ぷららメールサーバーがセキュリティ対策を実施

「ぷらら」からメールサーバーのセキュリティ強化を行う通知が来た。随分と急な話だ。


メールマニュアルのリンク先を確認してみたがどのようなセキュリティ強化策か解らない。
今までと何の変化も無い。


メール送信が出来なくなったら対策を考えれば良いかと放置していたら9月11日から開始と通告が来た。

通告されても、「セキュリティ強化」がどのような対策なのか何も記述されていない。

9月11日からセキュリティ強化を実施しましたと9月14日にメールで通知された。
「CRAM-MD5」を廃止すると記載されている。
最初から「書けよ！」


ホームページにも記載された
9月14日「更新」？
いつ記載されたんだい。8月25日の日時記載があるが25日には、探しても見つからなかった。


９月20日 PR-600MIの交換後、NVR510のsystemログを確認していたら「メール送信エラー」が発生している。
ドアフォンからのメール通知も止まっている。

NVR510のSystem log
2023/09/18 15:45:27: [MAIL] Create Service State(lua, ID: 6)
2023/09/18 15:45:27: [MAIL] [11]Create Task for Waiting Event(lua, ID: 6)
2023/09/18 15:45:27: [MAIL] Create Service State(mail, ID: 41)
2023/09/18 15:45:27: [MAIL] [11]Create task for Service waiting timer(ID: 41, 1 sec)
2023/09/18 15:45:28: [MAIL] [11]Mail Wait Service Is Timeout(mail: 1 sec)
2023/09/18 15:45:28: [MAIL] Create Service State(mail, ID: 42)
2023/09/18 15:45:28: [MAIL] [11]Create Task for Connecting Server(ID: 42)
2023/09/18 15:45:28: [MAIL] [11]Wait Connecting to Server...(0)
2023/09/18 15:45:28: [MAIL] [11]Connected Mail Service Server
2023/09/18 15:45:28: [MAIL] [11]Recv Msg: "220 msc14.plala.or.jp ESMTP server ready Mon, 18 Sep 2023 15:45:29 +0900"
2023/09/18 15:45:28: [MAIL] [11]Send Msg: "EHLO v6mail.plala.or.jp"
2023/09/18 15:45:28: [MAIL] [11]Recv Msg: "250-msc14.plala.or.jp"
2023/09/18 15:45:28: [MAIL] [11]Recv Msg: "250-AUTH=LOGIN PLAIN CRAM-MD5"
2023/09/18 15:45:28: [MAIL] [11]Recv Msg: "250-AUTH LOGIN PLAIN CRAM-MD5"
2023/09/18 15:45:28: [MAIL] [11]Recv Msg: "250-PIPELINING"
2023/09/18 15:45:28: [MAIL] [11]Recv Msg: "250-DSN"
2023/09/18 15:45:28: [MAIL] [11]Recv Msg: "250-8BITMIME"
2023/09/18 15:45:28: [MAIL] [11]Recv Msg: "250-STARTTLS"
2023/09/18 15:45:28: [MAIL] [11]Recv Msg: "250 SIZE 20971520"
2023/09/18 15:45:28: [MAIL] [11]Send Msg: "AUTH cram-md5"
2023/09/18 15:45:28: [MAIL] [11]Recv Msg: "334 PDIwMjMwOTE4MDY0NTI5LlNCRkYxNjI2My5tc2MxNC5wbGFsYS5vci5qcEB2Nm1haWwucGxhbGEub3IuanA+"
2023/09/18 15:45:28: [MAIL] [11]Send Msg: "c29tZW9uZUBzb21ld2hlcmUucGxhbGEub3IuanAgYzExNWExMjMzOWUyNTJmZDBkZDBhYjIzMGJjODAxOTE="
2023/09/18 15:45:28: [MAIL] [11]Recv Msg: "535 CRAM-MD5 not supported for someone@somewhere.plala.or.jp"
2023/09/18 15:45:28: [MAIL] Read Error(535 CRAM-MD5 not supported for someone@somewhere.plala.or.jp)
2023/09/18 15:45:28: [MAIL] [11]Mail SMTP Service Receive Error(28)
2023/09/18 15:45:28: [MAIL] [11]Send Msg: "QUIT"
2023/09/18 15:45:28: [MAIL] [11]Recv Msg: "221 msc14.plala.or.jp ESMTP server closing connection"
2023/09/18 15:45:28: [MAIL] [11]End Mail SMTP Process for Error
2023/09/18 15:45:28: [MAIL] [11]Close TCP(0)
2023/09/18 15:45:28: [MAIL] [11]Remove From Mail Service State List(mail:42)

