建站
咨詢
售后
建站咨詢
新聞中心
其中在整個(gè)一套郵件服務(wù)器中，默認(rèn)信息傳輸都是明文傳輸?shù)模赃@個(gè)在安全性上面就不是那么好。但是如果說一封郵件從發(fā)生到對(duì)方接受想要全程做到加密處理這個(gè)也是很難的。因?yàn)橐环忄]件從一個(gè)域轉(zhuǎn)到另外一個(gè)域服務(wù)器時(shí)很難做到加密，這屬于不同的域，有不同的人在管理，比如說從163發(fā)一封郵件到QQ郵箱。
網(wǎng)站建設(shè)哪家好，找創(chuàng)新互聯(lián)公司！專注于網(wǎng)頁設(shè)計(jì)、網(wǎng)站建設(shè)、微信開發(fā)、成都小程序開發(fā)、集團(tuán)企業(yè)網(wǎng)站建設(shè)等服務(wù)項(xiàng)目。為回饋新老客戶創(chuàng)新互聯(lián)還提供了萬全免費(fèi)建站歡迎大家使用！
但是如果在同一個(gè)域內(nèi)保證郵件發(fā)送和接收的安全性，該如何做呢？其實(shí)也有一種機(jī)制就是S/MIME，提供用戶到用戶的郵件安全性。它能保證郵件發(fā)送加密同時(shí)郵件存儲(chǔ)在郵件服務(wù)器上也是加密存放，直到用戶取回到本地進(jìn)行解密才可查看，在這期間任何人截取郵件都是不可看的，可以說是非常安全了。但是這種機(jī)制一般都是提供商業(yè)支持。
那么除了S/MIME這種機(jī)制，在我們可控范圍內(nèi)可以做到郵件發(fā)送和接收時(shí)進(jìn)行加密，如smtps是加密傳輸?shù)膕mtp協(xié)議，工作在TCP/465端口；POP3s是加密傳輸?shù)膒op3協(xié)議，工作在TCP/995端口；以及IMAP4s是加密傳輸?shù)膇map4協(xié)議，工作在TCP/993端口；當(dāng)然這只是能保證郵件從郵箱到本地是加密的，如郵件發(fā)送和存儲(chǔ)無法做到加密。也可以對(duì)webmail進(jìn)行https傳輸，這些都可以在一定程度上做到郵件加密處理。
OpenSSL實(shí)現(xiàn)私有CA
CA服務(wù)器生成一對(duì)秘鑰并保存
[root@localhost ~]# openssl genrsa 1024 > /etc/pki/CA/private/cakey.pem
CA服務(wù)器生成自簽署證書
[root@localjost ~]# openssl req -new -x509 -key /etc/pki/CA/private/cakey.pem -out /etc/pki/CA/cacert.pem -days 365
輸入國家名稱2位的代碼：cn
輸入所在省份的名稱：shanghai
輸入所在城市的名稱：shanghai
輸入公司的名稱：ywnds
輸入所在的部門：tech
輸入主機(jī)的名稱：ca.ywnds.com(此主機(jī)名要跟服務(wù)器的主機(jī)名保持一致；客戶端訪問主機(jī)時(shí)必須要通過這個(gè)主機(jī)名才能建立連接否則說證書不可信)
輸入E-mail：[email protected]
為CA創(chuàng)建一些目錄和文件
[root@localhost ~]# mkdir /etc/pki/CA/{certs,newcerts,crl}
[root@localhost ~]# touch /etc/pki/CA/{index.txt,serial}
[root@localhost ~]# echo 01 > /etc/pki/CA/serial
郵件服務(wù)器生成證書
[root@localhost ~]# mkdir /etc/dovecot/ssl
[root@localhost ~]# openssl genrsa -out /etc/dovecot/ssl/dovecot.key 1024
[root@localhost ~]# opensslreq -new -key /etc/dovecot/ssl/dovecot.key -out /etc/dovecot/ssl/dovecot.csr
[輸入的信息一定要跟CA輸入的信息一致因?yàn)槲覀儎?chuàng)建的私有CA]
輸入國家名稱2位的代碼：cn
輸入所在省份的名稱：shanghai
輸入所在城市的名稱：shanghai
輸入公司的名稱：ywnds
輸入所在的部門：tech
輸入主機(jī)的名稱：mail.ywnds.com(此主機(jī)名要跟服務(wù)器的主機(jī)名保持一致；客戶端訪問主機(jī)時(shí)必須要通過這個(gè)主機(jī)名才能建立連接否則說證書不可信)
輸入E-mail：[email protected]
證書密碼：
在CA服務(wù)器簽署證書并發(fā)送回給郵件服務(wù)器
[root@localhost ~]# openssl ca -in /etc/dovecot/ssl/dovecot.csr -out /etc/dovecot/ssl/dovecot.crt -days 365
在CA服務(wù)器上查看簽署過后/etc/pki/CA下的文件發(fā)生的變化
[root@localhost ~]# cat /etc/pki/CA/index.txt
[root@localhost ~]# cat /etc/pki/CA/serial
Dovecot開啟SSL
[root@localhost ~]# vim /etc/dovecot.conf
protocols pop pop3 imap imap4
[root@localhost ~]# vim /etc/dovecot/conf.d/10-ssl.conf
ssl = yes
ssl_cert = /etc/dovecot/ssl/dovecot.crt
ssl_key = /etc/dovecot/ssl/dovecot.key
[root@localhost ~]# service dovecot restart
MUA連接郵件服務(wù)器注意事項(xiàng):
1.把CA的證書cacert.pem下載到客戶端改名cacert.crt并安裝到根信任域。
2.客戶端連接pop3s服務(wù)器時(shí)POP3s會(huì)發(fā)來證書，此時(shí)CA證書cacert.crt會(huì)去驗(yàn)證POP3證書，沒有問題就可以傳輸郵件。
3.MUA在連接POP3s服務(wù)器時(shí)要使用域名不能使用IP地址，因?yàn)橐C書中的主機(jī)名對(duì)應(yīng)，不然還是會(huì)不受信任，同時(shí)客戶端要能解析此域名。
網(wǎng)頁名稱：Linux下Postfix郵件基于SSL收發(fā)郵件（九）
轉(zhuǎn)載注明：http://m.fisionsoft.com.cn/article/cdihdeg.html
