[Tutorial] PMMail mit SSL-Verschlüsselung

[Frank Wochatz]

Viele Emailprovider stellen zum Jahreswechsel auf SSL-Verschlüsselung um.

Um weiterhin diese Provider benutzen zu können, benötigt man entweder ein SSL-fähigen Emailclienten, oder den Wrapper STUNNEL.

STUNNEL schlägt eine Brücke zwischen Emailclient und POP, SMTP oder IMAP Servern.

Die Version 4.52 gibt es z.B. hier:

ftp://ftp.netlabs.org/incoming/stunnel- ... 120515.zip

Als erstes muss STUNNEL konfiguriert werden. Dies erfolgt in einer Text-Datei.

Ein entsprechende Konfigurationsdatei für 1und1 sieht so aus:

stunnel.config

Code: Alles auswählen

socket = l:TCP_NODELAY=0
socket = r:TCP_NODELAY=0
client = yes
output = D:\Driver\stunnel452\stunnel.log
verify = 0
debug  = 7

[smtp1und1]
  accept  = localhost:465
  connect = smtp.1und1.de:465
  delay   = yes
#  protocol = smtp

[pop1und1]
  accept  = localhost:995
  connect = pop.1und1.de:995
  delay   = yes
#  protocol = pop3

Für T-Online funktioniert diese hier:

Code: Alles auswählen

socket = l:TCP_NODELAY=0
socket = r:TCP_NODELAY=0
client = yes
output = D:\Driver\stunnel452\stunnel.log
verify = 0
debug = 7

[poptonline]
accept = localhost:995
connect = securepop.t-online.de:995
delay = yes

[smtptonline]
accept = localhost:465
connect = securesmtp.t-online.de:465
delay = yes

Hier die Einstellungen für GMX:

Code: Alles auswählen

socket = l:TCP_NODELAY=0
socket = r:TCP_NODELAY=0
client = yes
output = D:\Driver\stunnel452\stunnel.log
verify = 0
debug = 7

[pop3gmx]
accept = localhost:110
connect = pop.gmx.net:995
delay = yes

[ssmtpgmx]
accept = localhost:25
connect = mail.gmx.net:465
delay = yes

Die Serverinformationen können abweichen (ggf. beim Provider nachfragen). Bei einigen Providern ist zwingend die Angabe der Protokolle erforderlich. Einige Benutzer berichten, dass sie "localhost' weglassen und bei "accept" nur den Port definieren (bei Problemen einfach ausprobieren). Den Debuglevel kann man wenn alles funktioniert auch auf 0 setzen, und der Pfad zu der Logdatei muß natürlich angepaßt werden.

Danach wird STUNNEL gestartet und muss im Hintergrund laufen, wenn PMMail über SSL auf den Emailserver zugreifen soll. Also am besten im Autostartordner ein Programmobjekt für stunnel.exe, und die Konfigurationsdatei stunnel.config als Parameter angeben.

In jedem Fall muss stunnel.config an stunnel.exe übergeben werden.

Code: Alles auswählen

stunnel.exe stunnel.conf

Nun sind noch Änderungen in PMMail notwendig:

Hier in Beispiel für den 1und1-Mailserver (für andere Provider müssen die Werte entsprechend angepasst werden).

In den Einstellungen eines Accounts die Seite "Receive aufrufen und eintragen
POP Server: localhost
Port: 995



Auf der Seite Send eintragen:
SMTP Server: localhost
Port: 465



Nun kann mit PMMail (hier v2.20.x) wie gewohnt auf die Emailpostfächer zugegriffen werden. Diese Lösung funktioniert auch mit PMMail 3.x.

Danke an alle, die auf os2.org zu der Lösung beigetragen haben.

