Seguretat i administració de correu, FTP, DNS i serveis web

RA5: servidor Open Relay i seguretat del correu

Què és un servidor Open Relay? Un Open Relay és un servidor SMTP mal configurat que permet que qualsevol persona d'Internet l'utilitzi per enviar correus electrònics a qualsevol altre domini. Això és molt perillós perquè els spammers l'utilitzen per enviar correu brossa de manera massiva, amagant-se rere aquest servidor.

Proteccions i millores dels protocols originals

Els protocols originals de correu no eren segurs. Per això s'han adoptat diverses mesures:

• Xifratge: TLS/SSL per a connexions (per exemple: POP3S, IMAPS, SMTPS o l'extensió STARTTLS).
• Autenticació: requisits d'autenticació (SMTP AUTH) per evitar l'ús obert del servidor.
• Verificació de domini: registres SPF, DKIM i DMARC per evitar la suplantació d'identitat (spoofing).

Esquema i flux MUA, MTA, MDA

Esquema explicatiu de MTA, MUA i MDA i relació amb protocols. El funcionament lògic és el següent:

1. MUA (Mail User Agent - client com Outlook o Thunderbird) de l'emissor envia l'email utilitzant SMTP al seu MTA (Mail Transfer Agent - servidor de sortida).
2. L'MTA d'origen envia el missatge per Internet fins a l'MTA de destí utilitzant SMTP.
3. L'MTA de destí traspassa el missatge a l'MDA (Mail Delivery Agent), que desa i guarda el missatge a la bústia de l'usuari corresponent.
4. El MUA del receptor accedeix al servidor i es descarrega o visualitza el correu utilitzant els protocols IMAP o POP3.

Estàndard MIME i capçaleres

Per a què serveix l'estàndard MIME? MIME (Multipurpose Internet Mail Extensions) permet enviar més que text pla en un correu electrònic: adjuntar arxius (imatges, PDFs), utilitzar caràcters especials (accents) i enviar missatges en HTML (tipus multipart).

Exemples de capçaleres MIME:

• MIME-Version
• Content-Type
• Content-Transfer-Encoding

Com protegir un servidor contra l'spam

Mesures recomanades al servidor:

• Aplicar filtres de contingut (per exemple, SpamAssassin).
• Configurar RBLs (llistes negres de servidors SMTP maliciosos).
• Utilitzar greylisting (retardar correus desconeguts per veure si tornen a intentar-ho).
• Forçar l'autenticació i validar de manera estricta SPF, DKIM i DMARC del remitent.

Registre DNS per correu

Quin registre DNS indica els servidors de correu d'un domini? El registre MX (Mail Exchange).

Diferències entre SMTP, POP3 i IMAP

• SMTP: protocol d'enviament i enrutament. Serveix per "empendre" (push) el correu des del client al servidor i entre servidors.
• POP3: protocol de recepció que serveix per descarregar el correu al client local (normalment el missatge s'esborra del servidor un cop descarregat; no és l'adequat per a múltiples dispositius).
• IMAP: també de recepció, però sincronitza i gestiona els correus directament al servidor (permet crear carpetes, marcar com a llegit, etc., i tots els dispositius veuen l'estat comú).

RA4: administració de serveis de transferència d'arxius

Protocols alternatius a FTP

Dos protocols alternatius que permeten transferir arxius que no siguin FTP: SFTP, SCP, i també es poden usar HTTP / HTTPS per descàrregues/servicis web.

Tècniques d'autenticació per a serveis FTP

Tres tècniques que permeten autenticar usuaris al servei FTP:

• Usuaris anònims (accés limitat i sovint amb restriccions).
• Usuaris locals del sistema (comptes del sistema operatiu).
• Usuaris virtuals (comptes gestionats per la configuració del servidor FTP, no necessàriament comptes del sistema).

Accés dels usuaris FTP als arxius del sistema

Els usuaris FTP podrien accedir a tots els arxius del sistema per defecte, però per seguretat no han de poder. Es configuren utilitzant la directiva chroot ("jaula"), que els tanca dins del seu propi directori home, impedint que puguin pujar de nivell per veure la resta del sistema operatiu.

Connexió de dades en FTP

Al protocol FTP la connexió de dades es manté sempre activa? No. L'FTP utilitza dues connexions:

• Connexió de control (port 21): es manté activa durant tota la sessió per enviar les comandes.
• Connexió de dades (port 20 o ports aleatoris): s'obre i es tanca cada vegada que s'envia/rep un arxiu o es llista un directori.

