Unterschiede

Hier werden die Unterschiede zwischen zwei Versionen angezeigt.

--- centos:mail_c7:zeyple [08.08.2016 13:31. ] – django
+++ centos:mail_c7:zeyple [18.11.2024 19:08. ] (aktuell) – Externe Bearbeitung 127.0.0.1
@@ Zeile 1: / Zeile 1: @@
 ====== Verschlüsselung von eMails mit Hilfe von Zeyple unter CentOS7 ======
+Verschlüsselung vertraulicher Daten dürfte in sensiblen Bereichen kaum mehr weg zu diskutieren sein. Sehr oft werden eMails genutzt, um einen Systemadministrator über Stati, (Fehl-)Funktionen und aussergewöhnliche Situationen zu informieren.
+<WRAP center round tip 90%>
+Besser als der Programm-Author //Cédric Félizard// des Encyption-Daemons **[[http://blog.infertux.com/2015/10/25/announcing-zeyple/|ZEYPLE]]** kann man es nicht besser beschreiben:
+<WRAP center round alert 100%>
+**//Why should I care? If you are a sysadmin who receives emails from various monitoring tools like Logwatch, Monit, Fail2ban, Smartd, Cron, whatever - it goes without saying that those emails contain lots of information about your servers. Information that may be intercepted by some malicious hacker sniffing SMTP traffic, your email provider, <insert your (paranoid) reason here>... Why would you take that risk - encrypt them all!//**
+\\
+</WRAP>
+</WRAP>
-<uml width=900 title="Verarbeitungsschritte einer eMail">
+In unserem Anwendungsbeispiel wollen wir alle eMails, die unsere Monitoring-Umgebung **[[centos:web_c7:icinga:start|Icinga 2]]** verschickt automatisch verschlüsseln, sofern die Nachrichten den geschützen Bereich der eigenen Infrastruktur verlässt.
+===== Kommunikationsablauf =====
+Die wesentlichen Kernaufgaben von **Zeyple** sind:
+  - Annahme der (__**un**__verschlüsselten) Nachrichten vom MTA((**M**ail **T**ransfer **A**gent)) (Postfix)
+  - Verschlüsseln der Nachrichten mit Hilfe des öffentlichen PGP Keys des Systemadministrators.
+  - Übergabe der (__verschlüsselten__) eMail an den MTA (Postfix)
+Nachfolgende Übersichsskizze zeigt diese Verarbeitungsschritte.
+<uml>
 skinparam defaultFontName Courier
@@ Zeile 36: / Zeile 55: @@
   note left
 From: icinga <icinga@nausch.org
-To: django@mailserver.guru
+To: django@nausch.org
 Subject: icinga 2 Service-Notification
 Date: Friday 17:25:30
@@ Zeile 96: / Zeile 115: @@
  note right of sendmail
 From: icinga <icinga@nausch.org
-To: django@mailserver.guru
+To: django@nausch.org
 Subject: icinga 2 Service-Notification
 Date: Friday 17:25:30
@@ Zeile 121: / Zeile 140: @@
 </uml>
+===== GitHub =====
+==== Download ====
+Bevor wir uns nun dieses Projekt auf unseren Rechner clonen, wechseln wir in das Prokekt-Verzeichnis unseres Servers.
+   # cd /usr/local/src
+Nun clonen wir das Projekt direkt in das Verzeichnis zeyple.
+   # git clone https://github.com/infertux/zeyple.git
+<code>Cloning into 'zeyple'...
+remote: Counting objects: 591, done.
+remote: Total 591 (delta 0), reused 0 (delta 0), pack-reused 591
+Receiving objects: 100% (591/591), 113.99 KiB | 0 bytes/s, done.
+Resolving deltas: 100% (315/315), done.</code>
+==== Update ====
+Möchten wir unsere lokale Installation updaten, so gehen wir in folgenden Schritten vor. Als erstes wechseln wir in das Verzeichnis **zeyple**.
