Mejorando la seguridad del E-mail con Procmail

Introduccion

Si usted siguio un link en un mensaje que decia SECURITY WARNING y llego a esta pagina, entonces se estara preguntando que es lo que ocurre.

En pocas palabras, el administrador del servicio de correo electronico del sitio al que usted envio un mensaje ha puesto en funcionamiento ciertas politicas de seguridad con respecto a los tipos de attachments que se aceptan alli, y estan rechazando attachments considerados potencialmente peligrosos. Si usted toma en consideracion los costos estimados para las instituciones ocasionados por los gusanos de email de Microsoft Outlook durante 2001 (alrededor de U$S 8.000.000.000 - cifra tomada de un articulo del sitio web de la CNN de agosto de 2001), entonces podra comprender las razones para actuar de esta manera. 

Usted puede argumentar que "No he enviado tal mensaje!". Bien, es muy posible que usted este infectado con uno de los gusanos mencionados, y que el mismo este atacando a otros sin su conocimiento. El gusano toma su identidad, en la espera que gente que lo conozca confie en el mensaje "enviado" por usted y de este modo infecte sus computadoras al abrir el archivo adjunto que "usted" supuestamente enviara.

Los gusanos de Microsoft Outlook mas comunes en la segunda mitad del 2001 fueron Goner, BadTrans, SirCam, Aliz, Magistr, Apost y Nimda. Visite los links anteriores y obtenga las herramientas para remover los mismos. Para protegerse a usted mismo de futuros ataques, instale un software antivirus (Norton 200 es uno bueno) y mantenga actualizada la base de datos de virus del mismo. Ademas, asegurese que su antivirus no excluya ningun tipo de archivos del procedimiento de escaneo.

Si alguna vez recibe un mensaje que indica portar una actualizacion del sistema operativo o de algun programa aplicativo, NO CONFIE en el attachment. Las compañias vendedoras de software no distribuyen parches o actualizaciones via correo electronico, aunque pueden anunciar por ese medio a traves de listas administradas por ellos. Si alguna vez recibe un mensaje que dice "Tengo un virus, aqui esta la copia de la herramienta para eliminarlo", NO CONFIE en el attachment. Esto es exactamente lo que haria un virus para autopropagarse en orden a obtener su confianza y que usted ejecute el attachment para infectar su equipo.

Usted puede preguntar "Porque no puedo abrir mis attachments?". Bien, si el nombre del attachment tiene la palabra "DEFANGED" en el mismo, entonces su administrador de email esta forzando una politica de seguridad para protegerlo a usted de este tipo de ataques. El contenido del attachment no a sido alterado en ninguna forma. Lo que ha ocurrido es que el nombre del archivo adjunto ha sido cambiado para protegerlo del acto reflejo de hacer doble click en el nombre al usar una interfaz tipo GUI para abrir el mismo.

Este es el modo en que estos gusanos se propagan. Aprovechan el acto reflejo del doble-click. Uno dice "Hey, un attachment" {click-click} . Si usted se detiene a pensar primero, se daria cuenta que ese mensaje es de un extraño que no tiene una buena  razon para enviarle un archivo. Esta es una razon para cambiar el nombre del archivo, hacer que usted pare y piense si es que deberia hacer doble click alli.

La seguna razon es que, si usted posee un programa antivirus, el acto de guardarlo en disco le da una chance al antivirus de poder escanear el archivo. Si lo abre directamente desde el programa de email podria no hacerlo.

La tercera razon es que Microsoft en su infinita sabiduria decidio que usted no necesita realmente ver todo el nombre del archivo. Windows tiene una opcion llamada "esconder extensiones de archivo conocidas". Esta opcion se encuentra activada por defecto. El gusano atacante toma ventaja de esta conducta nombrando al attachment algo asi como THISISAWORM.TXT.EXE, lo que Windows muestra como THISISAWORM.TXT. De esta forma mucha gente asumira que es seguro abrirlo dado que termina en .TXT, solo que el nombre verdadero del archivo (que Windows solicito esconde para ayudarle a usted) no termina en .TXT, asi que cuando hace doble-click no obtiene usted el Notepad, sino que infecta su equipo y el gusano comienza inmediatamente a atacar a otros.
Algo muy util que puede hacer para protegerse a si mismo es deshabilitar el ocultamiento del nombre completo. Abra Mi Computadora, haga click en Ver -> Opciones de Carpeta, elija la solapa Ver y quite el check de "esconder extensiones de archivo para tipos conocidos".
El cambiar el nombre del archivo hace que el nombre aparezca completo, por lo que al recibir un attachment llamado THISISAWORM.TXT.12345DEFANGED-EXE hara sonar campanas de alarma en su cabeza.
A veces puede suceder que attachments legitimos tengan su nombre cambiado, por ejemplo THISISAWORM.ETC.12345DEFANGED-DOC puede ser un documento seguro.
Para guardar el archivo y corregir el nombre haga click con el boton derecho sobre el mismo y elija "guardar como". Un cuadro de dialogo se abrira y podra guardar el archivo con el nombre correcto, eliminando la parte que dice "12345DEFANGED-" para luego abrirlo normalmente.
Por defecto el Sanitizer usa seteos de seguridad muy estrictos, a veces muy estrictos para un proveedor de servicios internet. Si usted es un usuario hogareño, y archivos tipo .EML y .VCF llegan con sus nombres cambiados, entonces por favor contacte a su proveedor o mesa de ayuda para que reduzcan un poco los niveles de seguridad implementados.

Por favor tenga en cuenta:
Quien decide las politicas de seguridad el servicio de correo electronico es su administrador, no yo. Si usted esta teniendo problemas con el cambio de los nombres de los attachments, por favor dirijase a el. Yo puedo ayudarlo a corregir sus seteos de seguridad, pero no puedo cambiar los mismos si usted se encuentra molesto por el cambio de nombres. Ademas, el Sanitizer no es un servicio de suscripcion, o sea que no puedo hacer algo como desuscribilo a usted. Es algo que funciona en el servidor donde usted tiene su cuenta de correo.
Puedo ser contactad en <jhardin@impsec.org> - Usted puede visitar mi sitio web  <http://www.impsec.org/~jhardin/>.