الخلاصة

  • في نمط المشرف ذي الامتيازات، تفتح معظم خدمات Postfix الملفات اللازمة ثم تتخلى عن الجذر قبل معالجة الطلبات؛ وتحتفظ أربع خدمات تسليم بهوية جذر محفوظة لتنفيذ مهام محدودة.
  • يخفض نمط المشرف غير ذي الامتيازات صلاحيات المشرف، لكنه يضعف الفصل الداخلي ويزيد ما يمكن لخدمة مخترقة الوصول إليه من مفاتيح وسجلات، ولا تسمح الوثائق باستخدامه إنتاجياً إلا في تكوينات محدودة.

لا يكشف سؤال «هل يعمل خادم البريد بامتيازات الجذر؟» موضع الخطر. ويدعو تصميم Postfix إلى أسئلة أدق: أي عملية تحتاج إلى أي امتياز، وفي أي مرحلة من الطلب، وعلى أي ملفات أو موارد تخص مستخدمين آخرين؟

تصل الرسالة الواردة عبر SMTP أو QMQP أولاً إلى خدمة في واجهة الشبكة. تفحص هذه الخدمة المدخلات ثم تمرر الظرف والمحتوى إلى cleanup(8). تنفذ هذه المرحلة آخر معالجة قبل إدراج الرسالة في الطابور، وتكتبها في طابور الوصول ثم تبلغ qmgr(8). بعد ذلك يختار مدير الطابور وكلاء التسليم. ويحتفظ بطابور نشط محدود حتى لا يضطر إلى فتح كل الرسائل المعلقة عندما يتراكم البريد. أما العملية المقيمة master(8) فتشرف على الخدمات، وتشغلها عند الحاجة، وتطبق حدود عدد العمليات التي يحددها الإعداد.

للمشرف والخدمات التي تعالج الطلبات وظيفتان مختلفتان. في نمط Postfix ذي المشرف ذي الامتيازات، يمكن للخدمة أن تبدأ بصلاحيات الجذر، وتفتح الملفات الحساسة مثل مفاتيح TLS الخاصة أو كلمات مرور قواعد البيانات، ثم تتخلى عن الجذر نهائياً قبل معالجة الطلبات. وتقول وثائق الأمان الحالية إن اختراق الخدمة بعد هذه الخطوة يمنعها من فتح تلك الملفات أو قواعد البيانات أو السجلات. لذا يستخدم الجذر أثناء التهيئة وتحديد الامتيازات، وليس بالضرورة كصلاحية دائمة لكل عملية تتعامل مع الشبكة.

هناك استثناءات. تتخلى معظم الخدمات عن الجذر نهائياً، لكن local(8) وpipe(8) وspawn(8) وvirtual(8) تحتفظ بهوية فعالة محفوظة للجذر. وتحتاج إليها للتصرف بصفة المستخدم المستهدف أو للوصول إلى موارد خارج Postfix، مثل صندوق بريد أو أمر خارجي. ويميز Postfix بين استخدامين: فصل الامتيازات داخل خدماته، وفرض قيود عند وصول إحدى خدماته إلى ملفات المستخدمين أو البرامج الخارجية. وتخفي عبارة «عملية تعمل كالجذر» هذين الحدين المختلفين.

في عرض قدمه Wietse Venema في مؤتمر LISA عام 2010، وصف Postfix بأنه بنية مقسمة ذات امتيازات دنيا. وأشار إلى تصميم جدار ناري يفصل استقبال البريد عن تسليمه باستخدام عمليات منخفضة الامتياز داخل بيئة chroot بوصفه أحد مصادر التأثير. كما شرح أن البرامج الأصغر تساعد على الصيانة بعد بناء بنية الاتصال. هذا وصف تاريخي من المصمم، لا إحصاء لعدد الخدمات الحالية ولا قياس لنتائج الأمان. أما وثائق البنية الحالية فتوضح فصل الاستقبال والتنظيف وإدارة الطوابير والتسليم.

ولا يعني التغيير الأحدث أن إزالة الجذر من المشرف تجعل النظام كله أكثر أماناً تلقائياً. توضح وثائق Postfix أن Venema نفذ أولاً تشغيل master(8) بلا امتيازات في 2025 لاختبارات تكامل غير منشورة. وبعد استفسار عميل في 2026، عدل التنفيذ لاستخدام إنتاجي محدود وأضاف التوثيق. في هذا النمط يعمل master بهوية postfix الثابتة بدلاً من الجذر. وتستخدم الخدمات امتيازات Postfix نفسها أثناء التهيئة ومعالجة الطلبات. وتقول الوثائق إن هذا يمنع الحفاظ على فصل الامتيازات الداخلي أو القيود المعتادة على الوصول إلى ملفات خارج Postfix أو التسليم إلى صناديق البريد أو تشغيل أوامر خارجية.

تظهر الفروق في أذونات الملفات. يجب أن تكون ملفات مفاتيح Postfix السرية مقروءة للمستخدم postfix، ولذلك قد تتمكن الخدمة المخترقة من قراءتها. كما يجب أن تكون سجلات Postfix الاختيارية مملوكة لـpostfix، ما يسمح للخدمة المخترقة بقراءتها أو تعديلها أو حذفها. ولا يجوز أن تكون ملفات الإعداد مملوكة لهذا المستخدم. وفي التكوين متعدد المثيلات، يجب تشغيل جميع المثيلات بمشرف ذي امتيازات أو كلها بمشرف غير ذي امتيازات؛ ولا يمكن المزج بين النمطين.

نطاق الاستخدام الإنتاجي ضيق. تسمح وثائق Postfix بالنمط غير ذي الامتيازات في عمليات الترحيل التي تمرر جميع الرسائل عبر SMTP أو LMTP. لكنها تحظر استخدامه إنتاجياً عندما يمكن للخدمات المحلية تشغيل برامج ليست من Postfix أو تسليم الرسائل إلى ملفات صناديق البريد. ومن المخاطر المذكورة أن أمراً في ملف .forward الخاص بمستخدم سيعمل بامتيازات postfix بدلاً من امتيازات المستخدم المستهدف، ما قد يتيح للمستخدم السيطرة على نظام البريد. التحذير محدد بتكوينات معينة، لكنه صريح.

الدرس المعماري ليس أن «الجذر آمن» أو أنه «خطر» بطبيعته. فتغيير الامتيازات ينقل الخطر بين الحدود. وقد يناسب المشرف غير ذي الامتيازات عملية ترحيل محدودة، لكن خدماته تتشارك الوصول إلى المفاتيح والسجلات التي يمكن للنمط ذي الامتيازات أن يفصلها بعد التهيئة والتخلي عن الجذر. ينبغي للمشغلين تصنيف مسارات التسليم قبل تغيير هوية المشرف، ثم التحقق من توافق النمط المختار مع الملفات والأوامر المتاحة لكل خدمة. تحدد الوثائق المنشورة شروط هذا الخيار، لكنها لا تثبت أي نمط أكثر انتشاراً ولا نتائج الأمان في عمليات فعلية.

المصادر