Whatsapp möchte E-Mails ablösen

Nach aktuellen Berichten (#1, #2, #3) , plant Whatsapp die gute alte E-Mail zu verdrängen. Selbst vom “Todesstoß” oder “Frontalangriff” ist die Rede.Die Grundidee scheint, auch Dokumente wie PDFs über Whatsapp verschicken zu können. Ob das nun eine echte Revolution darstellt?

Möchte man seine Daten in die Hand eines einzelnen Anbieters geben? Liest der mit?

Whatsapp hatte in der Vergangenheit zahlreiche Sicherheitslücken und Datenschutz-Themen? Hat man die schon vergessen?

 

Wir glauben weiterhin, dass ein eigener Mail-Server auch die Zukunft sein wird – z.B. mit AXIGEN.

 

SMTP Auth über Telnet testen (Versand über SMTP-Auth)

Wenn Sie den SMTP-Versand Ihres Mailservers oder gezielt SMTP-Auth testen wollen, so bietet sich ein Test über Telnet an.

Sie benötigen:

  • Eine Linux-Maschine mit installiertem Perl
  • Gültige Zugangsdaten (Benutzername und Passwort)
  • Einen Telnet-Client

Schritt 1: Erstellen des Base64-codierten Benutzernamen und Passworts

SMTP AUTH LOGIN erfordert, dass Benutzername und Passwort als Base64 Zeichenkette codiert werden. Dies verhindert, dass Benutzername und Passwort im Klartext übermittelt werden. Die folgenden Befehle konvertieren die Zeichenketten. Wichtig: Das @ Symbol muss maskiert (escaped) werden!

webserver:~# perl -MMIME::Base64 -e 'print encode_base64("benutzer\@domain.tld")'
YmVudXR6ZXJAZG9tYWluLnRsZA==
webserver:~# perl -MMIME::Base64 -e 'print encode_base64("passwort")'
cGFzc3dvcnQ=

Schritt 2: Verbindung zum Mail-Server aufbauen:

Starten Sie nun Ihren Telnet-Client und verbinden sich zum Mailserver. Nach dem Verbindungsaufbau setzen Sie das Kommando ehlo ab, um zu prüfen, ob Auth-Login aktiviert ist.

# telnet mailserver.axigen.eu 25
220 mailserver.axigen.eu Axigen ESMTP ready
ehlo foo.tld
250-webserver501.huestel.eu Axigen ESMTP hello
250-PIPELINING
250-AUTH PLAIN LOGIN CRAM-MD5 DIGEST-MD5 GSSAPI
250-AUTH=PLAIN LOGIN CRAM-MD5 DIGEST-MD5 GSSAPI
250-8BITMIME
250-BINARYMIME
250-CHUNKING
250-SIZE 104857600
250-STARTTLS
250-HELP
250 OK

Schritt 3 : Login über SMTP-Auth

Über den Befehl Auth-Login weisen Sie den Mailserver an, jetzt die Authentifizierung anzunehmen. Er antwortet jeweils mit einer Base64-codierten Antwort. Geben Sie nachfolgend die beiden Base64 codierten Zeichenketten ein (Benutzername und dann nach der ersten Antwort das Passwort).

AUTH LOGIN

334 VXNlcm5hbWU6 (Server liefert eine Base64-codierte Antwort)
YmVudXR6ZXJAZG9tYWluLNrMj4=
334 UGFzc3dvcmQ6 (Server liefert eine Base64-codierte Antwort)
cGFzc3dvdsa=
235 Authentication successful

Schritt 4: Versand einer Testmail

Sie können nun eine Testmail versenden:

MAIL FROM:<test@axigen.tld>
 250 Sender accepted
 RCPT TO:<blog@mailserverblog.de.www148.your-server.de>
 250 Recipient accepted
 DATA
 354 End data with <CR><LF>.<CR><LF>
 Subject: Testmail
Das ist eine Testmail.

.

 250 Set mail state to SENT
 250 OK
 RSET
 250 Reset done
 QUIT
 221 Axigen ESMTP is closing connection
 221 Good bye.

Kopien aller eingehenden und ausgehenden Nachrichten erzeugen

Wenn Sie Ihre E-Mails direkt beim Empfang / Versand archivieren möchten und alle versendeten oder empfangenen Mails in ein Archivpostfach kopieren möchten (dort können Sie die Mails bspw. mit Mailstore abholen), gehen Sie wie folgt vor:

Im Webadmin:
1. Erstellen Sie ein neues AXIGEN Konto, z.B. archiv@domain.tld
2. Wechseln Sie in den Bereich: Security&Filtering => Acceptance and Routing und dort auf Add Acceptance / Routing Rule:
3. Erstellen Sie die erste Regel für alle ausgehenden Nachrichten:

Wählen Sie dort als Regel aus: Sender Domain – RegEx – . (Punkt)

und Add Receipient (Ihr Account) und den Ordner (z.B. Inbox)

2015-08-04_2330

und speichern diese.

