MITM-Attacke auf SMTP beim ISP?

[Marco Moock]

Hallo zusammen!

Beim Test meines Mailservers habe ich mir nen Wolf im sendmail gesucht,
warum kein STARTTLS angeboten wird, bis ich gemerkt habe, dass die
Ursache woanders liegen muss.

***@ryz:~$ telnet srv1.dorfdsl.de 25 -4
Trying 82.139.196.13...
Connected to srv1.dorfdsl.de.
Escape character is '^]'.
220 srv1.dorfdsl.de ESMTP Sendmail 8.17.1.9/8.17.1.9/Debian-2; Fri, 1
Sep 2023 18:07:30 +0200; (No UCE/UBE) logging access from:
[45.66.121.73](FAIL)-[45.66.121.73] ehlo t 250-srv1.dorfdsl.de Hello
[45.66.121.73], pleased to meet you 250-ENHANCEDSTATUSCODES
250-PIPELINING
250-XXXA
250-XXXB
250-8BITMIME
250-SIZE
250-DSN
250-ETRN
250-AUTH PLAIN
250-XXXXXXXC
250-XXXXXXXXD
250 XXXE
quit
221 2.0.0 srv1.dorfdsl.de closing connection
Connection closed by foreign host.

Wenn ich direkt am Server mitschneide sieht alles ok aus und die XXX
erscheinen nicht, sondern der normale Name der Option. Ergo MITM.
Ich habe keine Application-Layer-Gateways o.Ä. aktiv.
Andere Server können aber per STARTTLS einliefern, woraus ich schließe,
dass nicht der ISP TAL.de (in diesem AS steht mein Server) schuld ist.

Warum das passiert, ist mir noch schleierhaft. Ich könnte ja verstehen,
wenn man für Privatkunden verhindern will, dass die Mails ohne Auth
über Port 25 wo einliefern, dann würde man aber eher TCP-Port 25
für den Privatkunden-Bereich blockieren.

Es passiert nicht überall:
***@ryz:~$ telnet mx01.posteo.de 25
Trying 185.67.36.62...
Connected to mx01.posteo.de.
Escape character is '^]'.
220-mx01.posteo.de ESMTP Postfix
ehlo t
250-mx01.posteo.de
250-SIZE 143602323
250-ETRN
250-STARTTLS
250-ENHANCEDSTATUSCODES
250-8BITMIME
250 DSN
quit
221 2.0.0 Bye

Aber auch nicht nur bei mir.

***@ryz:~$ telnet shakotay-193.alphanet.ch. 25
Trying 193.72.186.6...
Connected to shakotay-193.alphanet.ch..
Escape character is '^]'.
220 shakotay.alphanet.ch ESMTP Postfix (Debian/GNU)
ehlo t
250-shakotay.alphanet.ch
250-PIPELINING
250-SIZE 1024000000
250-VRFY
250-ETRN
250-XXXXXXXA
250-ENHANCEDSTATUSCODES
250-8BITMIME
250-DSN
250 XXXXXXXB
quit
221 2.0.0 Bye


Kann wer den Grund für das komische Verhalten verstehen?
Wie kann ich die Ursache weiter eingrenzen?

[Peter J. Holzer]

Post by Marco Moock
Beim Test meines Mailservers habe ich mir nen Wolf im sendmail gesucht,
warum kein STARTTLS angeboten wird, bis ich gemerkt habe, dass die
Ursache woanders liegen muss.
Trying 82.139.196.13...
Connected to srv1.dorfdsl.de.
Escape character is '^]'.
220 srv1.dorfdsl.de ESMTP Sendmail 8.17.1.9/8.17.1.9/Debian-2; Fri, 1
[45.66.121.73](FAIL)-[45.66.121.73] ehlo t 250-srv1.dorfdsl.de Hello
[45.66.121.73], pleased to meet you 250-ENHANCEDSTATUSCODES
250-PIPELINING
250-XXXA
250-XXXB
250-8BITMIME
250-SIZE
250-DSN
250-ETRN
250-AUTH PLAIN
250-XXXXXXXC
250-XXXXXXXXD
250 XXXE
quit
221 2.0.0 srv1.dorfdsl.de closing connection
Connection closed by foreign host.
Wenn ich direkt am Server mitschneide sieht alles ok aus und die XXX
erscheinen nicht, sondern der normale Name der Option. Ergo MITM.

Cisco Firewall? Die waren früher berüchtigt dafür, SMTP kaputtzumachen,
indem sie alles, was sie nicht kennen, mit XXX überschreiben.

hp

[Marco Moock]

Post by Peter J. Holzer
Cisco Firewall? Die waren früher berüchtigt dafür, SMTP
kaputtzumachen, indem sie alles, was sie nicht kennen, mit XXX
überschreiben.

Bingo.
Cisco inspect SPI firewall.
ip inspect name <name> esmtp
war die Ursache - bei mir daheim.