MDaemon 20

Istotne informacje dotyczące nowej wersji

• Uwaga MDaemon 20.0 wymaga systemów operacyjnych Windows 7, Server 2008 R2 lub nowszych.
• Użycie grup Active Directory zostało poprawione. Kiedy użytkownik zostanie dodany do grupy w AD zostanie również dodany do listy użytkowników MDaemona. Kiedy użytkownik zostanie usunięty z grupy AD jego konto zostanie wyłączone w MDaemonie, a nie skasowane.
• W menu Setup\Preferences\Miscellaneous dodano 2 pola wyboru, które decydują o przesyłaniu wiadomości systemowych serwera również do administratorów globalnych i domenowych. Obie opcje zaznaczone są domyślnie.
• Zmieniony został sposób przechowywania autoodpowiedzi. Tekst autoodpowiedzi dla konta będzie miał nazwę OOF.MRK i znajdował się w folderze DATA konta. Pierwsze uruchomienie serwera w wersji 20 automatycznie przeniesie pliki autoodpowiedzi do odpowiednich folderów użytkowników. Plik AUTORESP.DAT wraz z plikiem .RSP będzie usunięty dla każdego konta. Aby przypisać jedną konfigurację audoodpowiedzi do wielu kont należy użyć przycisku Publish w menu Account Editor\Account Settings\Autoresponder. W menu Accounts\Account Settings\Autoresponders\Settings znajduje się również przycisk, który pozwala edytować domyślny skrypt autoodpowiedzi OutOfOffice.rsp.
• Przechowywanie podpisów zostało zmienione. Obecnie podpisy przechowywane są w pliku SIGNATURE.MRK w katalogu DATA da konta. Pierwsze uruchomienie serwera w wersji 20 automatycznie przeniesie pliki podpisów do odpowiednich folderów użytkowników.
• W menu Security\Spam Filter\White List (automatic) wyłączono domyślnie opcję "...only whitelist addresses that authenticate using DKIM".
• Opcja Security\Security Manager\Screening\Location Screening została domyślnie włączona co nawet przy braku wybranych krajów do blokowania spowoduje logowanie nazwy kraju.
• Sztywny limit 2MB dla filtra antyspamowego został usunięty. Istniejący limit został przekonwertowany z KB do MB, przy braku ustawionego limitu domyślna wartość to 0 czyli bez limitu.
• Host screen jest domyślnie włączony również dla połączeń MSA.
• MDaemon IMAP, WebMail, and ActiveSync mają wyłączoną domyślnie opcję dostępu do folderów współdzielonych wyłączonych kont.

Najważniejsze nowe funkcje wersji 20

• RequireTLS (RFC 8689)
  Wsparcie dla RequireTLS zostało wdrożone. Funkcja ta umożliwia oznaczanie wiadomości, które muszą być wysyłane przy pomocy TLS. Jeśli to jest niemożliwe lub parametry wymiany certyfikatu są nieakceptowalne wiadomości będą odrzucane. Opcja RequireTLS jest domyślnie włączona. Tylko wiadomości oznaczone przez regułę, którą trzeba utworzyć w Filtrze Zawartości lub wysłane na adres +requiretls@domain.tld ( jankowalski++requiretls@domena.pl) będą podlegały temu procesowi. Wszystkie pozostałe wiadomości będą traktowane tak, jakby ta opcja była wyłączona. Kilka warunków musi być spełnione aby wiadomość mogła być wysłana przy pomocy RequireTLS:

1. Opcja RequireTLS musi być włączona.
2. Wiadomość musi być oznaczona jako wymagająca RequireTLS.
3. DNS lookup MX odbiorcy musi być wykonany przy pomocy DNSSEC
4. Połączenie do odbierającego hosta musi wykorzystywać SSL(STARTTLS)
5. Certyfikat odbierającego hosta musi odpowiadać nazwie hosta i być potwierdzony przez urząd certyfikacji.
6. Serwer odbierający musi wspierać RequireTLS i komunikować to w komendzie EHLO.
7. Jeżeli któryś z powyższych warunków nie zostanie spełniony wiadomość nie zostanie dostarczona.

• SMTP MTA-STS (RFC 8461) - Strict Transport Security
  SMTP MTA Strict Transport Security (MTA-STS)jest to mechanizm umożliwiający dostawcom usług poczty e-mail deklarowanie czy mają możliwość odpierać bezpieczne połączenia SMTP przy pomocy protokołu TLS. Pozwala on również na zdecydowanie aby serwery wysyłające nie dostarczały poczty do hostów nie wspierających TLS z zaufanym certyfikatem. Opcja MTA-STS jest domyślnie włączona. Aby ustawić MTA-STS dla własnej domeny wymagany jest plik zawierający zasady, który powinien być dostępny pod adresem: https://mta-sts.domain.tld/.well-known/mta-sts.txt gdzie "domain.tld" to nazwa domeny. Plik tekstowy z zasadami powinien zawierać linie w następującym formacie:
  
  version: STSv1
  mode: testing
  mx: mail.domain.tld
  max_age: 86400
  
  Pozycja mode może być ustawiona na wartości "none", "testing", lub "enforce". Dla każdej nazwy hosta MX powinna być osobna linia "mx". Dla subdomen można użyć wyrażenia "*.domain.tld". Pozycja max age jest wyrażona w sekundach. Wymagany jest również rekord DNS TXT dla _mta-sts.domain.tld gdzie "domain.tld" to nazwa domeny. Rekord musi zawierać wpis v=STSv1; id=20200206T010101;. Wartość "id" musi być zmieniona każdorazowo przy zmianie zasad. Zwyczajowo używa się tu znacznika czasu.
• Raportowanie SSMTP TLS (RFC 8460)
  Raportowanie TLS pozwala domenom używającym MTA-STS na odbierane powiadomień o błędach przy pobieraniu zasad MTA-STS lub przy negocjacji bezpiecznego kanału STARTTLS. Włączenie tej opcji spowoduje wysyłanie przez serwer MDaemon dziennego raportu do domen wykorzystujących STS zawierającego informacje o połączeniach z tego dnia. Raportowanie TLS domyślnie jest wyłączone. Można je włączyć w menu Security\Security Manager\SSL & TLS\SMTP Extensions. Należy również włączyć podpisywanie DKIM ponieważ raporty TLS powinny być podpisane. Wymagany jest również rekord DNS TXT dla _smtp._tls.domain.tld gdzie "domain.tld" to nazwa domeny. Rekord musi zawierać wpis v=TLSRPTv1; rua=mailto:mailbox@domain.tld gdzie mailbox@domain.tld to adres e-mail do odbierania raportów dla domeny.
• Szyfrowanie MDPGP w obrębie domeny przy pomocy 1 klucza
  MDPGP umożliwia teraz szyfrowanie wiadomości pomiędzy domenami przy pomocy jednego klucza dla wszystkich użytkowników. Jeżeli na przykład Domena A i Domena B chcą szyfrować wszystkie wiadomości pomiędzy nimi, ale nie chcą konfigurować indywidualnych kluczy szyfrujących dla każdego użytkownika w obrębie domeny mogą to zrobić w następujący sposób:Domena A i Domena B wymieniają się między sobą kluczem publicznym. Kiedy już obie strony otrzymają klucz drugiej strony muszą nacisnąć przycisk "Import Domain's Key" w menu MDPGP i wpisać nazwę domeny, do której wszystkie wiadomości mają być szyfrowane. System nie tworzy kluczy dla domen z listy rozwijanej. Można użyć klucza dla wszystkich domen lub utworzyć osobny klucz dla każdej z nich. Kiedy obie strony mają już publiczny klucz, którego chcą użyć można użyć prawego klawisza myszki na wybranym kluczu i wybrać "Set as a Domain's Key". Nie należy używać kluczy, do których mamy odpowiedni klucz prywatny ponieważ MDPGP zaszyfruje wiadomość, a następnie natychmiast sprawdzi, ze dostępny jest klucz prywatny i ją odszyfruje. MDPGP utworzy regułę w Filtrze zawartości, która będzie się nazywać "'Encrypt all mail to ". Reguła będzie powodowała, że wszystkie wiadomości adresowane do tej domeny będą szyfrowane. Użycie Filtra zawartości umożliwia włączanie i wyłączanie tej reguły. Można również dostosowywać kryteria, które mają być zastosowane zanim wiadomość zostanie zaszyfrowana np. szyfrować wiadomości tylko do wybranych użytkowników domeny.
• Szyfrowanie wychodzących wiadomości do konkretnego IP
  Dodana została funkcja umożliwiająca przypisanie klucza szyfrującego do wybranego IP. Każda wychodząca sesja SMTP dostarczająca wiadomość do tych IP przed wysyłką zaszyfruje wiadomość przy pomocy przypisanego klucza. Jeśli wiadomość została wcześniej zaszyfrowana nie jest wykonywana żadna praca. Ta funkcja jest użyteczna w przypadku kiedy chcemy by każda wiadomość do określonego odbiorcy np. dostawcy czy partnera była zawsze szyfrowana.