4. Erstellen Sie eine Regel für alle eingehenden Nachrichten:
Wählen Sie dort als Regel aus: Receipient Domain – RegEx – . (Punkt)
und Add Receipient (Ihr Account) und den Ordner (z.B. Inbox)

2015-08-04_2330_001

und speichern diese.

AXIGEN iX ist verfügbar

So eine großartige Nachricht muss auch hier erwähnt werden: Nach mehr als 6 Monaten harter Arbeit ist es nun soweit: AXIGEN iX ist verfügbar. Wir zeigen Ihnen hier, was Sie erwartet und wie Sie upgraden können.

Das neue Webmail – HTML5 – Jahr 2015 Look & Feel

Das WebMail iX ist ein neuer, vollständiger, moderne Webclient mit vielen Verbesserungen und einer neuem Archivordner zur einfacheren Archivierung von E-Mails. Natürlich auch mehrsprachig, darunter Deutsch.

wm
Die Neuerungen:

  • Fügen Sie Bilder ein – einfach mit Copy & Paste
  • Archivieren Sie alte Mails – mit einem Klick landen die Mails im Archiv-Ordner
  • Neue Schriftarten – Viele Benutzer haben uns gebeten, neue Schriftarten einzubetten. Ab sofort gibt es zusätzlich Comic Sans, Georgia oder Calibri.
  • Neue Kalenderfunktionen – Mehrfachauswahl, Click&Drag, Tastaturbedienung

Das neue Webmail können Sie hier testen

Neuer Look für den Webadmin, CardDAV Unterstützung und mehr

Der Webadmin hat ein optisches Facelift bekommen und passt sich somit dem Webmail an.

wa

Den neuen Webadmin können Sie hier testen

CardDAV

Die neue Funktion zum Synchronisieren von Kontakten über CardDAV ist in allen AXIGEN-Editionen enthalten und unterstützt Android, iOS und OS X.

Zum Test nutzen Sie Ihre Zugangsdaten aus der Webmail-Demo und verbinden sich auf: axigenmail­­.com/Contacts

Superschnelle neue Suche

Wir müssen finden, anstatt zu suchen. Mit Axigen iX haben wir einige Verbesserungen in unserer Such- und Indizierungsengine vorgenommen. Damit ist ein erster Schritt zur Geschwindigkeitsverbesserung getan – und es wird noch viele Weitere geben.

Benutzer mit gültiger Lizenz können direkt upgraden – für Neukunden halten wir viele Angebote parat. Wir aktualisieren in Kürze unsere Website, solange fragen Sie doch einfach per Mail an: info@huestel-gmbh.de .

 

E-Mails nach dem Versand zurückholen? – Geht nicht!

Schnell getippt, schnell verschickt – das ist letztlich der Charme einer E-Mail.

Doch wird das auch häufig zum Verhängnis, die Mail wurde versendet. Vielleicht mit Informationen an den Empfänger, die man noch löschen wollte oder gar gänzlich an den falschen Empfänger. Im einfachsten Fall nur peinlich, im schlimmsten Fall verursacht eine zu schnell versendete E-Mail auch weiteren Schaden.

Wir werden immer wieder gefragt: “Wie kann ich eine Mail zurückholen oder zurückrufen?”. Kurze Antwort: “Gar nicht!”.

Einen Brief, den man in den Briefkasten geworfen hat, bekommt man auch (fast) nicht wieder. So verhält es sich mit der E-Mail ebenso.

Microsoft Exchange beispielsweise, bietet zwar die Möglichkeit, eine E-Mail zurückzurufen, das funktioniert jedoch

  • nur intern
  • nur solange der Empfänger die Mail noch nicht gelesen hat (alles Andere macht ja auch keinen Sinn)

Google hat sich hier nun etwas ganz schlaues einfallen lassen, nämlich wieder etwas das “Rückholfunktion” genannt wurde und den Benutzer letztlich nur verwirrt. Um es nochmal klarzustellen, eine Rückholfunktion von externen Servern wird es nicht geben.

Bis zu 30 Sekunden nach dem “Versand” können Sie eine Mail noch “zurückholen“.

Technisch gesehen passiert hier kein Hexenwerk. Die Mail wird nach dem Versand noch 30 Sekunden vorgehalten und dann erst versendet. Also kein Zurückholen, eher ein Zurückhalten.

Also mehr ein Marketinggag als ein Feature?!

Mehr dazu bei Heise: Google: Gmail bietet E-Mail-Rückholfunktion

Unsere Empfehlung ist an dieser Stelle ist, nicht nach technischen Lösungen zu suchen – diese werden das Problem nicht zufriedenstellend lösen (was passiert, wenn mir nach 31 Sekunden auffält – “Mist das hätte ich nicht versenden sollen”.)

Besser ist es, nochmal genau nachzudenken, bevor man auf “Senden” klickt.

