摘要：不光是用于产品向客户的通知服务更多的是用在企业内部的信息工具，比如我们就有等等非常多的开源工具，都需要配置来实现内部信息的联动。
背景
smtp 是一种常见的服务，提供了程序自动化邮件外发的可能。不光是用于产品向客户的通知服务；更多的是用在企业内部的信息工具，比如我们就有 sentry / confluence / zulip 等等非常多的开源工具，都需要配置 smtp 来实现内部信息的联动。
当前最简单的邮箱使用方式是使用开放的邮箱服务，比如现在很多小型企业在使用的企业邮箱，可以配置一个专门的账号来提供发信服务。但是，这种方式存在非常大的安全隐患。
直接使用公开的账号，很容易带来安全问题：
自动化发信的程序需要用户名和密码，这些信息需要存储在代码或者配置中
有经验的程序员知道将敏感信息分离，并且存储在代码库外；然而新员工，或者安全意识不强的同事很容易将这些信息入库
更糟糕的是，即使三令五申，有些程序员还是会无意的把代码放到 github 上，这些是公开可以访问的
然后就炸了
当邮箱账号一泄露（一般 smtp 账号同样能登陆邮件账户或者使用 pop3 协议），邮件里面隐藏的一些敏感信息（尤其是 confluence 的通知邮件）会带来更多的泄露，严重的可能会影响到我们竞选总统。
一种解决方案是，加强所谓的安全流程，同时通过一些工具来验证辅助（比如大家都在做的 github 扫描），但这种方式过于被动，而且无法从根本上来解决问题。技术上的问题，还得寻求技术方案来解决。
解决方案其实传统的工具就可以解决这个问题，我们就采用了 postfix 作 smtp 中转：
配置 postfix 作为 smtp replay 服务，将发信方与真正的邮件服务器隔离开来
发信方与 postfix 使用公司内部账号（甚至无账号）进行内网通信，这样即使账号泄露，也无法用来登陆邮箱获取信息；同时，由于 postfix 是内部的服务，可以更灵活的配置防火墙
postfix 和 smtp 服务之间仍然使用 smtp 账号，但这里只有系统管理员才需要知道账户，相对安全。另外，还需要进行自动删信，禁用 pop3，微信登陆等手段来加强，这个 163 邮箱，qq 邮箱都有不同的配置，请自行设置
说白了，就是靠代理解耦来解决问题。熟悉我们的人估计一看就明白，因为我们很多问题都是靠这种方式来解决。下面简要描述下配置供参考。
sudo vim /etc/postfix/main.cf #####以下是main.cf配置内容 relayhost = [$SMTP_HOST]:25 smtp_sasl_auth_enable = yes smtp_sasl_password_maps = hash:/etc/postfix/sasl_passwd smtp_sasl_security_options = noanonymous #配置重写规则，强制修改发送邮件地址，防止smtp服务拒收邮件 ender_canonical_maps = pcre:/usr/local/etc/postfix/sender_canonical_map #####以上是main.cf配置内容 sudo vim /etc/postfix/sender_canonical_map #####以下是main.cf配置内容 /.*/ 发信smtp用户名 #####以上是main.cf配置内容 sudo vim /etc/postfix/sasl_passwd #####以下是sasl_passwd配置内容 [$SMTP_HOST]:25 用户名:密码 #####以下是sasl_passwd配置内容 sudo postmap /etc/postfix/sasl_passwd sudo service postfix resart # done自动化集成
添加自己的 smtp 中转服务，还可以配置无账号登陆的方式，这样在命令行中调用服务将更加简单，这也是我们搭建 postfix 的另外一个原因。这里介绍两种方式：
1、通过 curl 命令发送邮件最新版的 curl 命令支持 smtp / smtps , 不过发型版自带的比较老，需要自己下载最新版本进行编译安装，使用的话相对简单。
