Welt verfasst worden sein und du 
unterscheidest dich nicht von Abuse - das sollte eigentlich nicht in 
deinem Interesse sein.

  * Durch SPF schränkst du den erlaubten Versender-IP Bereich ein.
  * Mit DKIM signierst du deine Mail - und durch das Hinterlegen der
    öffentlichen Signatur in deinem DNS stellst du sicher, dass nieman
    domainfremdes gültig mit der Domain signieren kann.
  * In Summe baust du mit SPF+DKIM somit eine Authentifizierung.

DMARC fügt dann noch eine policy und reporting hinzu. Sprich: du kannst 
explizit einen Wunsch äußern, wie die Empfängerdomains mit 
nicht-authentifiziertem traffic deiner Domain umgehen soll. Und zu 
bekommst ein kostenloses reporting geliefert, wie viele authentifizierte 
und nicht-authentifizierte Mails deiner Domain bei den Empfängern 
tatsächlich angekommen sind.

Was genau ist daran schlecht?

Und welches Interesse sollte man darum haben, seine Mailserver nicht 
abzusichern, zumal der Aufwand wirklich überschaubar ist?

Viele Grüße,

Florian




Am 31.05.2024 um 10:16 schrieb Martin Steigerwald:
> Hi!
>
> Achtung: Rant.
>
> Ich hatte mir ja von mir aus gedacht, dass ich mir mich irgendwann
> eingehend in SPF, DKIM und da war noch etwas Drittes aus diesem Bereich
> einarbeite, um dann informiert zu entscheiden, inwiefern ich etwas davon
> umsetze.
>
> Ich hatte mal ein restriktiveres SPF als: "v=spf1 a mx ~all"
>
> Aber damit ging dann gleich irgendetwas nicht, woran ich mich gerade nicht
> mehr erinnere. Bei DKIM las ich, dass damit manche Mailinglisten nicht
> gehen. Das kann ich ebenfalls nicht gebrauchen.
>
> Und nach
>
> said: 550-5.7.26 Your email has been blocked because the sender is
>      unauthenticated. 550-5.7.26 Gmail requires all senders to authenticate
> with either SPF or DKIM.
>
> habe ich gerade überhaupt keine Motivation mehr, mir das Thema auch nur
> noch mal anzuschauen. Zumal das eine Antwort auf eine von einem
> Googlemail-Benutzer *direkt* an mich verschickte Mail betraf. Da frage ich
> mich dann doch: Geht es noch? Das kann Googlemail doch wissen, dass ich
> direkt auf eine Mail antworte, die mir einer Ihrer Kunden – genauer
> genommen eines ihrer Produkte, so hart das auch klingt – geschrieben hat.
> Sie schaden ja dem „Kunden“, denn er wollte ja etwas von mir, nicht
> umgekehrt.
>
> Ich bekam von diesem Provider über die Jahre allen möglichen Spam-Müll.
> Die interessieren sich Null-Komma-gar-nichts-für Abuse Complaints bzw.
> haben gar keinen vernünftigen Kanal mehr solche einzureichen. Und die
> meinen mir diktieren zu dürfen (!), wie ich meinen Mail-Server zu
> administrieren habe? Aka in "Wir senden Dir Müll und das ist uns egal aber
> wir akzeptieren Deine legitime Mail nicht!". Geht es noch etwas
> arroganter?
>
> Das ist eine Bankrott-Erklärung, wenn die meinen, Spam nicht mehr anders
> eindämmen zu können. Bekomme ich ja selbst als Hobby-Mail-Admin ganz gut
> hin. Klar, deren Setup ist ein paar Dimensionen größer. Aber die können
> auch mehr und besser ausgebildete Leute darauf ansetzen und falls das mit
> "Wir verkaufen Deine Daten oder Analysen daraus" wirtschaftlich nicht mehr
> hinhaut über deren Geschäftsmodell nachdenken. Wäre ohnehin mal eine gute
> Idee.
>
> Vielleicht bin ich dann auch mal arrogant und sage einfach: GMail-Anwender
> bekommen keine direkten Antworten von mir. Mache ich ohnehin nicht gerne.
> Nennt es eine Trotz-Reaktion… es ist mir egal. Irgendwo müssen auch mal
> Konsequenzen folgen anstatt immer alles mit zu machen, nur weil es die
> Großen diktieren. Es ist für mich auch kein wesentlicher Verlust. Die