AUTHで「LOGIN」「PLAIN」「CRAM-MD5」で認証しろと応答しているから「CRAM-MD5」で認証しようとすると「CRAM-MD5はサポートしていません」と。
何じゃこりゃ！

ぷららのIPv4メールサーバ、IPv6メールサーバーについてポート465/SSL、サブミッションポート587/startTLSについて確認してみた。

secure.plala.or.jp
$ echo -e "ehlo\nquit" | openssl s_client -4 -connect secure.plala.or.jp:465 -quiet -crlf 2>/dev/null
220 msc13.plala.or.jp ESMTP server ready Wed, 20 Sep 2023 15:14:39 +0900
250-msc13.plala.or.jp
250-AUTH=LOGIN PLAIN CRAM-MD5
250-AUTH LOGIN PLAIN CRAM-MD5
250-PIPELINING
250-DSN
250-8BITMIME
250 SIZE 20971520
221 msc13.plala.or.jp ESMTP server closing connection

$ echo -e "ehlo\nquit" | openssl s_client -6 -connect secure.plala.or.jp:465 -quiet -crlf 2>/dev/null
220 msc13.plala.or.jp ESMTP server ready Wed, 20 Sep 2023 15:14:49 +0900
250-msc13.plala.or.jp
250-AUTH=LOGIN PLAIN CRAM-MD5
250-AUTH LOGIN PLAIN CRAM-MD5
250-PIPELINING
250-DSN
250-8BITMIME
250 SIZE 20971520
221 msc13.plala.or.jp ESMTP server closing connection

$ echo -e "ehlo\nquit" | openssl s_client -4 -connect secure.plala.or.jp:587 -starttls smtp -quiet -crlf 2>/dev/null
250-msc14.plala.or.jp
250-AUTH=LOGIN PLAIN CRAM-MD5
250-AUTH LOGIN PLAIN CRAM-MD5
250-PIPELINING
250-DSN
250-8BITMIME
250 SIZE 20971520
221 msc14.plala.or.jp ESMTP server closing connection

$ echo -e "ehlo\nquit" | openssl s_client -6 -connect secure.plala.or.jp:587 -starttls smtp -quiet -crlf 2>/dev/null
250-msc14.plala.or.jp
250-AUTH=LOGIN PLAIN CRAM-MD5
250-AUTH LOGIN PLAIN CRAM-MD5
250-PIPELINING
250-DSN
250-8BITMIME
250 SIZE 20971520
221 msc14.plala.or.jp ESMTP server closing connection

secureサーバは、DNSにAAAAアドレスが設定されていない。macOSのopensslは、-6指定でも勝手に-4で接続してしまう。Debian10のopensslは、「No address associated with hostname connect:errno=22」となる。「V6mail」サーバーも確認してみた

v6mail.plala.or.jp
$ echo -e "ehlo\nquit" | openssl s_client -4 -connect v6mail.plala.or.jp:465 -quiet -crlf 2>/dev/null
220 msc14.plala.or.jp ESMTP server ready Wed, 20 Sep 2023 14:48:13 +0900
250-msc14.plala.or.jp
250-AUTH=LOGIN PLAIN CRAM-MD5
250-AUTH LOGIN PLAIN CRAM-MD5
250-PIPELINING
250-DSN
250-8BITMIME
250 SIZE 20971520
221 msc14.plala.or.jp ESMTP server closing connection