/usr/local/bin/curl -s -v --url "smtp://xxxx:25" --mail-from "sender@bigsec.com" --mail-rcpt "receiver@bigsec.com" --upload-file mail.txt # content of mail.txt From:xxx@bigsec.com To:xxx@bigsec.com Subject: curl发送邮件标题 xxxxx2、通过传统的mailx命令来发送邮件
其实依旧是相对传统的命令，比如 mailx 就能满足我们的需要。不过安装起来略显麻烦，需要在每个发行版找各自合适的包，比如 ubuntu 就应该安装 heirloom-mailx ，使用起来则更加简单：
echo "test" |mail -S smtp=xxxx -r sender@bigsec.com -s subject receiver@bigsec.com
上面一条命令就可以将信息通过邮件进行发送。
我们更加倾向于采用第二种，因为比较简单：这使得我们在大量的脚本中能很方便的集成邮件通知功能。
本文描述了通过 postfix 做 smtp relay 的方式来解决账号泄露的风险，这也再一次验证了两点：
代理是王道，帮懒人快速解决问题。
技术遇到的问题必须用技术来解决，这比所谓的架构 / 流程要靠谱的多。
陆文，岂安科技联合创始人，首席产品技术官
曾担任PayPal资深高级工程师。参与岂安科技所有产品线的架构和设计，带领团队在数据挖掘、多媒体分析、跨数据中心分布式系统、高性能实时大数据计算、海量数据采集等领域进行前沿研究和产品化，推动岂安成为国内领先的大数据解决方案提供商。
反爬虫
来源：www.bigsec.com
文章版权归作者所有，未经允许请勿转载,若此文章存在违规行为，您可以联系管理员删除。
转载请注明本文地址：https://www.ucloud.cn/yun/40622.html
摘要：合规在像美国这样对证券和投资有着严格监管的国家尤其重要。在美国，需获得和其他监管机构批准的许可。的应用领域资产证券化作为发展的一个主要拓展点，未来如何能够成为落地应用是关键节点。从具体应用领域来看，对资产证券化行业带来了许多的变化。 近期的区块链金融创新领域，各种投资手段频频上场。风靡一时的稳定币还没有火爆太长时间，STO便横空出世，占据了各大头条的眼球。几乎在一瞬间，STO成为区...
摘要：据估计，目前的生态系统市场价值大约为，，该研究公司预计，这一数字到年将迅速增加到亿美元。超人气初创公司前两名他们做什么主要为企业提供相关的大数据解决方案，并且将的袁术数据进行转换，为企业提供更智能的商业指导。 这已经不再是什么秘密了，全球的数据正在以几何数字增长，借助这股数据浪潮在全球范围内迅速成长起来一大批Hadoop的初创型公司。作为Apache的一个开源分支Hadoop几乎已经成为了大...
摘要：它促进统一元数据管理和跨应用程序强制执行。而研究和咨询公司使用的混合事务分析处理一词，应该是最确切的。 追寻终极数据库 摇晃的数据库钟摆 IT行业的技术决策就像一只来回摇晃的钟摆。 大约十年前，新型网络公司开始收集比以往任何时候都更多的数据，他们迫切需要将数据库系统的扩展性能和处理性能提升到一个新的水平，当时已经出现了能在大规模并行处理(MPP)构架上扩展的关系型数据库管理系统(R...
摘要：它促进统一元数据管理和跨应用程序强制执行。而研究和咨询公司使用的混合事务分析处理一词，应该是最确切的。 追寻终极数据库 摇晃的数据库钟摆 IT行业的技术决策就像一只来回摇晃的钟摆。 大约十年前，新型网络公司开始收集比以往任何时候都更多的数据，他们迫切需要将数据库系统的扩展性能和处理性能提升到一个新的水平，当时已经出现了能在大规模并行处理(MPP)构架上扩展的关系型数据库管理系统(R...
阅读 2470·2021-09-09 09:33
阅读 2640·2019-08-30 15:54
阅读 2682·2019-08-30 14:21
阅读 2232·2019-08-29 17:15
阅读 3455·2019-08-29 16:13
阅读 2578·2019-08-29 14:21
阅读 2390·2019-08-27 11:05
阅读 3298·2019-08-26 13:25
