E-mail SMTP authentication.

Ik ben bezig met een eigen Linux applicatie mail te versturen via de Ziggo smtp server, en merkte (mbv wireshark netwerk monitor) dat email verstuurt mbv Outlook 2010 er helemaal geen authenticatie gebruikt hoeft te wordt als je Outlook zo instelt. Ik kan nergens vinden hoe je je eigen Ziggo email account zodanig kunt instellen dat authenticatie verplicht is. Ik kan nu onder mijn eigen naam email versturen die helemaal niet van mijzelf afkomstig is.

Iemand een idee ?

Thx,

HillPet.

Je kunt dat niet onder je "eigen account" instellen.

Als poort 25 voor smtp gewoon werkt dan is dat ongeautoriseerd. Je kunt daarvoor dus nergens instellen dat het verplicht zou moeten zijn (Ziggo weet n.l. niet eens wie je bent op poort 25).

Je kunt natuurlijk zelf in je Linux applicatie wel de authenticatie gebruiken en dus niet poort 25 maar poort 587 gebruiken. Maar niets dwingt je daartoe (of kun je instellen dat het jou daartoe dwingt).

(Of je moet natuurlijk je uitgaande poort 25 helemaal blokkeren)

Als ik zie en lees hoe Ziggo omgaat met hun eigen Spamfilter (ook mijn test-account is geblokkeerd geweest omdat deze gehackt zou zijn) zou ik eigenlijk verwachten dat ze poort 25 helemaal niet meer zouden gebruiken. Hun SMTP instellingen melden ondersteuning van plaintext authenticatie niet maar laten het wel toe. Als ik nu poort 587 implementeer (wat ik dus gedaan heb) doet me dat denken aan mijn zwaar beveiligde voordeur met 4 sloten terwijl mijn garagedeur van triplex is. Dat lijkt me zo tegenstrijdig met Ziggo's strenge Spamfilter beleid.

Ik vind het eigenlijk wel handig. Ziggo blokkeert wel poort 25 naar andere providers om misbruik te voorkomen (in ieder geval in het oud-Ziggo gebied). En op hun eigen netwerk kunnen ze misbruik detecteren. Zo sluiten ze je af bij misbruik van die poort (zoals je gemerkt hebt).

Tevens zal het zo zijn dat een hack(er) uitgaande poort 25 meestal zal gebruiken om uitgaand direct naar andere mailservers te versturen buiten het Ziggo-gebied (wat dus wel geblokkeerd is). Deze maken maar zelden gebruik van een smtp-server van de provider omdat dit te beperkt is (maar het komt wel eens voor waarna die smtp-server van Ziggo op de blacklist terecht komt).

Verder zal het een afweging zijn van Ziggo (gemak versus beveiliging) en aangezien ze binnen hun netwerk alles in eigen hand hebben is er op zich niets mis met het beschikbaar stellen van een open smtp-server op poort 25.

Een andere gedachte is ook wat te doen met bezoekers die inloggen op jouw WiFi en mail willen versturen. Die ga je geen wachtwoord geven maar laat je via poort 25/smtp.ziggo.nl mailen. Ze zouden natuurlijk gebruik kunnen maken van hun eigen internet-providers smtp maar dan moet die wel poort 587 open hebben voor geautoriseerde gebruikers (wat niet altijd het geval is). (Ik weet eigenlijk niet eens of dat op dit moment wel bij Ziggo kan, gebruik maken van poort 587/smtp.ziggo.nl op een ander netwerk.)

Hillpet zei:

…Ik kan nergens vinden hoe je je eigen Ziggo email account zodanig kunt instellen dat authenticatie verplicht is…

Klik om te vergroten...

Volgens mij staat op alle plaatsen met handleidingen voor mailinstellingen de versie met authenticatie als voorbeeld.
Overigens laat ziggo via een smtp-verbinding zonder authenticatie minder uitgaande mailtjes per dag toe, dan met authenticatie. Dit ook om het spammen een beetje lastiger te maken.

Verder is het mail concept zo ingericht dat je zelf elke willekeurige afzender kunt instellen. Dus kan iedereen al jouw naam als afzender misbruiken. Dat is hoe mail ooit opgezet is: iedereen is eerlijk.

Je loopt hier tegen het meest (althans dat vind ik) merkwaardige fenomeen aan van e-mail verkeer dat maar denkbaar is. Bijna alles is gelukkig afgeschermd met wachtwoorden. Terecht, want anders kan elke idioot de voor jou bestemde e-mail ophalen. Maar met verzenden via smtp kan alles zomaar!!!
Je kunt inderdaad zoals Briolet zegt als je kwaadwillend bent elk fantasie-account aanmaken wat je maar wilt. Dus ook de naam van iemand die je goed kent en die je een loer wil draaien. Zo kreeg ik een aantal jaren geleden regelmatig spam met zogenaamd me zelf als afzender. Natuurlijk gemakkelijk te blokkeren, maar ik was niet geamuseerd.

Een en ander betekent dat je poging tot authenticatie eigenlijk weinig zin heeft. Hooguit dat niemand zonder die authenticatie, dus zonder jouw toestemming, zo'n kunstje kan flikken op jouw PC.
Ook het nut van blokkeren van poort 25 naar andere providers is maar betrekkelijk. Je vult gewoon de servergegevens van Ziggo in en de naam van de klant van een andere provider en klaar is kees. Volkomen legaal vinden we dit overigens wel handig bij het beheren van de administratie van een vereniging. Anders zouden we hier ons eigen adres voor moeten gebruiken.

Ziggo zou het natuurlijk hetzelfde kunnen beveiligen als Google met zijn GMail doet. Daar kun je niet eens met een ander FROM e-mail adres iets versturen tot deze bevestigd is. En dan nog komt er in de headers te staan van wie de mail daadwerkelijk af komt.

Alleen denk ik niet dat de Ziggo helpdesk alle telefoontjes aankan om dit allemaal aan de gebruikers uit te leggen.

Zou kunnen ja. Maar wat bereik je er mee? Ziggo kan zoiets op welke manier dan ook dichttimmeren, maar dat is dan alleen maar bij je zelf en bij andere Ziggo klanten. Het heeft pas zin als alle providers dit doen. En dat is vrees ik nog heel lang wachten (ongeveer tot sintjuttemis).

Uiteraard kun je in geval van twijfel de header even bekijken, maar hoeveel procent van alle computergebruikers is hiermee bekend? Hoe zou het komen dat sommigen letterlijk nooit last hebben van welke ongein dan ook en anderen regelmatig? En om een misverstand weg te nemen, volslagen digibeten zijn lang niet altijd laagopgeleiden of ouderen!

In elk geval is mij weer eea duidelijk. Het was nog niet expliciet bij me opgekomen dat je zonder meer een mail kunt versturen onder een ander zijn/haar naam via poort 25.

Advies: verzend de mail niet via Ziggo, maar maak speciaal hiervoor even een separaat gmail-account aan. Zo ben je niet meer afhankelijk van Ziggo voor het versturen van mail.