qpopper

最終更新日:　 98年09月02日 11時19分

Macintosh や AT 互換機等にはメールを受け取る機能がありません (サーバにできる OS などにはそういった機能はあります)。しかし、UNIX に送られてきたメールを扱えるようになればインターネット上の電子メールを利用することができるようになります。具体的には UNIX 上で POP サーバを動かし、PC で POP 対応のメーラー (例えば Eudora や AL-Mail など) を動作させることです。POP3 (Post Office Protocol Version3: RFC1460) とはサーバ上のメールスプールをリモートホストからアクセスするためのプロトコルのことです。この POP サーバプログラムにはいろいろなものがありますが、私たちの研究室では qpopper を使うことにしました。

最近は POP のパスワードをそのままネットワークに流すため、セキュリティが甘いと指摘されています。そのため、APOP でユーザの認証を行うことができるメールサーバが増えてきました。

2.5 以前の qpopper をインストールしている場合はセキュリティホールがありますので、最新の 2.53 をインストールするようにしてください。2.5 がリリースされてからそれほど時間がたってないのに、これだけバージョンがあがると不安だ。

用意したもの (ホームページ)

qpopper2.53.tar.Z (198,601 bytes)

手順

ソースの展開を行なってから作業ディレクトリにうつり、さらに configure スクリプトを走らせます。
```
% gunzip < qpopper2.53.tar.Z | tar xvf -
% cd qpopper2.53
% ./configure  (IRIX 6.x の場合は % env CC=cc ./configure)
```

Makefile の編集を行います。/etc/authfile により POP を利用できるユーザを制限するために O_DEFS に以下の部分を付け加え、さらに APOP 認証対応にした。Solaris 2.x では、bind-8.1.2 をインストールしているため、-lresolv は利用しないように、また、 gdbm-1.7.3 をインストールしていたため、DBM_LIBS は如何のようにしている。

Solaris 2.x

CFLAGS = -O2 -fstrength-reduce -fpcc-struct-return
O_DEFS = -DSOLARIS2 -DAUTH -DGNU_PASS -DNO_GETLINE -DCONTENT_LENGTH=1 \
         -DBIND43 -DKEEP_TEMP_DROP -DNOUPDATEONABORT \
         -DAUTHFILE=\"/etc/mail/authfile\" -DPOPUID=\"pop\" \
         -DAPOP=\"/etc/mail/pop.auth\"
NETWORK_LIBS = -lnsl -lsocket -lmail -L/usr/local/bind/lib -lbind
KERBEROS_LIBS = -lkrb
DBM_LIBS = -L/usr/local/lib -lgdbm
LIBS = -lnsl -lsocket -lmail \
       -L/usr/local/bind/lib -lbind \
       -L/usr/local/lib -lgdbm
all: ${TARGET} popauth
.c.o:
  ${CC} -c -I. -I${srcdir} -I/usr/local/include \
  -I/usr/local/bind/include \
  ${CFLAGS} ${DEFS} ${O_DEFS} $< -o $@

IRIX 6.x

CFLAGS = -O
O_DEFS = -cckr -DIRIX \
         -DBIND43 -DKEEP_TEMP_DROP -DNOUPDATEONABORT \
         -DAUTHFILE=\"/etc/authfile\" -DPOPUID=\"pop\" \
         -DAPOP=\"/etc/pop.auth\"
NETWORK_LIBS = -L/usr/local/bind/lib -lbind
DBM_LIBS =
LIBS = -L/usr/local/bind/lib -lbind
all: ${TARGET} popauth
.c.o:
  ${CC} -c -I. -I${srcdir} -I/usr/local/bind/include \
  ${CFLAGS} ${DEFS} ${O_DEFS} $< -o $@

さらに、ユーザ数に見合うだけの数値を popper.h に記述する。普通は 1000 も要らないだろうが．．．
```
#define BLOCK_UID 1000
```
と変更した。
コンパイルは make 一発でできるはずです。
```
% make
```

コンパイルができればインストールです。その前に、pop というユーザアカウントおよびグループも作っておきます。

% su root
# cp popper /usr/local/lib
# cp popauth /usr/local/bin
# chmod 6755 /usr/local/bin/popauth
# chown pop /usr/local/bin/popauth
# chgrp pop /usr/local/bin/popauth
# cp *.8 /usr/local/man/man8
# exit

/etc/inetd.conf に次の一行を付け加えます。-d を付け加えることでログが残ります。
```
pop3    stream  tcp     nowait  root    /usr/local/lib/popper   /usr/local/lib/popper -s -d
```

/etc/services にも次の一行を付け加えます。

pop3            110/tcp                         # Post Office

inetdをrestartします。
```
# kill -HUP inetdpid
# exit
```

最後にテストを行います。

% telnet popserver 110
Trying 133.30.xxx.yyy...

Connected to popserver.
Escape character is '^]'.
+OK QPOP (version 2.53) at popserver starting.  (5238.847423943@popserver)
user hatano
+OK Password required for hatano.
pass xxxxxxxx   <-- 実際は打ち込んだパスワードが見えます
+OK hatano has 0 messages (0 octets).
quit
+OK Pop server at popserver signing off.
Connection closed by foreign host.