• Makra dla wiadomości list mailingowych
  Menu Mailing List Editor\Routing zawiera nowe opcje pozwalające na wykorzystanie makr w treści wiadomości adresowanych do listy. Makra umożliwiają np. personalizację każdej wiadomości do listy. Makra odnoszą się do poszczególnych użytkowników listy w związku z tym funkcjonują tylko przy zaznaczonej opcji  "Deliver list mail to each member individually". Dla bezpieczeństwa można zaznaczyć opcję aby nadawca musiał podać hasło listy aby makra były uruchomione. Hasło listy można ustawić w menu Moderation. Jeśli hasło nie będzie ustawione będzie to oznaczało, że każdy członek listy z uprawnieniami "Write" będzie mógł wysłać wiadomość na listę przy użyciu makr.
• Ulepszony system wykrywania przejęcia konta
  Dodana została opcja umożliwiająca zliczanie ile razy autentykowany użytkownik wysłał wiadomości do nieistniejących odbiorców. Niepoprawny odbiorca jest zdefiniowany jako kod błędu 5xx w odpowiedzi na komendę RCPT w trakcie wysyłki wiadomości. Jeśli zbyt duża ilość takich będów pojawi się w określonym czasie konto może być automatycznie zamrożone. Postmaster dostanie powiadomienie o zamrożeniu i będzie mógł podjąć odpowiednią akcję. Jest to potężne narzędzie zabezpieczające przed rozsyłaniem spamu przez konta, których hasła zostały wykradzione.
• Kolejka dla wiadomości odroczonych i ulepszony system odwoływania wiadomości
  MDaemon ma teraz dedykowaną kolejkę dla odroczonych wiadomości. Poprzednio kolejka INBOUND mogła się zapychać wiadomościami odroczonymi i spowalniać dostarczanie innych wiadomości. Wiadomości w kolejce DEFERRED są umieszczane przez system i mają datę, kiedy mają opuścić kolejkę zaszytą w nazwie pliku. MDaemon sprawdza kolejkę DEFERRED co minutę i przenosi odpowiednie wiadomości do kolejki INBOUND aby były dalej normalnie dostarczone. Działania te są zapisywane w logu Routing. System opóżniania wiadomości nie wymaga opóźnienia czy czasu spędzonego w kolejce DEFERRED. Czas może być ustawiony nawet na 0,  chociaż to daje duże prawdopodobieństwo dostarczenia wiadomości przed odwołaniem więc opóźnienie 1 -2 minut jest zalecane. MDaemon śledzi teraz Message-ID ostatnio wysłanej wiadomości każdego autentykowanego użytkownika lokalnego. To umożliwia użytkownikom odwołanie ostatniej wiadomości poprzez wysłanie wiadomości z tematem RECALL na konto systemowe mdaemon@. Dodatkowo MDaemon pamięta lokalizację oraz Message-ID ostatniego 1000 wiadomości wysłanych przez wszystkich autentykowanych użytkowników lokalnych. To eliminuje konieczność przeszukiwania folderu z wiadomościami co zmniejszałoby wydajność systemu. Kontrolka w menu Setup\Server Settings\Message Recall pozwala zwiększyć tę opcję powyżej 1000 w przypadku serwera obsługującego duze ilości wiadomości. Próba odwołania wiadomości nie powiedzie się jeśli wiadomość nie będzie się znajdować wśród 1000 ostatnio wysłanych wiadomości (lub ustalonego przez administratora własnego limitu). To rozwiązanie pozwala odwołać wiadomość lokalną nawet jeśli trafi już do skrzynki odbiorcy.
  System odwoływania wiadomości nie działa przy braku nagłówka X-Authenticated-Sender, który zabezpiecza odwoanie wiadomości przez niepowołane osoby. Wyłączenie tej opcji w menu Setup\Preferences\Headers będzie nieskuteczne jeśli system odwoływania wiadomości zostanie uruchomiony. 
• Log błędów autentykacji
  Zakładka Security zawiera nową pozycję "Auth Failures" i odpowiadający jej plik logów. Informuje ona o próbach logowania SMTP, IMAP i POP, które zakończyły się niepowodzeniem. Informacja zawiera dane o użytym protokole, Session ID, IP z którego próbowano się zalogować, Login oraz nazwę konta, któremu odpowiada (lub "none" jeśli brak takiego konta). Kliknięcie prawym przyciskiem myszki na wybranej pozycji pozwala dodać IP do czarnej listy.
