وبلاگ نت‌آرامآموزش، تجربه و راهکارهای زیرساخت

رفع هشدار TLS ضعیف Dovecot با تنظیم نسخهٔ درست

نام گزینه‌های TLS در نسخه‌های Dovecot تفاوت دارد. رشتهٔ cipher قدیمی را بدون بررسی روی نسخهٔ فعلی کپی نکنید.

انتشار:
آخرین ویرایش:
توسط مصطفی جانقربان
۳ دقیقه زمان مطالعه
۲ دیدگاه
محتوای تخصصی، ساده و کاربردی
هماهنگ با هویت حرفه‌ای نت‌آرام
بازگشت به لیست مقالات
تصویر شاخص مقاله رفع هشدار TLS ضعیف Dovecot با تنظیم نسخهٔ درست در وبلاگ نت‌آرام
محتوای آموزشی وبلاگ نت‌آرام
وقتی برنامهٔ ایمیل به سرور وصل می‌شود، TLS ارتباط را رمزگذاری می‌کند. Dovecot برنامه‌ای است که در بسیاری از سرورها خواندن ایمیل با IMAP یا POP را انجام می‌دهد. هشدار TLS ضعیف یعنی باید روش‌های رمزگذاری قابل قبول همین سرویس را بررسی کنیم؛ ربط مستقیمی به رمز صندوق ایمیل ندارد.

این هشدار برای خواندن ایمیل چه معنی دارد؟

مدیر می‌تواند نسخهٔ Dovecot را با dovecot --version ببیند و تنظیمات غیرپیش‌فرض را با doveconf -n بخواند. خروجی تنظیمات را پیش از ارسال برای دیگران از نظر اطلاعات حساس بررسی کنید. در نسخه‌های مختلف، نام و شکل بعضی گزینه‌ها فرق دارد؛ نمونهٔ یک نسخه را بدون تطبیق در نسخهٔ دیگر نگذارید.
بعد از اصلاح تنظیم، یک برنامهٔ ایمیل واقعی را با نام سرور معتبر باز کنید. فقط باز شدن وب‌میل کافی نیست؛ وب‌میل ممکن است از مسیر داخلی دیگری وصل شود. اگر برنامهٔ قدیمی دیگر وصل نمی‌شود، متن خطا را بخوانید و امکان به‌روزرسانی آن برنامه را بررسی کنید. ضعیف کردن ارتباط همهٔ کاربران برای نگه داشتن یک برنامهٔ بسیار قدیمی، تصمیم مناسبی نیست.

نسخه و تنظیم مؤثر را پیدا کنید

اول نسخهٔ Dovecot و روش مدیریت آن توسط پنل را مشخص کنید. نام گزینه‌ها میان نسخه‌های اصلی می‌تواند تغییر کند. یک رشتهٔ cipher مربوط به سال‌های قبل را از مقالهٔ قدیمی در فایل امروز قرار ندهید؛ ترکیب الگوریتم‌ها باید با نسخهٔ نصب‌شده و سیاست فعلی سرویس سازگار باشد.
تنظیم مؤثر را از ابزار و مستندات همان نسخه بخوانید. ممکن است فایل اصلی، فایل‌های include و الگوهای کنترل پنل با هم استفاده شوند. ویرایش فایل تولیدشده بدون شناخت این ساختار می‌تواند در بازسازی بعدی از بین برود. از تنظیم قبلی نسخه بگیرید و مشخص کنید تغییر پایدار کجا باید ثبت شود.

خطای گواهی را از نسخهٔ TLS جدا کنید

اگر کلاینت ایمیل خطای گواهی می‌دهد، نام سرور، تاریخ گواهی و زنجیرهٔ آن را بررسی کنید. اتصال به IP یا نامی متفاوت از گواهی می‌تواند خطا ایجاد کند، حتی وقتی نسخهٔ TLS مناسب است. خاموش کردن اعتبارسنجی در کلاینت یا سرور این اختلاف را اصلاح نمی‌کند.
در مقابل، هشدار دربارهٔ پروتکل یا cipher قدیمی به سیاست مذاکرهٔ TLS مربوط است. ممکن است لازم باشد کلاینت‌های قدیمی نیز به‌روز شوند. قبل از محدود کردن پروتکل‌ها، نمونهٔ دستگاه‌های مورد استفادهٔ کاربران را مشخص کنید تا قطع احتمالی ارتباط، قابل پیگیری باشد.

اعمال تغییر و آزمون دریافت ایمیل

تغییر را با روش پشتیبانی‌شدهٔ پنل و نسخهٔ Dovecot انجام دهید. پیکربندی را قبل از راه‌اندازی مجدد از نظر خطا بررسی کنید و زمان نگهداری را در نظر بگیرید. ری‌استارت مکرر بدون خواندن پیام خطا می‌تواند قطعی را طولانی‌تر کند.
پس از تغییر، اتصال IMAP و POP مورد استفادهٔ سرویس را از بیرون بررسی کنید. در صورت استفاده از STARTTLS، همان روش را آزمایش کنید؛ تست یک پورت SSL مستقیم، وضعیت پورت دیگر را ثابت نمی‌کند. دریافت یک پیام و ورود حساب نمونه را نیز امتحان کنید.
در پایان، نسخهٔ TLS مذاکره‌شده و گواهی را ببینید و گزارش امنیت را دوباره بخوانید. اگر هشدار باقی مانده، متن آن را با نسخهٔ ابزار بررسی مقایسه کنید؛ اسکنر قدیمی نیز ممکن است انتظار گزینه‌ای منسوخ داشته باشد. تنظیم سالم باید هم مستند باشد و هم در اتصال واقعی تأیید شود.

منابع و ادامهٔ مطالعه

دیدگاه‌ها (۲)

دیدگاه‌های تاییدشده و پاسخ‌های تیم نت‌آرام

benya,im

۱۳۹۵/۴/۹ ۲۰:۳۳:۱۱
پاسخ

با سلام .
بنده این کارو انجام دادم . متاسفانه خاموش شد. !!!
میشه راهنمایی کنید.
اینم پیامش
Restarting dovecot.
Shutting down dovecot: [FAILED]
Starting dovecot: doveconf: Warning: NOTE: You can get a new clean config fi
le with: doveconf -n > dovecot-new.conf
doveconf: Warning: Obsolete setting in /etc/dovecot/dovecot.conf:3: 'imaps'
protocol is no longer necessary, remove it
doveconf: Warning: Obsolete setting in /etc/dovecot/dovecot.conf:3: 'pop3s'
protocol is no longer necessary, remove it
doveconf: Warning: Obsolete setting in /etc/dovecot/dovecot.conf:7: ssl_cert
_file has been replaced by ssl_cert = <file
doveconf: Warning: Obsolete setting in /etc/dovecot/dovecot.conf:8: ssl_key_
file has been replaced by ssl_key = <file
doveconf: Warning: Obsolete setting in /etc/dovecot/dovecot.conf:20: login_u
ser has been replaced by service { user }
doveconf: Warning: Obsolete setting in /etc/dovecot/dovecot.conf:21: login_p
rocesses_count has been replaced by service { process_min_avail }
doveconf: Warning: Obsolete setting in /etc/dovecot/dovecot.conf:201: add au
th_ prefix to all settings inside auth {} and remove the auth {} section com

مصطفی جانقربان

نویسنده مقاله
۱۳۹۵/۴/۳۰ ۱۱:۰۳:۲۷
پاسخ

با سلام و احترام
مجدد dovecot را از طریق custombuild نصب نمایید.
موفق باشید