openssl s_client -starttls smtp -crlf -connect [DER-MAILSERVER]:25

Um zu prüfen ob der eigene Mailserver von unserem Client verschlüsselt seine Mails entgegen nimmt, nimmer man folgenden Befehl:

openssl s_client -starttls smtp -connect [DEIN-MAILSERVER]:587

In der SSL Variante schaut das dann wie folgt aus:

openssl s_client -connect [DEIN-MAILSERVER]:465

Um Mosquitto über SSL/TLS abzusichern legt man unter /etc/mosquitto/conf.d eine Datei SSL mit folgendem Inhalt an:

Listener 8883
certfile /etc/mosquitto/certs/server.crt
cafile /etc/mosquitto/ca_certificates/ca.crt
keyfile /etc/mosquitto/certs/server.key

Die entsprechenden Zertifikate müssen natürlich generiert sein (da gibt es unzählige Anleitungen) und an die entsprechende Stelle kopiert werden.

Der eigentlich Kniff war bei mir unter Debian Bookworm nun, dass die Datei- und Verzeichnisrechte nicht gepasst haben. Es kam immer zu folgenden Fehlern:

1695361882: Error: Unable to load CA certificates. Check cafile "/etc/mosquitto/ca_certificates/ca.crt".
1695361882: OpenSSL Error[0]: error:8000000D:system library::Permission denied
1695361882: OpenSSL Error[1]: error:10080002:BIO routines::system lib
1695361882: OpenSSL Error[2]: error:05880002:x509 certificate routines::system lib

Abhilfe schafft dann nur folgende Befehle auszuführen und den Mosquitto Dienst neu zu starten:

chmod 0700 /etc/mosquitto/certs
chmod 0700 /etc/mosquitto/certs/*
chmod 0700 /etc/mosquitto/ca_certificates
chmod 0700 /etc/mosquitto/ca_certificates/*

Ich habe in einer MySQL Datenbank eine DB „Hosts“ und darin ist eine Tabelle Server enthalten. Ich verwende diese öfters und kann anhand der Spalte „certchk“ ermitteln ob ich das Zertifikat zu diesem Server ermitteln soll.

In der Variable „DOM“ stehen die Server, die in der Tabelle entsprechend eine 1 stehen haben. Zusätzlich steht in der Spalte „Port“ welcher Port (Standard 443) abgefragt werden soll. Später schreibe ich die Daten in die Tabelle „cerdata“ um diese in Grafana zu verwerten. Einmal in der Nacht mittels Crontab das Script aufrufen sollte reichen.

#!/usr/bin/env bash

SERVER=`mysql -h localhost --database=hosts -s -e "select Hostname from server where certchk = 1;"`
SDATE=`date "+%Y-%m-%d %H:%M:%S"`

for DOM in $SERVER 
do

PORT=$(mysql -h localhost --database=hosts -s -e "select port from server where Hostname = '$DOM';")
	ENDD=$( echo | openssl s_client -showcerts -servername google.com -connect $DOM:$PORT 2>/dev/null | openssl x509 -inform pem -noout -text | grep "Not After" |awk -F" " '{print $4" "$5" "$6" "$7 }')
	ENDD=$( date -d "$ENDD" +%s )
   NOWD=$( date +%s )

	ANZ=$(( ( $ENDD - $NOWD )/(60*60*24) ))
	mysql -h localhost --database=hosts -sN -e "INSERT INTO certdata ( Datum, Server, Counter) VALUES ('$SDATE', '$DOM', '$ANZ');"

done;

Wer mag kann in Grafana noch einen Alert, z.B. < 10 Tage, einrichten. Dann hat man ja noch 10 Tage Zeit sich um ein neues Zertifikat zu besorgen sofern man keines von Letsencrypt verwendet.

Hier geht es um DKIM, DMARC, Eicar, Relay, SMTP, SpamAssasin, SPF und SSL

https://de.ssl-tools.net/mailservers

Der Link zum Tool: https://github.com/jvehent/cipherscan

Die momentan beliebte CA „Let’s Encrypt“ stellt gerade fleissig neue Zertifikate aus: https://crt.sh/?Identity=%25&iCAID=7395

scp dateiname benutzername@host:zielverzeichnis

Mehr Details bei der Ausgabe des Verbindungsaufbaus bekommen man mit dem zusätzlichen Parameter -v

scp -v dateiname benutzername@host:zielverzeichnis

Möchte man Zeitstempel der Quelldatei erhalten, so verwendet man den Parameter -p .

scp -p dateiname benutzername@host:zielverzeichnis

Bei großen (unkomprimierten) Dateien kann es nützlich sein eine Übertragungskompression mit dem Parameter -C einzuschalten.

scp -C dateiname benutzername@host:zielverzeichnis

Möchte man die Bandbreite bei der Übertragung limitieren, so geht das mit dem Parameter -l . Die Berechnung der Bandbreite ergibt sich dabei wie folgt: 100 KB/s * 8 (Bit) = 800.

scp -l 800 dateiname benutzername@host:zielverzeichnis