OS X Mailserver: Verschlüsselte Authentifizierung mit Outlook möglich?

[echt0711]

Hallo Macuser,

ich muss dieses Wochenende schauen, dass ich - für eine reihe verschiedener Outlook Clients - den Mailserver einrichte.

Der Server bietet ein selbst erstelltes SSL Zertifikat an, allerdings möchte ich ungern die Identifizierungsmethode "Plain" anschalten, weil mir die Sicherheit meiner Clients am Herzen liegt und ich ungern sehen möchte, dass mein Server irgendwann "gehighjacked" und von missbrauchten Client Logindaten zum Spammen verwendet wird.

Deshalb habe ich jetzt nur die Methoden Kerberos, CRAM MD5 und Login freigeschaltet.


Ich habe ein Windows XP mit Outlook 6 zum testen.

SMTP funktioniert auch sehr gut via SSL und Login - nur beim Connect mit dem IMAP Server (= Server OS 10.6.3, also Dovecot) zickt Outlook rum. Ich bekomme clientseitig noch immer die Meldung "dieser Computer unterstützt keine der vom Server angebotenen Identifizierungsmethoden".

Ich frage mich, ob es noch eine Alternative zu "Plain" gibt - bekomme ich z.B. das zum laufen, was Microsoft "sichere Authentifizierung", also SPA nennt? Nach dem ich ein wenig gegoogelt habe, scheint das eine Art NTLM zu sein. Was wiederum bedeuten würde, dass ich es vielleicht mit dem MD5 Mechanismus des Servers irgendwie zusammenbringen könnte..? Hat jemand Erfahrungswerte mit sowas? Oder mache ich mir vielleicht ganz umsonst Sorgen?

Kurz zusammengefasst: wer verwendet Outlook zusammen mit einem Snow Leo Server und hat es hinbekommen, dass die Clients NICHT via Plaintext Passwort auf den Server draufgehen – und falls das geht: wie? Ach ja: es werden ganz verschiedene Outlook Versionen mit verschiedenen Windoof Clients drauf zugreifen müssen. Ich habe auf die Clients selbst keinen Zugriff und will meinen Usern bestenfalls ein PDF als Hilfe zum Einrichten zusenden... ;-)

- - -

Edit: eine Verständnisfrage habe ich noch. Bilde mir ein, irgendwo gelesen zu haben dass eine SSL verschlüsselte Mail zwar eine schöne Sache ist, aber die SSL Verbindung erst dann aufgemacht wird, wenn der Client sich bereits am Server authentifiziert hat. Das würde bedeuten, dass trotz SSL Verbindung das Kennwort noch im Klartext übertragen wird – das ist der Hintergrund meiner Überlegung... wenn es sich hierbei natürlich um eine Fehlinformation handelt und die Verbindung sofort verschlüsselt wird, könnte ich theoretisch auch "Plain" anschalten, ohne mir allzu viele Sorgen zu machen. Oder?

 

[echt0711]

Entweder das Forum ist schlecht besucht, oder ich stelle die falschen Fragen

Anyway, habe mir heute wie folgt beholfen, um das o.g. Problem zu lösen:

- SMTP funktioniert ohne Weiteres, ohne dass man "Plain" zuschalten muss. Mein Outlook Express Testclient verbindet sich ohne zu Zicken per "Login" mit dem Server. Also immerhin etwas. Wichtig: nicht "SPA" im Client anschalten.

- Dovecot ging leider nicht anders: hier musste ich "Login" zuschalten, damit die Mails abgerufen werden - sowohl bei einer POP als auch bei einer IMAP Verbindung hat es anders nicht funktioniert.

Ich halte das erstmal für einen vertretbaren Kompromiss, da nach meinem Verständnis SMTP das größere Sicherheitsrisiko darstellt – zumindest für den Server. Denn wenn ein Spammer irgendwas verschickt, dann logischer Weise via SMTP.

Wichtig ist übrigens noch der "Outlook Fix", der von Hand in die Postfix main.cf eingetragen werden muss, damit die Authentifizierung klappt. Denn Outlook sendet, wie wohl auch andere Mailclients kein gescheites HELO an den Server. Mal sollte also sasl authentifizierte User in der Postfix Konfiguration auf "permit" setzen. Mal wieder typisch Apple - ausgerechnet daran haben sie nicht gedacht.