Bei einem echten Briefumschlag und Briefmarke war die Zeitspanne, um diese Erkenntnis zu erlangen zwar länger, aber diese Zeit kann man sich bei einer E-Mail auch nehmen. Es ist schließlich kein Wettbewerb, wer schneller auf “Senden” klicken kann 🙂

 

Mailserver SSL mit A Klassifizierung (A Grade) – am Beispiel Webmail

Einleitung:

Das Team von Qualsys (https://www.qualys.com/) hat ein SSL-Test-Tool entwickelt. Mit diesem Tool können SSL-Konfigurationen getestet und bewertet werden: https://www.ssllabs.com

Die Bewertungen (Ratings) gehen dabei von A bis F. “A+” steht für sehr gut, und “F” gilt als extrem unsicher. Ziel eines jeden Admins sollte es sein, hier eine möglichst gute Bewertung zu erzielen.

Mozilla hat eine sehr detaillierte Auflistung veröffentlicht, welche SSL-Cipher geeignet sind und welche Browser hier unterstützt werden: https://wiki.mozilla.org/Security/Server_Side_TLS

Ziel der Anleitung soll es sein, beispielsweise für das Webmail eine A-Grade Bewertung erhalten.

Was wird benötigt:

  • Sie benötigen ein geeignetes SSL-Zertifikat. Wir verwenden fast ausschließlich RapidSSL. Sollten Sie noch keines haben, können Sie bei uns beispielsweise eines erwerben: http://mailserver-ssl.de .
  • Die aktuellste Version von AXIGEN

Einstellungen:

In den SSL-Listenern müssen folgende Parameter gesetzt sein:

Erlaubte SSL-Verfahren: TLS1.0, TLS1.1 and TLS1.2
Cipher Suite: !AECDH:!ADH:!aNULL:!eNULL:!RC4:ECDHE-RSA-AES128-GCM-SHA256:ECDHE-ECDSA-AES128-GCM-SHA256:ECDHE-RSA-AES256-GCM-SHA384:ECDHE-ECDSA-AES256-GCM-SHA384:ECDHE-RSA-AES128-SHA256:AES128-GCM-SHA256:HIGH:!MD5:!EDH:!EXPORT
Prefer server’s cipher suite order: Angehakt
Use Ephemeral Key: Angehakt

 

 

Das Ergebnis:

Das Ergebnis ist eine A-Bewertung, wie man bei einem unserer Testserver sehen kann:

AGrade

Einschränkung:

Sie sperren damit Windows XP-Benutzer mit dem IE6 aus. Aber diese Kombination verwendet hoffentlich niemand mehr 🙂

Eine E-Mail kann Ihren Standort verraten – Prüfung und Abhilfe mittels IP Stripping

Welche “geheimen” Informationen gibt eine E-Mail Preis? Kann Ihr Chef wissen, wo Sie sich gerade aufhalten?

Weiß Ihr Geschäftspartner, dass Sie vielleicht gerade noch zu Hause sind und gar nicht im Büro?

Bei vielen E-Mail Clients, Webmail-Clients und Mailservern wird die Ursprungs-IP in den Header geschrieben. Dies gilt beispielsweite für (aber nicht nur) Office 365 und dem Exchange Server.

Einerseits dient dieses Feature der Sicherheit, da jederzeit die Ursprungs-IP ermittelt werden kann, andererseits könnte man sich so auch in seiner Privatsphäre verletzt fühlen.

Sieht man sich den Mailheader an, findet man darin ein Feld “X-Originating-IP” (Wikipedia) – dieses Feld beinhaltet die Ursprungs-IP der Mail. Also die IP des Clients, somit lässt sich leicht der Aufenthaltsort z.B. ermitteln (Traceroute zur IP, handelt es sich dabei um einen Mobilfunkanbieter, etc.)

Das nachfolgende Beispiel stammt von Office365, dort steht ganz klar die Absender IP [188.x.x.x]:

owa

Wie kann ich überprüfen, ob mein Server / Client die Information preisgibt?

Das AXIGEN-Webmailinterface und GoogleMail bspw. senden diese Information nicht mit.

Um Ihr System zu prüfen, müssen Sie den Mailheader analysieren. Am Einfachsten ist es, wenn Sie einen Echo-Mailer verwenden. Senden Sie hierzu z.B. eine E-Mail an echo@axigenmailgate.de – kurz darauf erhalten Sie eine E-Mail zurück, die den kompletten Mailheader darstellt.

Dort können Sie bspw. nach Ihrer IP suchen:

echo

IP aus Header entfernen: IP-Stripping

Sollte diese Information sich im Header befinden, so lässt sich diese mit dem richtigen Mailsystem entfernen. Diesen Vorgang nennt man “IP Stripping”.

Wenn Sie auf Ihrem System einzelne Felder aus dem Header entfernen möchten, müssen Sie in den Verarbeitungsprozess eingreifen. Bei AXIGEN können Sie hierzu eine Routing-Regel anlegen (Webadmin => Security & Filtering =>  Advanced Settings => “Add Acceptance / Routing Rule”).

Diese kann z.B. wie folgt aussehen:

rule

Mit dieser Regel entfernen Sie beispielweise das erste Auftreten des X-Originating-IP Headers aus allen Mails. Somit schützen Sie die Privatsphäre von Empfängern und Absendern eingehender und ausgehender Mails.

Natürlich können Sie so auch andere Felder manipulieren oder entfernen.