correo electrónico

Cuando se publicó por primera vez, qmail fue el primer agente de transporte de correo con conciencia de seguridad; desde entonces, se han publicado otros MTA con conciencia de seguridad. El predecesor más popular de qmail, Sendmail , no fue diseñado con la seguridad como objetivo y, como resultado, ha sido un objetivo constante para los atacantes. A diferencia de sendmail, qmail tiene una arquitectura modular compuesta por componentes que no confían entre sí; por ejemplo, el componente de escucha SMTP de qmail se ejecuta con credenciales diferentes a las del administrador de colas o el remitente SMTP. qmail también se implementó con un reemplazo con conciencia de seguridad para la biblioteca estándar de C y, como resultado, no ha sido vulnerable a desbordamientos de pila y montón , ataques de formato de cadena o condiciones de carrera de archivos temporales .

Cuando se lanzó, qmail era significativamente más rápido que Sendmail, especialmente para tareas de envío masivo de correo, como las de los servidores de listas de correo. qmail fue diseñado originalmente para gestionar grandes listas de correo.

En el momento de la presentación de qmail, la configuración de Sendmail era notoriamente compleja, mientras que qmail era sencillo de configurar e implementar.

qmail fomenta el uso de varias innovaciones en el correo electrónico (algunas originadas por Bernstein, otras no):

Directorio de correo

Bernstein inventó el formato Maildir para qmail, que divide los mensajes de correo electrónico individuales en archivos separados. A diferencia del formato mbox , estándar de facto , que almacenaba todos los mensajes en un solo archivo, Maildir evita muchos problemas de bloqueo y concurrencia, y se puede implementar de forma segura a través de NFS . qmail también entrega correos a buzones mbox.

Buzones de correo comodín

qmail introdujo el concepto de comodines controlados por el usuario. De forma predeterminada, el correo dirigido a "user- wildcard " en los servidores de qmail se entrega a buzones de correo separados, lo que permite a los usuarios publicar varias direcciones de correo electrónico para listas de correo y gestión de spam.

qmail también introduce el Protocolo de Transporte Rápido de Correo (QMTP), un protocolo de transmisión de correo electrónico diseñado para tener un mejor rendimiento que el Protocolo Simple de Transferencia de Correo (SMTP), el estándar de facto; ^{[ 5 ]} y el Protocolo Rápido de Cola de Correo (QMQP), un protocolo de red diseñado para compartir colas de correo electrónico entre varios hosts. ^{[ 6 ]}

qmail es un sistema casi completamente modular, donde cada función principal está separada de las demás. Es fácil reemplazar cualquier parte del sistema qmail con un módulo diferente, siempre y cuando el nuevo módulo conserve la misma interfaz que el original.

En 1997, Bernstein ofreció una recompensa de 500 dólares estadounidenses a la primera persona que publicara una vulnerabilidad de seguridad verificable en la última versión del software. ^{[ 7 ]}

En 2005, el investigador de seguridad Georgi Guninski descubrió un desbordamiento de enteros en qmail. En plataformas de 64 bits, con configuraciones predeterminadas y suficiente memoria virtual, la entrega de grandes cantidades de datos a ciertos componentes de qmail podría permitir la ejecución remota de código. Bernstein cuestiona que esto sea un ataque práctico, argumentando que ninguna implementación real de qmail sería vulnerable. La configuración de límites de recursos para los componentes de qmail mitiga la vulnerabilidad. ^{[ 8 ]}

El 1 de noviembre de 2007, Bernstein aumentó la recompensa a US$1000. ^{[ 1 ]} En una presentación de diapositivas al día siguiente, Bernstein afirmó que había 4 "errores conocidos" en qmail-1.03, que tenía diez años, ninguno de los cuales era una "vulnerabilidad de seguridad". Caracterizó el error encontrado por Guninski como un "posible desbordamiento de un contador sin control". "Afortunadamente, el crecimiento del contador estaba limitado por la memoria y, por lo tanto, por la configuración, pero esto fue pura suerte". ^{[ 9 ]}

El 19 de mayo de 2020, Qualys publicó un exploit funcional para la vulnerabilidad de Guninski ^{[ 10 ]} , pero los autores del exploit afirman que se les negó la recompensa porque contiene restricciones ambientales adicionales.

El paquete principal qmail no se ha actualizado durante muchos años. ^{[ 11 ]} Las nuevas características fueron proporcionadas inicialmente por parches de terceros, de los cuales los más importantes en ese momento se reunieron en un único metaparche llamado netqmail . ^{[ 12 ]}

qmail no fue diseñado como un reemplazo directo de Sendmail , y no se comporta exactamente como Sendmail en todas las situaciones. En algunos casos, estas diferencias de comportamiento se han convertido en motivo de críticas. Por ejemplo, el enfoque de qmail para los mensajes de rebote (un formato llamado QSBMF) difiere del formato estándar de notificaciones de estado de entrega especificado por la IETF en RFC 1894 , ^{[ 13 ]} mientras tanto, avanzado a borrador de estándar como RFC 3464 , ^{[ 14 ]} y recomendado en la especificación SMTP .

Algunas características de qmail han sido criticadas por introducir complicaciones en el reenvío de correo; por ejemplo, el mecanismo de entrega "comodín" de qmail y su diseño de seguridad impiden que rechace mensajes de remitentes falsificados o inexistentes durante las transacciones SMTP. ^{[ 15 ]} En el pasado, estas diferencias podrían haber provocado que qmail se comportara de manera diferente cuando se abusaba de él como relé de spam, aunque las técnicas modernas de entrega de spam se ven menos afectadas por el comportamiento de rebote.

qmail pasó a ser de dominio público en noviembre de 2007. ^{[ 16 ]} Hasta noviembre de 2007, qmail era software libre de licencia , con permiso para su distribución en código fuente o en forma precompilada (un "paquete var-qmail") solo si se cumplían ciertas restricciones (principalmente relacionadas con la compatibilidad). Este inusual acuerdo de licencia hizo que qmail no fuera libre según algunas directrices (como la DFSG ) y fue motivo de controversia.

qmail es el único agente de transferencia de mensajes ( MTA ) de software de dominio público ampliamente implementado .