• Autentykacja podczas przekazywania wiadomości
  W kilku miejscach odpowiedzialnych za przekazywanie wiadomości dodano możliwość autentykacji. Oznacza to, że kila plików w katalogu APP, między innymi forward.dat, gateways.dat, MDaemon.ini, wszystkie Mailing List.grp oraz kilka innych mają możliwość dodania ukrytych przy pomocy słabego szyfrowania danych logowania. Menu Setup\Server Settings\Servers & Delivery\Unknown Mail zawiera nowe pola umożliwiające dodane danych logowania do hosta zdefiniowanego w tym menu. Menu Gateway Manager\Forwarding zawiera nowe pola umożliwiające dodane danych logowania do innego hosta\domeny. Menu Gateway Manager\Dequeueing zawiera nowe pola umożliwiające dodane danych logowania podczas przekazywania kolejki do innego hosta\domeny\IP. Menu Account Editor\Account Settings\Forwarding zawiera nowe pola umożliwiające dodane danych logowania podczas przekazywania kolejki do innego hosta\domeny\IP.
• Autentykacja hosta
  Menu Setup\Server Settings\Host Authentication to nowe miejsce gdzie można zdefiniować port.login i hasło do dowolnego hosta. MDaemon będzie używać tych danych podczas wysyłki SMTP do wybranego hosta. Te dane są traktowane jako zapasowe i używane tylko wtedy gdy nie ma zdefiniowanych danych do bardziej szczegółowych zadań.
• Ulepszone własne kolejki i routing wiadomości
  Menu Queues\Mail Queues\Custom Queues zostało ulepszone. Można teraz zdefiniować host, login, hasło, SMTP return-path oraz port dla dowolnej kolejki zewnętrznej (Remote Queue). Jeśli te dane będą dostępne wszystkie wiadomości w takiej kolejce będą dostarczane przy użyciu tych ustawień.
• Ulepszona kontrola przekazywania wiadomości
  Menu Setup\Preferences\Miscellaneous zawiera nowe pole wyboru pozwala administratorom na wyłączenie możliwości przekazywania wiadomości poza domenę. Kiedy użytkownik ustawi na koncie przekazywanie wiadomości do zewnętrznej domeny wiadomość zostanie przekierowana ko kolejki BAD. To ustawienie dotyczy wyłącznie wiadomości przekazywanych dalej przy pomocy opcji przekazywania dalej dla konta.
  Menu Account Editor\Forwarding ma nowy przycisk "Schedule" umożliwiający ustawianie harmonogramu dla rozpoczęcia i zakończenia przekazywania wiadomości dalej. 
  Przekazywanie wiadomości dalej aktualizuje teraz ostatni czas dostępu do konta. Oznacza to, że konta które tylko prekazują wiadomości dalej nie będą potencjalnie usuwane z powodu bezczynności. Konto musi jednak przesyłać jakieś wiadomości, samo ustawienie przekazywani nie będzie zmieniało statusu konta na aktywne.
• Ulepszona autentykacja SMTP
  Menu Security\Security Manager\Sender Authentication\SMTP Authentication ma dodane 2 nowe opcje. Opcja "Do not allow authentication on the SMTP port" wyłącza całkowicie autentykację na porcie SMTP. Opcja "...add their IP to the Dynamic Screen if they attempt it anyway" doda IP klienta, który będzie próbował się autentykować mimo wyłączonej autentykacji do listy Dynamic Screen. Te ustawienia moga być przydatne w sytuacji kiedy prawowite konta logują się poprzez MSA lub inny port aby dostarczać wiadomości. W takiej konfiguracji założeniem jest, że każda próba autentykacji na porcie SMTP pochodzi od atakującego.
• Ulepszone zarządzanie kontami
  Zarządzanie kontami zostało ulepszone. Można teraz wybrać konta, które są włączone, wykorzystują MultiPOP, są blisko wykorzystania limitu (70%), są blisko wykorzystania limitu (90%) lub nie przesyłają wiadomości dalej. Można również wyszukiwać dowolny tekst w polu Opis konta.
