搜索

[11403] 2017-05-31_改造Nginx，让邮件系统也支持双因子验证

文档创建者：s7ckTeam
浏览次数：19
最后更新：2025-01-18
2017-05-31_改造Nginx，让邮件系统也支持双因子验证 改 造 N g i n x ， 让 邮 件 系 统 也 支 持 双 因 子 验 证 原 创   i d a p r o   F r e e B u f   2 0 1 7 - 0 5 - 3 1 * 本 文 原 创 作 者 ： i d a p r o ， 本 文 属 F r e e B u f 原 创 奖 励 计 划 ， 未 经 许 可 禁 止 转 载 起       因     最 近 在 研 究 双 因 子 认 证 的 时 候 突 然 想 到 ： 能 不 能 在 邮 件 系 统 中 应 用 双 因 子 验 证 呢 ？ 作 为 一 个 有 了 想 法 就 想 落 地 的 四 有 好 少 年 ， 我 决 定 试 试 。         受 制 于 文 化 程 度 和 钱 包 鼓 起 程 度 ， 我 在 本 地 用 E x c h a n g e 搭 建 了 一 套 模 拟 环 境 （ 当 然 不 是 正 版 ） 。 大 家 不 要 学 习 我 这 种 做 法 ， 我 们 要 支 持 正 版 。 嗯 嗯 。 整 个 改 造 分 为 两 块 进 行 ， 一 块 是 W e b 端 进 行 双 因 子 验 证 支 持 ， 这 块 不 是 难 点 ， 通 过 反 向 代 理 服 务 可 以 迅 速 解 决 。 但 是 ， 在 进 行 其 他 协 议 （ 例 如 S M T P 、 P O P 3 、 E x c h a n g e ） 改 造 的 时 候 ， 发 现 事 情 并 没 有 想 象 中 的 这 么 简 单 。 技 术 选 型 遇 到 的 一 点 问 题 作 为 一 条 万 年 没 人 权 的 W e b 狗 ， 突 然 间 给 自 己 设 定 了 一 个 这 么 艰 巨 的 任 务 ， 顿 时 怀 疑 起 了 人 生 。 翻 了 翻 自 己 的 技 术 栈 ， 看 来 看 去 也 就 n g i n x 可 能 也 许 大 概 好 像 能 满 足 要 求 ， 那 么 久 拿 他 来 试 试 吧 。 N g i n x 是 个 优 秀 的 反 向 代 理 （ 负 载 均 衡 ） 工 具 ， 大 多 数 人 都 对 它 在 W e b 方 向 应 用 比 较 熟 悉 ， 但 其 实 N g i n x 还 支 持 对 S M T P 、 I M A P 、 P O P 3 这 些 邮 件 协 议 进 行 反 向 代 理 或 者 负 载 均 衡 。 官 网 文 档 见 h t t p s : / / w w w . n g i n x . c o m / r e s o u r c e s / a d m i n - g u i d e / m a i l - p r o x y / 。 于 是 ， 按 照 官 方 文 档 ， 写 了 个 配 置 文 件 ：
然 后 再 用 世 界 上 最 好 的 语 言 P H P ， 写 一 个 a u t h _ h t t p 的 配 套 服 务 （ 这 个 内 容 下 文 会 提 到 ） 。 跑 一 跑 程 序 ， 成 了 ， a u t h _ h t t p 服 务 能 够 正 确 收 到 客 户 端 提 交 的 账 号 密 码 ， 可 是 遇 到 了 两 个 问 题 ： 1 、 压 根 儿 没 动 态 验 证 码 出 场 的 机 会 啊 ； 2 、 在 S M T P 协 议 的 代 理 中 ， a u t h _ h t t p 只 能 向 n g i n x 返 回 是 否 验 证 通 过 的 结 果 ， n g i n x 无 法 继 续 将 账 号 密 码 向 后 端 节 点 传 递 ， 导 致 真 实 的 节 点 无 法 验 证 用 户 身 份 。 （ 填 写 完 账 号 密 码 后 ， 后 端 S M T P 服 务 器 回 应 拒 绝 发 送 ， 从 N g i n x 的 日 志 中 的 确 发 现 我 们 完 成 了 a u t h _ h t t p 的 认 证 ） 对 于 问 题 1 ， 其 实 S M T P / P O P 3 / I M A P 协 议 本 身 并 没 有 提 供 支 持 双 因 子 验 证 的 设 计 ， 谷 歌 采 用 的 思 路 是 设 置 一 个 随 机 生 成 的 静 态 密 码 与 账 号 绑 定 。 大 部 分 人 和 谷 歌 不 太 一 样 ， 我 们 只 能 考 虑 在 用 户 名 或 密 码 上 动 点 手 脚 了 ：