+   # cd /usr/local/src/zeyple
+Anschließen führen wir einen **pull** gegen das [[https://github.com/infertux/zeyple.git|Projekt]] bei [[https://github.com/|GitHub]] durch.
+   # git pull
+Als erstes holen wir uns nun das
+===== Installation =====
+Zum Verschlüsseln der Nachrichten benötigen wir natürlich noch mind. folgende zwei Pakete **pygpgme** und **gnupg2**. Falls sich diese beiden Pakete noch nicht auf unserem Server befinden, installieren wir diese nun einfach mit Hilfe von **yum**.
+   # yum install pygpgme gnupg2 -y
+===== Konfiguration =====
+==== Zeyple-User anlegen ====
+Zum Speichern der benötigten PGP-Schlüssel benötigen wir einen eigenen User **zeyple**, den wir uns nun anlegen.
+   # adduser --system --no-create-home --shell /sbin/nologin zeyple
+==== PGP-Keys der Empfänger importieren ====
+Zum Ablegen benötigen wir nun noch ein Verzeichnis, welches wir wie folgt anlegen.
+   # mkdir -p /var/lib/zeyple/keys
+Nur der User zeyple soll Zugriff auf das Schlüsselmaterial bekommen. Wir passen also die Verzeichnisrechte entsprechend an und weisen das Verzeichnis dem User zeyple zu.
+   # chmod 700 /var/lib/zeyple/keys
+   # chown zeyple: /var/lib/zeyple/keys
+Nun können wir die öffentlichen PGP-Schlüssel der potentiellen Empfänger importieren. Haben wir den PGP public key in einer Datei lokal auf dem Server benutzen wir folgenden Aufruf.
+   # sudo -u zeyple gpg --homedir /var/lib/zeyple/keys --import /tmp/g33k@nausch.org.key.asc
+<code>gpg: keyring `/var/lib/zeyple/keys/secring.gpg' created
+gpg: keyring `/var/lib/zeyple/keys/pubring.gpg' created
+gpg: /var/lib/zeyple/keys/trustdb.gpg: trustdb created
+gpg: key 637EE91F: public key "Thomas Gelf <thomas@gelf.net>" imported
+gpg: Total number processed: 1
+gpg:               imported: 1  (RSA: 1)</code>
+Alternativ können wir den Schlüssel auch von einem öffentlichen PGP-Keyserver laden.
+   # sudo -u zeyple gpg --homedir /var/lib/zeyple/keys --keyserver hkp://keys.gnupg.net --search thomas@gelf.net
+<code>gpg: searching for "thomas@gelf.net" from hkp server keys.gnupg.net
+(1)	Thomas Gelf <thomas@gelf.net>
+bit DSA key 637EE91F, created: 2008-10-19
+Keys 1-1 of 1 for "thomas@gelf.net".  Enter number(s), N)ext, or Q)uit > 1
+gpg: requesting key 637EE91F from hkp server keys.gnupg.net
+gpg: /var/lib/zeyple/keys/trustdb.gpg: trustdb created
+gpg: key 637EE91F: public key "Thomas Gelf <thomas@gelf.net>" imported
+gpg: Total number processed: 1
+gpg:               imported: 1</code>
+==== zeyple Konfigurationsdatei ====
+Damit nun der zeyple encryption deamon weiss, wo er sein Schlüsselmaterial findet und wie dieser mit dem SMTP-Relayhost kommunizieren soll, müssen wir ihm ein paar Informationen bereitstellen. Hierzu wird die Konfigurationsdatei //**/etc/zeyple.conf**// verwendet. Wir kopieren uns daher die Beispielskonfigurationsdatei aus dem GitHUB-Projektverzeichnis nach //**/etc**//.
+   # cp /usr/local/src/zeyple/zeyple/zeyple.conf.example /etc/zeyple.conf
+Änderungen an dieser Datei sind in aller Regel nicht nötig.
+<file bash /etc/zeyple.conf>[zeyple]
+log_file = /var/log/zeyple.log
+[gpg]
+home = /var/lib/zeyple/keys
+[relay]
+host = localhost
+port = 10026
+</file>
+==== zeyple Logdatei ====
+Damit **zeyple** sein logfile auch beschreiben kann, müsseen wir dieses nun noch anlegen und mit den zugehörigen Rechten versehen.