> Leute, bei denen es mir wirklich wichtig ist, via Mail kommunizieren zu
> können… da mache ich ohnehin nicht über Googlemail. Weil wer weiß, was die
> alles mit den Daten anstellen.
>
> Aber dennoch: Gibt es irgendwo eine gute Informationsquelle zu SPF, DKIM
> usw. die mir tatsächlich produktiv dabei helfen kann, eine informierte
> Entscheidung zu treffen, inwiefern da etwas für meinen Mail-Server doch
> sinnvoll ist, und zwar frei von der Arroganz von Google aka "I am too big
> to fail"? (Sind sie im Übrigen nicht.)
>
> Was sind eure Meinungen? Was würde tatsächlich Sinn machen für jemanden,
> der *seinen privaten Mail-Server quasi als Hobby* betreibt? Der einen
> privaten Mail-Server betreibt, weil er ein besseres Gefühl dabei hat, das
> lieber alles selbst zu machen, weil er dann weiß was er hat, sowie das
> Filtern von Spam-Mail selbst beeinflussen kann?
>
> Welche dieser Technologien bringt in der Praxis ein positives Ergebnis für
> die Sicherheit im Mail-Verkehr im Verhältnis zum Umsetzungs-Aufwand? Der
> letztere Aspekt ist mir ganz wichtig. Ich habe keine Motivation mir für
> einen marginalen Nutzen einen riesigen Zusatzaufwand einzuhandeln. Zumal
> Google der einzige Provider ist, mit dem das auftrat. Andere große
> Provider: Bislang überhaupt kein Problem. Ich hab das schon im Web-Bereich
> mod_security erlebt. Da geht Vieles mit kaputt und der Aufwand, die Regeln
> zu finden, die abzuschalten sind,  damit es wieder geht… das brauche ich
> definitiv nicht.
>
> Eine Informationsquelle, wo wirklich gut erklärt ist, was es ist, wie es
> funktioniert und wo auch gut beschrieben ist, in einer Art HOWTO, wie sich
> das gut umsetzen lässt, insofern es Sinn macht. Ein Quelle, die über den
> Artikel von Martin Loschwitz im, glaub, Linux-Magazin, hinaus geht, wo er
> schreibt, dass einige der Technologien nur teilweise Sinn machen?
>
> Ich wäre ja eventuell bereit, irgendetwas davon umzusetzen, insofern es
> tatsächlich Sinn macht. Aber dann gerade nicht weil Google meint, es mir
> diktieren zu können. Dieser Grund reicht für mich als Betreiber eines
> privaten Mail-Servers eben nicht aus. Aber vielleicht habt ihr ja bessere
> Gründe parat. Es geht mir ja nicht darum, vollkommen lernresistent zu
> sein. Ich bin gespannt. rspamd mosert hier ja über fehlende Domain Keys.
> Vielleicht ist es gar nicht so kompliziert das umzusetzen. Aber ich will
> dann keinen wochenlangen Aufwand haben, um den Empfang von Mailinglisten
> hin zu bekommen.
>
> Also bitte immer beachten: Für den Betreiber eines privaten Mail-Servers.
> Ich sehe nicht, warum ich alles so machen muss, wie große Mail-Hoster, die
> es vielen Kunden recht machen müssen. Insbesondere, falls aus meiner Sicht
> das Aufwand-Nutzen-Verhältnis nicht passt. Da ist mein Anwendungsfall
> einfach ein anderer. So wie ich mir erlaube, Mail von "onmicrosoft.com"
> oder "exxhale.com" hoch zu stufen oder in Zukunft vielleicht das komplette
> Netzwerk von Sharktech¹ zu blocken und dabei zu riskieren irgendwann doch
> mal eine legitime Mail zu verpassen… ein Risiko, das ich als Betreiber
> eines privaten Mail-Servers durchaus eingehen kann.
>
> [1] Betrugsmail von Kunden-Systemen. Meine Mail-Adresse in From:. Uni-
> Mailserver in Received-Header rein gefälscht. Unis sind informiert und
> haben auch von andere Seite schon damit zu tun gehabt. *Keine* Antwort von
> deren Abuse Team.
>
> Danke,
-------------- nächster Teil --------------
Ein Dateianhang mit HTML-Daten wurde abgetrennt...
URL: <https://listi.jpberlin.de/pipermail/postfixbuch-users/attachments/20240602/d7a026f6/attachment.htm>