ここで popserver というのは、popper をインストールしたマシン名、 hatano というのはユーザ名です。

ここで、POP3 の認証はユーザ名とパスワードがプレーンな形でネットワーク上を流れてしまうということを考えなければなりません。ローカルネットワーク内には、悪意を持ってパケットをモニターしている人はいないだろうと信じられますが、インターネットを経由するとそうもいきません。インターネットを流れるパケットを監視してパスワードを奪うのは、クラッカーたちの得意技です。そこで、うちの研究室では APOP 認証機構を利用します。APOP 認証は、MD5 を応用した一種の「使い捨てパスワード」をユーザ認証に用いることで本物のパスワードの露出を避けます。APOP 認証を使えば、インターネットを経由しても安全に POP サーバとの認証が行えます。ちなみに認証が安全なだけで、メール本文は暗号化されずに流れますので注意しなければなりません。
設定は簡単で popauth コマンドを使ってサーバ側の pop パスワードを管理します。
```
% su
# /usr/local/bin/popauth -init
```
すると /etc/pop.auth ファイルができます。このファイルがユーザ pop 以外からは読めないことを確認すること。
次にユーザのパスワードを設定します。これは UNIX のパスワードと同じである必要はないので、出来ることなら異なるパスワードをつけるようにします。
```
# /usr/local/bin/popauth -user hatano
Changing POP password for hatano.          
New password: *************
Retype new password: **************
# exit     
```
ユーザの取消は、-delete オプションを使います。APOP 認証の準備がしてあるユーザは、APOP でしか認証できなくなるので、メールクライアントは APOP に対応しているものを使うようにします。研究室で使っている Eudra Pro (Windows/Mac) は APOP に対応していますので、オプションメニューで APOP を利用するように変更してください。その他のメールリーダについては大学院自然科学研究科の APOP のページを参考にしてください。
次に、tcp_wrappers と併用して外部からのアクセスを APOP に制限する。つまり、 qpopper を APOP でのみ動作するようにコンパイルをやりなおす。
ソースの展開を行なってから作業ディレクトリにうつり、さらに configure スクリプトを走らせます。
```
% gunzip < qpopper2.53.tar.Z | tar xvf -
% cd qpopper2.53
% ./configure  (IRIX 6.x の場合は % env CC=cc ./configure)
```

Makefile の編集を行います。

Solaris 2.x

CFLAGS = -O2 -fstrength-reduce -fpcc-struct-return
O_DEFS = -DSOLARIS2 -DAUTH -DGNU_PASS -DNO_GETLINE -DCONTENT_LENGTH=1 \
         -DBIND43 -DKEEP_TEMP_DROP -DNOUPDATEONABORT \
         -DAUTHFILE=\"/etc/mail/authfile\" -DPOPUID=\"pop\" \
         -DAPOP=\"/etc/mail/pop.auth\" -DAPOP_ONLY
NETWORK_LIBS = -lnsl -lsocket -lmail -L/usr/local/bind/lib -lbind
KERBEROS_LIBS = -lkrb
DBM_LIBS = -L/usr/local/lib -lgdbm
LIBS = -lnsl -lsocket -lmail \
       -L/usr/local/bind/lib -lbind \
       -L/usr/local/lib -lgdbm
all: ${TARGET} popauth
.c.o:
  ${CC} -c -I. -I${srcdir} -I/usr/local/include \
  -I/usr/local/bind/include \
  ${CFLAGS} ${DEFS} ${O_DEFS} $< -o $@

IRIX 6.x

CFLAGS = -O
O_DEFS = -cckr -DIRIX \
         -DBIND43 -DKEEP_TEMP_DROP -DNOUPDATEONABORT \
         -DAUTHFILE=\"/etc/authfile\" -DPOPUID=\"pop\" \
         -DAPOP=\"/etc/pop.auth\" -DAPOP_ONLY
NETWORK_LIBS = -L/usr/local/bind/lib -lbind
DBM_LIBS =
LIBS = -L/usr/local/bind/lib -lbind
all: ${TARGET} popauth
.c.o:
  ${CC} -c -I. -I${srcdir} -I/usr/local/bind/include \
  ${CFLAGS} ${DEFS} ${O_DEFS} $< -o $@

popper.h を変更する。
```
#define BLOCK_UID 1000
```
コンパイルし、それができればインストールします。
```
% make
% su root
# cp popper /usr/local/lib/popper.apop
# exit
```

/etc/hosts.allow を以下のように設定する。

popper: ALL EXCEPT 133.30.xxx.0/255.255.255.0: \
        twist PATH=/usr/local/lib; exec popper.apop -s -d
popper: 133.30.xxx.0/255.255.255.0

/etc/inetd.conf を以下のように変更する。tcpd のインストールされている部分に注意すること。以下のは IRIX。
```
pop3    stream  tcp     nowait  root    /usr/etc/tcpd   /usr/local/lib/popper -s -d
```
inetd にを再起動する。

[目次 ]

Last modified

CS16ADM <cs16adm@db.cs.kobe-uac.jp>