Zusammenfassung

  • Frühes SMTP bot VRFY und EXPN als Diagnosefenster an. Eine positive Antwort konnte ein Postfach oder sämtliche Mitglieder einer Verteilerliste offenlegen.
  • Der Code 252 schuf einen ehrlichen dritten Zustand: Der Server verifiziert den Nutzer nicht, kann die Nachricht aber annehmen und die Zustellung versuchen. Verzeichnisaussage, Transportannahme und Zustellergebnis bleiben getrennte Tatsachen.

Als ein Mailserver wie ein Verzeichnis antwortete

RFC 821 zeigte einen ungewöhnlich anschaulichen Dialog. Auf VRFY Smith durfte der Server mit 250, Fred Smiths vollständigem Namen und seinem Postfach antworten. Kannte er eine Weiterleitung, konnte er die neue Adresse nennen. Gab es keinen Treffer, meldete er das. Bei mehreren Smiths war 553 User ambiguous vorgeschrieben.

Der Schwesterbefehl EXPN ging weiter. Ein Client nannte eine Verteilerliste, und eine erfolgreiche mehrzeilige Antwort konnte deren Postfächer einzeln aufzählen. Die Spezifikation verstand diese Angaben nicht als lose Hinweise: Eine positive VRFY-Antwort musste das Postfach enthalten, eine positive EXPN-Antwort die Postfächer der Liste. Lokales Wissen wurde zu Protokollevidenz für einen entfernten Fragesteller.

Der Nutzen war real. Tippfehler ließen sich vor dem Versand erkennen. Weiterleitungen wurden sichtbar. Verschachtelte Listenerweiterungen konnten bis zu einer Schleife verfolgt werden. Weil Verzeichnis und Zustellung auf demselben Wissen beruhten, lag die Diagnose im Transportprotokoll nahe.

Doch das Diagnosefenster befand sich am öffentlichen Maildienst.

Die nützliche Antwort bekam einen anderen Abnehmer

RFC 1123 stärkte 1989 die Diagnosefunktion. Ein empfangender SMTP musste VRFY implementieren und sollte EXPN unterstützen; eine Installation durfte beide oder einzelne Listen abschalten. Der Text hielt beide Seiten fest: Administratoren brauchten die Befehle zur Fehlersuche bei Zustellung und mehrstufigen Listenschleifen, während EXPN Privatsphäre und Sicherheit gefährden konnte.

Mit Massen-Spam fand dieselbe Schnittstelle neue Nutzer. VRFY prüfte Namenslisten, EXPN verwandelte einen bekannten Listennamen in viele Adressen. RFC 2505 empfahl deshalb, Anfragende über Schalter oder Zugriffslisten zu kontrollieren. Für gesperrtes oder abgeschaltetes VRFY sollte 252 die Standardantwort sein; EXPN sollte standardmäßig aus sein.

Die Diagnose war nicht plötzlich falsch. Entscheidend wurde, wer fragte. Ein interner Administrator und ein anonymer Adresssammler können identische Bytes senden. Berechtigung entsteht aus Identität, Verwaltungsbeziehung und Umfang, nicht aus der Schreibweise des Befehls.

Eine dritte, wahrheitsgemäße Antwort

Nur Ja oder Nein hätte den Server zu erfundenem Wissen gezwungen. 250 nach einer bloßen Syntaxprüfung behauptet eine Verifikation, die nicht stattfand. Immer 550 zu senden behauptet Nichtexistenz. RFC 5321 bewertet beide Verhaltensweisen als nicht konform.

252 löst die falsche Alternative: „Kann den Nutzer nicht VRFY, werde die Nachricht aber annehmen und die Zustellung versuchen.“ Das beweist weder das Postfach noch die Annahme jedes späteren RCPT TO, geschweige denn die Zustellung an einen Menschen. Der Server verweigert oder vermag nur die verlangte Verzeichnisaussage nicht; der normale Transportweg bleibt möglich.

Ein MX für eine andere Domain kann Syntax und Zuständigkeit kennen, ohne eine Echtzeitsicht auf die endgültige Postfachdatenbank zu haben. 252 bewahrt diese Wissensgrenze, statt Plausibilität in Gewissheit umzudeuten.