  Menu kontekstowe pozwala teraz na dodanie lub usunięcie wybranych kont z list dystrybucyjnych i grup. Kolejna opcja menu kontekstowego pozwala na skopiowanie istniejącego konta podczas tworzenia nowego konta. Wszystkie ustawienia zostaną w ten sposób skopiowane oprócz nazwy użytkownika, nazwy konta, hasła i folderu poczty.
  Menu The Account Editor\Account Settings\IMAP Filters ma nowy przycisk "Publish", który dodaje nową regułę do edytowanego konta oraz każdego innego konta w tej samej domenie. Usunięto również możliwość dodawania zduplikowanych reguł.
• Opcja "Nie przeszkadzać" dla całej domeny
  Menu Domain Manager\Host Name\IP screen posiada nowe ustawienia pozwalające włączenie opcji "Do Not Disturb" dla całej domeny. Włączona spowoduje odrzucanie wszystkich połączeń od wszystkich użytkowników ale będzie przyjmować połączenia z zewnątrz. Możliwe jest ustawienie terminarza kiedy opcja będzie włączana i wyłączana.
• Ulepszona archiwizacja
  Prosty mechanizm archiwizacji MDaemona został uporządkowany i ulepszony. Kiedy wiadomość jest dostarczona z lokalnej kolejki do folderu użytkownika zostaje wykonana archiwalna kopia wiadomości. Kiedy zostaje podjęta próba dostarczenia wiadomości z kolejki zdalnej również zostaje wykonana archiwalna kopia wiadomości bez względu na to czy została ona dostarczona do odbiorcy. Nie są archiwizowane wiadomości z list dystrybucyjnych ani zakwalifikowane jako SPAM. Również wiadomości zawierające wirusy, wiadomości systemowe oraz autoodpowiedzi nie są archiwizowane.
• Bardziej wydajne logowanie
  Menu Setup\Server Settings\Logging zostało poszerzone o dodatkowe opcje. Usunięto możliwość tworzenia logów nie zawierających żadnych danych. Log Routing zawiera teraz również dane z kolejki Remote.
• Ulepszona integracja z Active Directory
  Poprawiono błędy grup AD. Obecnie użytkownik dodany do grupy AD zostanie dodany do MDaemona. Po usunięciu użytkownika z grupy AD konto zostanie wyłączone (nie usunięte) w MDaemonie. Przykładowe zapytanie o użytkownika który jest członkiem grupy AD będzie wyglądać tak: (|(&(ObjectClass=group)(cn=MyGroup)) (&(objectClass=user)(objectCategory=person)(memberof=cn=MyGroup,ou=me,dc=domain,dc=com))). Menu Accounts\Account Settings\Active Directory\Authentication ma dodane dodatkowe pole do podania filtra wyszukiwania kontaktu. Aby umożliwić pobieranie danych kontaktowych do książki adresowej do pliku ActiveDS.dat dodano pola: abTitle=%personalTitle%, abMiddleName=%middleName%, abSuffix=%generationQualifier%, abBusPager=%pager%, abBusIPPhone=%ipPhone%, abBusFax=%FacsimileTelephoneNumber%.
• Ulepszone sprawdzanie nagłówków FROM
  Menu Security\Security Manager\Screening\From Header Screening ma dodane pole wyboru, którego włączenie spowoduje sprawdzanie czy wyświetlany nagłówek "From" zawiera adres e-mail. Jeśli taki adres nie będzie odpowiadać prawdziwemu adresowi nadawcy zostanie on zamieniony na adres właściwy. Ta opcja jest domyślnie wyłączona.
• Sprawdzanie przechwyconych haseł
  MDaemon może sprawdzać czy hasła użytkowników nie zostały przechwycone w zewnętrznym serwisie. Przechwycone hasła z innych serwisów mogą być wykorzystane do ataków słownikowych na konto. Unikalne hasła, które nie były używane wcześniej są bezpieczniejsze. Menu Accounts\Account Settings\Other\Passwords zawiera opcję pozwalającą zakazać korzystania z haseł, które zostały przejęte. Mozna również ustalić jak często MDaemon ma sprawdzać hasła i wysyłać powiadomienia do postmastera o przejęciu hasła. Dwa pliki szablonów CompromisedPasswordMD.dat oraz CompromisedPasswordAD.dat pozwalają na podanie instrukcji zmiany hasła dla użytkowników, których dane są zapisywane lokalnie oraz tych, których dane są pobierane z Active Directory.
• Dodatkowe informacje dotyczące nowych funkcji i poprawek znajdziecie państwo w menu Help\View the Release Notes