这 样 一 来 ， 我 们 在 兼 容 原 有 协 议 的 基 础 上 可 以 使 邮 件 系 统 能 够 完 整 地 支 持 双 因 子 验 证 。 至 于 后 一 个 问 题 ， 我 翻 遍 n g i n x 的 文 档 都 没 有 找 到 着 解 决 方 法 ， 上 谷 歌 一 搜 后 ， 发 现 很 久 之 前 就 有 同 仁 们 提 出 过 类 似 疑 惑 ： h t t p : / / s e r v e r f a u l t . c o m / q u e s t i o n s / 7 2 6 2 7 0 / s e t t i n g - u p - n g i n x - t o - p r o x y - a d d i n g - s s l - s m t p - w i t h - a u t h e n t i c a t i o n h t t p : / / m a i l m a n . n g i n x . o r g / p i p e r m a i l / n g i n x / 2 0 1 0 - F e b r u a r y / 0 1 9 0 2 8 . h t m l 看 来 是 无 解 咯 ？ 幸 好 N g i n x 是 开 源 的 软 件 ， 我 们 还 可 以 靠 自 己 。 阅 读 源 码 ， 发 现 问 题 要 怒 怼 N g i n x ， 首 先 得 深 入 源 码 。
N g i n x 用 来 处 理 M a i l 协 议 的 代 码 在 s r c / m a i l / 目 录 下 ， 我 们 主 要 关 注 n g x _ m a i l _ p r o x y _ m o d u l e . c 和 n g x _ m a i l . h 两 个 文 件 。 这 两 个 文 件 大 致 定 义 了 N g i n x 对 协 议 的 处 理 过 程 ， 其 中 S M T P 协 议 长 这 样 ： （ 上 图 省 略 了 例 如 环 境 初 始 化 、 容 错 、 其 他 场 景 特 殊 处 理 等 过 程 ） 在 原 有 的 N g i n x 处 理 过 程 中 ， 从 a u t h _ h t t p 得 到 返 回 数 据 后 ， 程 序 跳 过 了 与 后 端 节 点 通 信 的 过 程 ， 而 仅 设 置 了 该 s e s s i o n 对 应 的 后 端 节 点 后 便 不 作 处 理 。 所 以 在 官 方 文 档 中 ， a u t h _ h t t p 仅 能 响 应 A u t h - S e r v e r 、 A u t h - P o r t 两 个 头 部 来 指 示 N g i n x 的 后 续 操 作 ， 不 具 备 向 后 端 转 发 认 证 信 息 的 过 程 。 这 时 候 ， 我 们 有 两 种 选 择 ： 1 、 后 端 S M T P 服 务 器 不 再 进 行 登 录 验 证 ， 仅 允 许 来 自 N g i n x 的 即 可 ； 2 、 改 造 N g i n x ， 使 得 其 支 持 S M T P 的 认 证 过 程 。 第 一 种 方 案 当 然 可 行 ， 从 N g i n x 的 实 现 来 看 ， 甚 至 可 以 认 为 是 推 荐 这 么 操 作 的 。 但 是 ， 这 个 方 案 有 天 然 的 弱 点 ， 认 证 过 程 需 要 被 解 耦 。 也 就 是 说 ， 认 证 服 务 需 要 同 时 存 在 于 邮 件 服 务 器 （ I M A P / P O P 3 需 要 用 到 ） 和 a u t h _ h t t p 中 ， 两 者 必 须 一 致 。
（ N g i n x 源 码 中 ， 对 I M A P 已 有 相 关 实 现 ） 在 我 看 来 这 样 有 点 麻 烦 ， 在 一 些 特 殊 的 场 景 下 可 能 会 有 适 配 问 题 ， 所 以 我 决 定 改 造 N g i n x ， 使 得 它 能 够 支 持 S M T P 协 议 认 证 过 程 的 转 发 。 修 改 源 码 ， 解 决 问 题 修 改 源 码 其 实 非 常 简 单 ， 因 为 此 前 的 I M A P 、 P O P 3 中 N g i n x 已 经 完 成 了 相 关 的 实 现 ， 只 不 过 没 把 它 加 入 S M T P 中 。 考 虑 到 S M T P 协 议 本 身 不 是 强 认 证 的 （ 即 认 证 过 程 是 可 选 的 ） ， 所 以 不 建 议 直 接 强 硬 地 设 置 这 个 流 程 ， 应 当 通 过 配 置 项 管 理 。 我 把 修 改 后 的 源 代 码 放 到 了 全 球 最 大 的 同 性 交 友 平 台 上 （   i d a p r o 1 2 3 / m a i l _ p r o t e c t o r ） ， 修 改 的 内 容 并 不 多 ， 大 家 不 妨 可 以 看 看 。 这 里 简 要 说 明 修 改 的 内 容 ： 1 、 在 m a i l 配 置 节 中 新 增 了 一 个 可 选 配 置 项 ： s m t p _ a u t h _ r e p r o x y   o n   |   o f f   ( d e f a u l t ) ， 该 配 置 项 的 作 用 是 用 来 控 制 是 否 将 客 户 端 的 A U T H 过 程 传 递 给 后 端 服 务 器 进 行 验 证 ； 2 、 调 整 了 S M T P 协 议 的 代 理 逻 辑 ， 当 s m t p _ a u t h _ r e p r o x y 被 显 式 置 为 o n 的 时 候 ， 会 向 后 端 服 务 器 转 发 a u t h _ h t t p 响 应 头 中 的 A u t h - U s e r 和 A u t h - P a s s 字 段 。