+   # touch /var/log/zeyple.log
+   # chown zeyple: /var/log/zeyple.log
+==== Postfix Integration ====
+Zur Einbindung des //zeyple encyption gateway// in unseren Postfix MTA sind nun zwei Dinge erforderlich. Zur Übergabe an **zeyple** benötigen wir eine Content-Filter definition und zur Rückleitung einen SMTP-Daemon, auf dem **zeyple** dann die verschlüsselten Nachrichten dem Postfix MTA wieder übergibt.
+Diese beiden Definitionen nehmen wir nun als erstes in der Postfix Konfigurationsdatei //**/etc/postfix/master.cf**// vor. Wir öffnen diese Datei mit dem Editor unserer Wahl und fügen am ende folgende Zeilen ein.
+   # vim /etc/postfix/master.cf
+<file bash /etc/postfix/master.cf>...
+# Django : 2016-06-30 - Content-Scanner zur Übergabe der unverschlüsselten Nachrichten an das
+#          encryption gateway zeyple
+zeyple    unix  -       n       n       -       -       pipe
+      user=zeyple argv=/usr/local/src/zeyple/zeyple/zeyple.py ${recipient}
+# Django : 2016-06-30 - SMTP-Daemon (Rückkanal) bei dem das encyrption gateway zeyple die
+#          verschlüsselten Nachrichten wieder dem MTA zur weiteren Verarbeitung übergibt
+localhost:10026 inet  n       -       n       -       10      smtpd
+      -o content_filter=
+      -o receive_override_options=no_unknown_recipient_checks,no_header_body_checks,no_milters
+      -o smtpd_helo_restrictions=
+      -o smtpd_client_restrictions=
+      -o smtpd_sender_restrictions=
+      -o smtpd_recipient_restrictions=permit_mynetworks,reject
+      -o mynetworks=127.0.0.0/8,10.0.0.117/32
+      -o smtpd_authorized_xforward_hosts=127.0.0.0/8,10.0.0.117/32
+</file>
+Anschließend informieren wir noch Postfix, dass dieser den neu definierten Contentfilter auch verwenden soll. Hierzu tragen wir am Ende folgende Zeilen ein.
+   # vim /etc/postfix/main.cf
+<file bash /etc/postfix/main.cf>...
+# Django : 2016-06-30 - Definition des encryption gateways zeyple als Content-Filter
+content_filter = zeyple
+</file>
+Zur Aktivierung der Konfigurationsänderung starten wir nun den Postfix-Daemon einmal durch.
+   # systemctl restart postfix.service
+Den Status unseres Mailservers können wir wie gewohnt abfragen.
+   # systemctl status postfix.service -l
+<html><pre class="code">
+<font style="color: rgb(29, 180, 29)"><b>●</b></font> postfix.service - Postfix Mail Transport Agent
+   Loaded: loaded (/usr/lib/systemd/system/postfix.service; enabled; vendor preset: disabled)
+   Active: <font style="color: rgb(29, 180, 29)"><b>active (running)</b></font> since Tue 2016-08-09 10:01:21 CEST; 1min 23s ago
+  Process: 25123 ExecStop=/usr/sbin/postfix stop (code=exited, status=0/SUCCESS)
+  Process: 25141 ExecStart=/usr/sbin/postfix start (code=exited, status=0/SUCCESS)
+  Process: 25138 ExecStartPre=/usr/libexec/postfix/chroot-update (code=exited, status=0/SUCCESS)
+  Process: 25133 ExecStartPre=/usr/libexec/postfix/aliasesdb (code=exited, status=0/SUCCESS)
+ Main PID: 25215 (master)
+   CGroup: /system.slice/postfix.service
+           ├─25215 /usr/libexec/postfix/master -w
+           ├─25216 pickup -l -t unix -u
+           └─25217 qmgr -l -t unix -u
+Aug 09 10:01:21 vml000117.dmz.nausch.org systemd[1]: Starting Postfix Mail Transport Agent...