Passos per descarregar un arxiu en mode passiu (PASV)

1. El client es connecta al port 21 (control) del servidor.
2. El client envia la comanda PASV indicant que vol mode passiu.
3. El servidor respon donant la seva IP i un port aleatori lliure (>1023).
4. El client inicia la connexió de dades cap a aquella IP i port.
5. El client envia la comanda de descàrrega (RETR arxiu.txt) i el servidor envia les dades per aquest port obert.

Problemes amb IP privada i mode actiu

Quin problema existeix quan un client té una IP privada i es vol connectar a un servidor FTP públic usant el mode actiu?

En mode actiu, el client indica al servidor: "Connecta't a la meva IP X pel port Y per passar-me les dades". Si el client està darrere d'un NAT amb una IP privada (per exemple 192.168.x.x), el servidor públic no pot arribar a aquesta IP privada a través d'Internet, així que la connexió de dades falla a causa del tall (firewall/router) del client.

Vulnerabilitats del servei FTP

Les principals vulnerabilitats són:

• Transmissió en text pla (sense xifrar) de la informació, incloent usuaris i contrasenyes.
• Facilitat per als sniffers (interceptació de dades) i atacs de força bruta.
• Possibles atacs específics com FTP bounce attacks.

RA1: administració de serveis de resolució de noms (DNS)

Delegació de zona

Què s'entén per una delegació de zona? És el procés de traspassar l'autoritat (el control) d'una part de l'espai de noms d'un domini (un subdomini) a altres servidors de noms DNS diferents.

Transferència de zona mestre->esclau

En quines circumstàncies un servidor de nom mestre farà una transferència de zona a un servidor de noms esclau?

Quan l'esclau la sol·licita perquè el seu temps de "Refresh" ha caducat i comprova que el número de sèrie del SOA del mestre és superior (indicant canvis), o quan el mestre envia una notificació (NOTIFY) avisant que la zona s'ha actualitzat.

DNS dinàmic (DDNS)

Per a què serveix el DDNS? El DNS dinàmic (DDNS) serveix per actualitzar automàticament els registres DNS en temps real quan canvien les adreces IP, molt útil per a equips que reben la IP per DHCP i canvien sovint.

Servidors arrel (root servers)

Per què els servidors root-servers no fan consultes recursives per als clients? Perquè reben un volum de trànsit massiu. Si fessin consultes recursives per als clients es saturarien; per això només donen respostes autoritzades (o delegacions/referències als servidors TLD pertinents) i deixen la resolució completa al servidor DNS local del client.

RA3: administració de serveis web i HTTPS

Connexió segura amb HTTPS

Quins elements es necessiten per aconseguir una connexió segura amb HTTPS? Cal un certificat digital (SSL/TLS) instal·lat al servidor que inclou una clau pública, emès per una Autoritat Certificadora (CA) de confiança, i l'ús de claus criptogràfiques per establir la connexió xifrada.

Classificació de cookies segons la funció

Les cookies es poden classificar en:

• Tècniques / estrictament necessàries
• De preferències / personalització
• D'anàlisi / rendiment
• De publicitat / seguiment

Campos d'una cookie i la seva funció

Quins camps fa servir una cookie i per a què serveixen?

• Name i Value: nom i valor de la cookie.
• Domain: domini per al qual és vàlida.
• Path: camí dins del domini on és vàlida.
• Expires / Max-Age: caducitat o durada de la cookie.
• Secure: indica que només s'envia via HTTPS.
• HttpOnly: evita accés des de JavaScript al client.

Estructura d'una petició HTTP (exemple)

Estructura d'un missatge de petició HTTP:

• Línia de petició (Mètode, URL, Versió)
• Capçaleres (headers)
• Línia en blanc
• Cos (body, opcional)

Exemple:

GET /index.html HTTP/1.1
Host: www.exemple.cat
Accept-Language: ca-ES

Mètodes del protocol HTTP

Quines són les comandes (mètodes) del protocol HTTP? Els mètodes més comuns són:

GET, POST, PUT, DELETE, HEAD, OPTIONS, PATCH, TRACE

Evolució dels protocols HTTP

Quina ha estat l'evolució dels protocols HTTP?

• HTTP/0.9 i 1.0: molt bàsics.
• HTTP/1.1: va introduir keep-alive (connexions persistents).
• HTTP/2: introducció de multiplexació i compressió d'encapçalaments.
• HTTP/3: substitueix TCP per QUIC per millorar latència i recuperació d'errors.