（ 修 改 后 的 代 码 中 ， 同 样 增 加 了 向 后 端 服 务 器 转 发 认 证 请 求 的 过 程 ） 这 样 一 来 ， 我 们 上 面 提 到 的 问 题 都 不 复 存 在 了 ， 剩 下 的 ， 就 是 如 何 去 写 一 个 双 因 子 验 证 服 务 。 我 同 样 将 a u t h _ h t t p 的 代 码 提 交 到 了 交 友 平 台 上 ， 因 为 考 虑 到 产 线 环 境 需 要 高 性 能 的 读 写 ， 才 为 a u t h _ h t t p 服 务 引 入 了 r e d i s 作 为 中 间 结 果 的 缓 存 服 务 器 。 另 外 ， 在 我 这 边 的 实 际 环 境 中 ， 双 因 子 验 证 本 身 即 作 为 一 个 独 立 的 基 础 服 务 提 供 A P I 调 用 ， 所 以 我 在 a u t h _ h t t p 的 实 现 上 也 只 是 简 单 的 引 用 了 这 个 服 务 。 根 据 不 同 的 情 况 ， 则 可 能 还 需 要 自 己 进 一 步 修 改 其 中 的 业 务 逻 辑 和 具 体 内 容 。 顺 带 的 ， 我 们 还 能 通 过 a u t h _ h t t p 完 成 频 控 ， 阻 断 那 些 天 天 开 着 扫 描 器 在 网 上 拿 弱 密 码 库 到 处 碰 撞 的 家 伙 。
（ a u t h _ h t t p 中 向 N g i n x 返 回 验 证 结 果 和 原 始 密 码 ） 实 际 测 试 编 译 一 下 修 改 的 N g i n x ， 这 里 要 注 意 ， 编 译 时 至 少 需 要 指 定 以 下 两 个 参 数 ， 否 则 ， 在 加 载 m a i l 模 块 的 时 候 会 报 告 错 误 ：   – w i t h - m a i l   – w i t h - m a i l _ s s l _ m o d u l e 这 里 提 供 一 个 o p e n r e s t y 的 编 译 配 置 ， 供 大 家 参 考 ： 编 译 需 要 一 点 时 间 ， 完 成 之 后 启 动 N g i n x ： / o p t / o p e n r e s t y / n g i n x / s b i n / n g i n x 我 们 测 试 一 下 效 果 。
（ 正 常 情 况 ） （ 未 验 证 就 想 来 一 发 的 情 况 ） （ 双 因 子 验 证 失 败 情 况 ） （ 原 始 密 码 错 误 情 况 ）
（ 触 发 频 控 被 拒 绝 的 情 况 ） 在 实 际 测 试 过 程 中 ， 仍 然 发 现 了 一 些 缺 陷 。 其 中 最 为 操 蛋 的 是 目 前 还 无 法 支 持 E x c h a n g e 协 议 ， 这 样 一 来 将 导 致 通 讯 录 和 日 历 功 能 变 得 不 可 用 。 参 考 其 他 厂 的 解 决 方 案 时 ， 发 现 他 们 将 日 历 、 通 讯 录 服 务 独 立 出 来 ， 做 成 一 个 在 线 的 i C a l e n d a r 服 务 让 邮 件 客 户 端 调 用 。 i C a l e n d a r 本 身 可 以 使 用 H T T P 进 行 分 发 （ 例 如 使 用 世 界 上 最 好 的 语 言 P H P 写 的 D A V i C a l ） ， 所 以 这 个 问 题 其 实 也 能 解 决 。 突 然 间 ， 我 面 对 着 服 务 器 上 新 增 的 四 个 服 务 （ M a i l 代 理 、 a u t h _ h t t p 、 R e d i s 、 i C a l ） ， 竟 然 没 有 一 点 欣 慰 的 感 觉 。 为 了 消 灭 一 个 潜 在 的 安 全 风 险 ， 不 得 不 引 入 多 个 额 外 的 环 节 ， 这 么 做 是 不 是 在 和 自 己 最 早 的 愿 望 背 道 而 驰 呢 ？ * 本 文 原 创 作 者 ： i d a p r o ， 本 文 属 F r e e B u f 原 创 奖 励 计 划 ， 未 经 许 可 禁 止 转 载 阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理