+Aug 09 10:01:21 vml000117.dmz.nausch.org postfix/postfix-script[25212]: starting the Postfix mail system
+Aug 09 10:01:21 vml000117.dmz.nausch.org postfix/master[25215]: daemon started -- version 2.11.8, configuration /etc/postfix
+Aug 09 10:01:21 vml000117.dmz.nausch.org systemd[1]: Started Postfix Mail Transport Agent.
+</font></pre>
+</html>
+===== Systemtest =====
+Nun ist es an der Zeit unsere Konfiguration zu testen. Als erstes schicken wir von der Konsole aus eine Testnachricht an eine Adresse, bei der wir zuvor den zugehörigen **[[/centos:mail_c7:zeyple#pgp-keys_der_empfaenger_importieren|PGP-Schlüssel importiert]]** hatten.
+   $ echo "very important top secret stuff" | mailx -s "secured message" thomas@gelf.net
+Im Logfile unseres Postfix MTA sehen wir die Abarbeitung dieser Nachricht.
+<code>Aug  9 10:39:40 vml000117 postfix/pickup[27862]: 6172B1811270: uid=1000 from=<django>
+Aug  9 10:39:40 vml000117 postfix/cleanup[28680]: 6172B1811270: message-id=<20160809083940.6172B1811270@vml000117.dmz.nausch.org>
+Aug  9 10:39:40 vml000117 postfix/qmgr[27863]: 6172B1811270: from=<django@nausch.org>, size=484, nrcpt=1 (queue active)
+Aug  9 10:39:40 vml000117 postfix/smtpd[28710]: connect from localhost[127.0.0.1]
+Aug  9 10:39:40 vml000117 postfix/smtpd[28710]: 8A6AE183645E: client=localhost[127.0.0.1]
+Aug  9 10:39:40 vml000117 postfix/cleanup[28680]: 8A6AE183645E: message-id=<20160809083940.6172B1811270@vml000117.dmz.nausch.org>
+Aug  9 10:39:40 vml000117 postfix/qmgr[27863]: 8A6AE183645E: from=<django@nausch.org>, size=2343, nrcpt=1 (queue active)
+Aug  9 10:39:40 vml000117 postfix/smtpd[28710]: disconnect from localhost[127.0.0.1]
+Aug  9 10:39:40 vml000117 postfix/pipe[28682]: 6172B1811270: to=<thomas@gelf.net>, relay=zeyple, delay=0.21, delays=0.02/0/0/0.18, dsn=2.0.0, status=sent (delivered via zeyple service)
+Aug  9 10:39:40 vml000117 postfix/qmgr[27863]: 6172B1811270: removed
+Aug  9 10:39:41 vml000117 postfix/smtp[28712]: 8A6AE183645E: to=<thomas@gelf.net>, relay=10.0.0.87[10.0.0.87]:25, delay=0.99, delays=0.01/0/0.01/0.98, dsn=2.0.0, status=sent (250 2.0.0 Ok: queued as 91DF3C00088)
+Aug  9 10:39:41 vml000117 postfix/qmgr[27863]: 8A6AE183645E: removed
+</code>
+Im Logfile des //**zeyple encryption daemon**// wird die Verarbeitung auch entsprechend dokumentiert.
+<code>2016-08-09 10:39:40,484 28857 INFO Zeyple ready to encrypt outgoing emails
+-08-09 10:39:40,486 28857 INFO Processing outgoing message <20160809083940.6172B1811270@vml000117.dmz.nausch.org>
+-08-09 10:39:40,486 28857 INFO Recipient: thomas@gelf.net
+-08-09 10:39:40,486 28857 INFO Trying to encrypt for thomas@gelf.net
+-08-09 10:39:40,514 28857 INFO Key ID: 5D3F54A8637EE91F
+-08-09 10:39:40,560 28857 INFO Sending message <20160809083940.6172B1811270@vml000117.dmz.nausch.org>
+-08-09 10:39:40,578 28857 INFO Message <20160809083940.6172B1811270@vml000117.dmz.nausch.org> sent</code>
+Verschicken wir nun eine Nachricht an einen Empfänger für den wir keinen PGP-Schlüssel haben, kann diese natürlich __nicht__ verschlüsselt werden.
