Защита сообщений дайджеста Хранилища

Сообщения дайджеста Хранилища могут содержать список сообщений, находящихся в персональном Хранилище пользователя, а также ссылки действий. Такие сообщения являются конфиденциальными. При их передаче и хранении необходимо обеспечить целостность и защиту от несанкционированного доступа.

Рекомендации по защите сообщений дайджеста Хранилища

• Обязательно используйте TLS-шифрование с проверкой сертификатов на всех участках отправки дайджеста Хранилища:
  • От встроенного MTA (Postfix, Exim) до MDA (например, Dovecot, Exchange).

    Настройка параметров MTA

    Для всех доменов, на которых у получателей дайджеста Хранилища есть почтовые ящики, установите режим TLS-шифрования:

    1. В окне веб-интерфейса приложения в главном меню выберите раздел Параметры → Встроенный MTA → Домены.
    2. В транспортной таблице выберите запись, для которой вы хотите установить режим TLS-шифрования соединения.

       Откроется окно Изменить домен.

    3. В блоке параметров Режим TLS-безопасности для исходящих сообщений выберите Изменить режим TLS-безопасности для этого домена.
    4. В раскрывающемся списке ниже выберите режим TLS-шифрования соединения Требовать TLS-шифрование и проверять сертификат.
    5. Нажмите на кнопку Сохранить.

    Если вы используете схему маршрутизации почтового трафика на основе заголовков сообщений, под условия которой попадают сообщения дайджеста Хранилища, также установите режим TLS-шифрования:

    1. В окне веб-интерфейса приложения выберите раздел Параметры → Встроенный MTA → Маршрутизация по заголовкам.
    2. В таблице записей маршрутизации выберите запись, которую вы хотите изменить.

       Откроется окно изменения маршрута.

    3. В блоке параметров Режим TLS-безопасности для исходящих сообщений выберите Изменить режим TLS-безопасности для этого домена.
    4. В раскрывающемся списке ниже выберите режим TLS-шифрования соединения Требовать TLS-шифрование и проверять сертификат.
    5. Нажмите на кнопку Сохранить.

  • От MDA до MUA (например, Mozilla Thunderbird, Microsoft Outlook, мобильные почтовые клиенты).
  • Принудительно включайте TLS-шифрование на каждом этапе. Допускается использование команды STARTTLS.
  • Используйте TLS  версии не ниже 1.2.

  Если между MTA и MDU есть промежуточные звенья, то они также должны выполнять вышеописанные рекомендации.

• Ограничение доступа к файловой инфраструктуре:
  • Доступ к очередям сообщений, модулям хранения (Maildir, mbox, базы данных) и директориям, в которых могут храниться сообщения дайджеста Хранилища, должен быть предоставлен по принципу наименьших привилегий: только тем пользователям и службам, которым это действительно необходимо.

Последствия несоблюдения рекомендаций

• Подмена сообщений.

  Злоумышленник может изменить содержимое сообщения дайджеста Хранилища, чтобы принудить получателя к выполнению необходимых действий.

• Утечка конфиденциальных данных.

  Без TLS-шифрования и контроля доступа злоумышленники могут получить информацию об отправителе, получателе, теме и дате сообщения, а также деталях персонального Хранилища и ссылках действий.

• Эксплуатация ссылки действия.

  Получив ссылку действия, злоумышленник может выполнить действие от имени пользователя – удалить или отправить сообщение из персонального Хранилища пользователя.