Sicherheitspolitik verwendet dieselbe Semantik. Wird der Befehl aus Sicherheitsgründen deaktiviert, verlangt RFC 5321 252 statt eines Codes, der wie positive oder negative Prüfung wirkt. Nicht offenlegen heißt nicht, Abwesenheit bewiesen zu haben.

Verifikation, Annahme und Zustellung sind drei Datensätze

Mailsysteme verschmelzen gern benachbarte Zustände. Gültige Syntax wird zur „verifizierten Adresse“. Ein 250 an einem Hop wird zu „zugestellt“. Eine blockierte Abfrage wird zum „ungültigen Postfach“. Jede Verkürzung gibt einer Teilbeobachtung zu viel Autorität.

Mindestens drei Tatsachen müssen getrennt bleiben. Verzeichnisverifikation bedeutet, dass der Server eine Adresse oder Listenerweiterung tatsächlich festgestellt hat. Transaktionsannahme hält fest, dass ein Server an einem bestimmten Punkt Verantwortung übernahm. Endzustellung ergibt sich erst nach weiterem Routing, Queues, Weiterleitungen und Empfängerverarbeitung. 252 liegt bewusst vor diesen Ergebnissen.

Ein Monitoring darf den Code daher weder als grünen Prüferfolg noch als harte Ungültigkeit abbilden. Der korrekte Zustand ist explizite Ungewissheit bei offenem Transportweg. Die spätere Mailtransaktion kann Evidenz hinzufügen; die Abfrage darf sie nicht vorwegnehmen.

Ein geschlossenes Fenster lässt womöglich ein anderes offen

Das Abschalten von VRFY beseitigt nicht alle Empfängerinformationen. RFC 5321 weist darauf hin, dass RCPT-Antworten manchmal dasselbe verraten. Andere Systeme verschieben die Prüfung bis nach DATA, sodass RCPT kaum etwas offenlegt. Der zusätzliche Schutz hängt von der gesamten Annahmekette ab.

Ein 252 auf einem Verb ist deshalb kein vollständiger Sieg. Es entfernt die billigste direkte Abfrage, verhindert aber nicht zwingend Unterschiede bei Antwortcodes, Laufzeit, Catch-all-Domains oder späteren Bounces. Betreiber müssen die zusammengesetzte Auskunftsfläche prüfen.

Umgekehrt rechtfertigen alternative Sammelmethoden kein öffentliches EXPN. Wird der günstigste und autoritativste Weg geschlossen, steigen Aufwand und Unsicherheit des Angreifers. Sicherheit steuert häufig Preis und Qualität der Evidenz, statt vollkommenes Geheimnis zu versprechen.

Diagnose überlebte innerhalb einer Grenze

RFC 5321 bewahrt einen legitimen Einsatz. Authentifizierte Nutzer und Administratoren innerhalb einer Verwaltungsdomäne können Routen prüfen, unbeabsichtigte Weiterleitung sensibler Mail entdecken und Listen untersuchen. Ein Standort darf die Befehle nur authentifizierten Anfragenden öffnen. Die Fähigkeit bleibt, der anonyme Anspruch verschwindet.

Das aktuelle SMTP-Register der IANA markiert eine weitere Grenze. Server müssen VRFY unterstützen, die Anzeige in EHLO ist jedoch optional. VRFY und EXPN sind für Message Submission als MUST NOT eingetragen. Wer sich zum Versand eigener Mail authentifiziert, erhält damit keinen Zugriff auf das Verzeichnis des Empfängersystems.

SMTP lernte also nicht durch Lüge oder vollständiges Schweigen, die Frage zu vermeiden. Es lernte, eine kleinere Frage genau zu beantworten. Der Server konnte die Zertifizierung einer Person ablehnen, den Transportweg offenlassen und reichere Diagnose einer berechtigten Beziehung vorbehalten. In einem Protokoll aus Antworten begrenzte 252, was eine Antwort zu wissen behaupten durfte.

Quellen