+   $ echo "very important top secret stuff" | mailx -s "secured message" bigchief@omni128.de
+Im Logfile des //**zeyple encryption daemon**// wird die Verarbeitung auch entsprechend dokumentiert.
+<code>2016-08-09 10:43:16,882 29254 INFO Zeyple ready to encrypt outgoing emails
+-08-09 10:43:16,884 29254 INFO Processing outgoing message <20160809084316.BCE621811270@vml000117.dmz.nausch.org>
+-08-09 10:43:16,884 29254 INFO Recipient: bigchief@omni128.de
+-08-09 10:43:16,885 29254 INFO Trying to encrypt for bigchief@omni128.de
+-08-09 10:43:16,909 29254 INFO Key ID: None
+-08-09 10:43:16,909 29254 WARNING No keys found, message will be sent unencrypted
+-08-09 10:43:16,910 29254 INFO Sending message <20160809084316.BCE621811270@vml000117.dmz.nausch.org>
+-08-09 10:43:16,949 29254 INFO Message <20160809084316.BCE621811270@vml000117.dmz.nausch.org> sent</code>
+In der Postfix Logdatei wird der ordnungsgemäße Verarbeitungsablauf wie gewohnt festgehalten.
+<code>Aug  9 10:43:16 vml000117 postfix/pickup[27862]: BCE621811270: uid=1000 from=<django>
+Aug  9 10:43:16 vml000117 postfix/cleanup[29251]: BCE621811270: message-id=<20160809084316.BCE621811270@vml000117.dmz.nausch.org>
+Aug  9 10:43:16 vml000117 postfix/qmgr[27863]: BCE621811270: from=<django@nausch.org>, size=488, nrcpt=1 (queue active)
+Aug  9 10:43:16 vml000117 postfix/smtpd[29267]: connect from localhost[127.0.0.1]
+Aug  9 10:43:16 vml000117 postfix/smtpd[29267]: E4D1E183645E: client=localhost[127.0.0.1]
+Aug  9 10:43:16 vml000117 postfix/cleanup[29251]: E4D1E183645E: message-id=<20160809084316.BCE621811270@vml000117.dmz.nausch.org>
+Aug  9 10:43:16 vml000117 postfix/qmgr[27863]: E4D1E183645E: from=<django@nausch.org>, size=685, nrcpt=1 (queue active)
+Aug  9 10:43:16 vml000117 postfix/smtpd[29267]: disconnect from localhost[127.0.0.1]
+Aug  9 10:43:16 vml000117 postfix/pipe[29253]: BCE621811270: to=<bigchief@omni128.de>, relay=zeyple, delay=0.21, delays=0.05/0.01/0/0.15, dsn=2.0.0, status=sent (delivered via zeyple service)
+Aug  9 10:43:16 vml000117 postfix/qmgr[27863]: BCE621811270: removed
+Aug  9 10:43:17 vml000117 postfix/smtp[29269]: E4D1E183645E: to=<bigchief@omni128.de>, relay=10.0.0.87[10.0.0.87]:25, delay=0.64, delays=0.01/0.01/0.07/0.54, dsn=2.0.0, status=sent (250 2.0.0 Ok: queued as 0FE1EC00088)
+Aug  9 10:43:17 vml000117 postfix/qmgr[27863]: E4D1E183645E: removed</code>
+====== Links ======
+  * **[[centos:mail_c7:start|Zurück zum Kapitel >>Mailserverinstallation unter CentOS 7<<]]**
+  * **[[wiki:start|Zurück zu >>Projekte und Themenkapitel<<]]**
+  * **[[http://dokuwiki.nausch.org/doku.php/|Zurück zur Startseite]]**