$ echo -e "ehlo\nquit" | openssl s_client -6 -connect v6mail.plala.or.jp:465 -quiet -crlf 2>/dev/null
220 msc14.plala.or.jp ESMTP server ready Wed, 20 Sep 2023 14:48:25 +0900
250-msc14.plala.or.jp
250-AUTH=LOGIN PLAIN CRAM-MD5
250-AUTH LOGIN PLAIN CRAM-MD5
250-PIPELINING
250-DSN
250-8BITMIME
250 SIZE 20971520
221 msc14.plala.or.jp ESMTP server closing connection

$ echo -e "ehlo\nquit" | openssl s_client -4 -connect v6mail.plala.or.jp:587 -starttls smtp -quiet -crlf 2>/dev/null
250-msc14.plala.or.jp
250-AUTH=LOGIN PLAIN CRAM-MD5
250-AUTH LOGIN PLAIN CRAM-MD5
250-PIPELINING
250-DSN
250-8BITMIME
250 SIZE 20971520
221 msc14.plala.or.jp ESMTP server closing connection

$ echo -e "ehlo\nquit" | openssl s_client -6 -connect v6mail.plala.or.jp:587 -starttls smtp -quiet -crlf 2>/dev/null
250-msc13.plala.or.jp
250-AUTH=LOGIN PLAIN CRAM-MD5
250-AUTH LOGIN PLAIN CRAM-MD5
250-PIPELINING
250-DSN
250-8BITMIME
250 SIZE 20971520
221 msc13.plala.or.jp ESMTP server closing connection

「secure」サーバーも「v6mail」サーバーも実態は同じようだ。

DNS
$ host v6mail.plala.or.jp
v6mail.plala.or.jp has address 60.36.166.240
v6mail.plala.or.jp has IPv6 address 2400:7800:0:502f::240

$ host secure.plala.or.jp
secure.plala.or.jp has address 60.36.166.237

secureサーバーもIPv6対応していますとアナウンスされているがDNSのAAAAにIPv6アドレスを設定していない。誰が使えるの！

サブミッションポート587に「startTLS」なしで接続（telnet接続）してみた

一応「LOGIN」とか「PLAIN」で接続出来そう。やってみた

auth login


auth plain


「セキュリティ強化」ならこれも廃止したら？と言いたいところだ。

（2023年9月26日 追記）
セキュリティ対策されたSMTP-AUTH CRAM-MD5の振舞

someone@somewhere.plala.or.jp（存在しないユーザーID）
WAYWAYWAY（適当なパスワード）
で応答すると当然Authentificationされない。

auth cram-md5
334 PDIwMjMwOTI1MjM1NzUzLkdNS1Q2NzczLm1zYzEyLnBsYWxhLm9yLmpwQG9wZW5zc2wuY2xpZW50Lm5ldD4=
c29tZW9uZUBzb21ld2hlcmUucGxhbGEub3IuanAgYzVmYTY3MzkwYWQ4MTlmYjhmZTg1YTQwODlmMWM1YTc=
535 Authentication failed
------------------------------------------
realuser@realserver.plala.or.jp（存在するユーザーID）
WAYWAYWAY（適当なパスワード）
で応答するとパスワードが適当でも認証された時と同じ応答が返される。

auth cram-md5
334 PDIwMjMwOTI1MjM1OTMxLlNKTFkxNjI2My5tc2MxNC5wbGFsYS5vci5qcEBvcGVuc3NsLmNsaWVudC5uZXQ+
cmVhbHVzZXJAcmVhbHNlcnZlci5wbGFsYS5vci5qcCAwNWY3YTUyYmZkZDk0MDkwM2Q3NTZhNjE5MWYzM2YxYg==
535 CRAM-MD5 not supported for realuser@realserver.plala.or.jp

「 ぷららメールサーバーがセキュリティ対策を実施」
「Panasonic ドアフォン VL-SWH705KLのメール通知が停止した」
「Panasonic ドアフォン VL-SWH705KLのメール通知が停止した-調査結果」
「Panasonic ドアフォン VL-SWH705KLのメール通知が停止した-調査結果#2」
「ぷららメールサーバーのセキュリティ対策とPanasonicドアフォンメール通知」