![由于客户端缺乏 CRAM-MD5 支持,因此从 Postfix conf 中删除了“noplaintext”。这是否不安全?](https://linux22.com/image/607447/%E7%94%B1%E4%BA%8E%E5%AE%A2%E6%88%B7%E7%AB%AF%E7%BC%BA%E4%B9%8F%20CRAM-MD5%20%E6%94%AF%E6%8C%81%EF%BC%8C%E5%9B%A0%E6%AD%A4%E4%BB%8E%20Postfix%20conf%20%E4%B8%AD%E5%88%A0%E9%99%A4%E4%BA%86%E2%80%9Cnoplaintext%E2%80%9D%E3%80%82%E8%BF%99%E6%98%AF%E5%90%A6%E4%B8%8D%E5%AE%89%E5%85%A8%EF%BC%9F.png)
我在 POSTFIX 中启用了 TLS 支持,并将身份验证委托给 Dovecot,它提供“plain login cram-md5”方法。我的 Postfix conf 中的 SASL 部分有
smtpd_sasl_local_domain =
smtpd_sasl_auth_enable = yes
smtpd_sasl_security_options = noanonymous, noplaintext
smtpd_sasl_type = dovecot
broken_sasl_auth_clients = yes
smtpd_recipient_restrictions = permit_sasl_authenticated,permit_mynetworks,reject_unauth_destination
smtpd_sasl_path = private/auth-client
不幸的是,一些连接的邮件客户端是 Outlook Express 和 Gmail,它们都不支持 CRAM-MD5。为了允许这些客户端进行中继,我不得不删除 noplaintext 约束并使用
smtpd_sasl_security_options = noanonymous
相反。这是否意味着即使启用了 TLS,Outlook Express 和 Gmail 等客户端也只会以纯文本形式发送其凭据?如果是,我有什么选择?
谢谢你!
答案1
由于您的连接是通过 TLS 加密的,因此纯文本身份验证应该不存在任何安全问题。大多数邮件提供商都使用纯文本身份验证而不是 TLS/SSL。问题在于有人嗅探连接内容的可能性有多大。
但您必须确保没有加密就无法连接。您还应该使用来自受信任 CA 的证书。