Autor: Jacek Piskozub (piskozub_at_iopan.gda.pl)
Data: Wed 01 Mar 2000 - 09:01:22 MET
Szymon Sokol wrote:
>
> Tomasz Bojakowski <mad_at_devil.inside.pin.pl> wrote:
> : On 29 Feb 2000 14:13:10 GMT, Szymon Sokol <szymon_at_uci.agh.edu.pl> wrote:
> :>Nie zgadzam się z tym poglądem. Wyłączenie VRFY (podobnie jak
> :>wyłączenie fingerd) to typowy przykład "security by obscurity".
>
> : Mniam, ja bym powiedział, zależy jak leży.. czyli jakiego MTA używasz. Fragment z configa (smtpserver.conf) od Zmailer'a
> Chodziło mi o ideę, nie o wadliwe implementacje.
Tu Cie mam, Szymonie. Nie czytuje sie nowych RFC?
Zacytuje jeszcze cieply RFC2505
(URL: http://www.cis.ohio-state.edu/htbin/rfc/rfc2505.html):
> Both SMTP VRFY and EXPN provide means for a potential spammer to test
> whether the addresses on his list are valid (VRFY) and even get more
> addresses (EXPN). Therefore, the MTA SHOULD control who is is allowed
> to issue these commands. This may be "on/off" or it may use access
> lists similar to those mentioned previously.
>
> Note that the "VRFY" command is required according to RFC821, [1].
> The response can, though, be "252 Argument not checked" to represent
> "off" or blocked via an access list. This should be the default.
>
> Default for the "EXPN" command should be "off".
>
Zatem wylaczony VRFY jest nie tylko zgodny z norma, ale powinno byc to
nawet wartoscia domyslna.
Coz, czasy sie zmieniaja :-(
Jacek
-- Jacek Piskozub Institute of Oceanology PAS, Sopot, Poland Presently at Scripps Institution of Oceanography, UCSD, San Diego
To archiwum zostało wygenerowane przez hypermail 2.1.7 : Wed 19 May 2004 - 16:29:50 MET DST