[eCSBenutzer]

Und es geht auch mit mehreren Providern in einer Stunnel.conf:

Code: Alles auswählen

; Sample stunnel configuration file by Michal Trojnara 2002-2006
; Some options used here may not be adequate for your particular configuration

; Certificate/key is needed in server mode and optional in client mode
; The default certificate is provided only for testing and should not
; be used in a production environment
cert = stunnel.pem
socket = l:TCP_NODELAY=0
socket = r:TCP_NODELAY=0
client = yes
debug = 7
verify = 0
output = E:/Internet/Stunnel/stunnel.log 


[t-online_pop3s]
accept = localhost:996
connect = securepop.t-online.de:995
delay = yes
;# protocol = pop3

[t-online_smtps]
accept = localhost:466
connect = securesmtp.t-online.de:465
delay = yes
;# protocol = smtp 

[pop3s]
accept = localhost:995
connect = pop.gmx.net:995
delay = yes
;# protocol = pop3

[smtps]
accept = localhost:465
connect = mail.gmx.net:465
delay = yes
;# protocol = smtp

Für t-online halt einen Port höher - und dies natürlich auch in PMMail eintragen - Senden und empfangen von Mails kein Problem...
Bis jetzt zumindest....

[Gert]

Auf die OS2/-Freunde ist Verlass!

Was habe ich mit PM Mail 2000 auf XP (als ehemaliger OS/2-Nutzer) herumexperimentiert und nach Fehlern gesucht! Erst eure Anleitung brachte den Durchbruch!

Dankeschön!

[tobel]

Hallo!
mit stunnel in der aktuell verfügbaren Version und einer stunnel.conf, wie sie hier im Tutorial vorgestellt wurde funktioniert bei mir eine Verbindung mit t-online leider nicht. Mein Mailclient ist REXXMail. Hier das Log:

2014.02.08 14:30:04 LOG7[88:1]: Service poptonline accepted FD=12 from 127.0.0.1:49278
2014.02.08 14:30:04 LOG7[88:2]: Service poptonline started
2014.02.08 14:30:04 LOG5[88:2]: Service poptonline accepted connection from 127.0.0.1:49278
2014.02.08 14:30:04 LOG6[88:2]: connect_blocking: connecting 194.25.134.110:995
2014.02.08 14:30:04 LOG7[88:2]: connect_blocking: s_poll_wait 194.25.134.110:995: waiting 10 seconds
2014.02.08 14:30:04 LOG5[88:2]: connect_blocking: connected 194.25.134.110:995
2014.02.08 14:30:04 LOG5[88:2]: Service poptonline connected remote server from 192.168.178.23:49279
2014.02.08 14:30:04 LOG7[88:2]: Remote FD=13 initialized
2014.02.08 14:30:04 LOG7[88:2]: SNI: host name: securepop.t-online.de
2014.02.08 14:30:04 LOG3[88:2]: SSL_connect: 1408F10B: error:1408F10B:SSL routines:SSL3_GET_RECORD:wrong version number
2014.02.08 14:30:04 LOG5[88:2]: Connection reset: 0 bytes sent to SSL, 0 bytes sent to socket
2014.02.08 14:30:04 LOG7[88:2]: Service poptonline finished (0 left)
2014.02.08 15:34:10 LOG7[88:1]: Dispatching signals from the signal pipe
2014.02.08 15:34:10 LOG3[88:1]: Received signal 2; terminating
2014.02.08 15:34:10 LOG7[88:1]: Service poptonline closed FD=7
2014.02.08 15:34:10 LOG7[88:1]: Service smtptonline closed FD=10
2014.02.08 15:34:10 LOG7[88:1]: str_stats: 33 block(s), 1230 data byte(s), 1122 control byte(s)


Wenn ich das log richtig lese, so kommt die Verbindung mit dem pop Server der von t-online zustande. Dann geht irgendetwas mit der SSL Verschlüsselung schief: "wrong version number". Daher meine Frage: Ist es möglich, dass ich das SSL Protokoll aktualisieren muss (eCS 2.1). Gibt es irgendwelche anderen Assoziationen, wo das Problem liegen könnte?

Danke und Gruß, Thomas

[Frank Wochatz]

Das Problem tritt hier auf, wenn ich die Protokolle in STUNNEL nicht setze (protocol = ...)
Andere Leute berichteten, dass sie die Protokolle nicht setzen dürfen. Ausprobieren!

[tobel]

Hallo Frank, danke für den Hinweis! Ich hatte natürlich alles schon rauf und runter probiert, auch die Protokolle in verschiedener Ausführung. Erschwerend kam hinzu, dass ich stunnel mit einem Programmobjekt gestartet habe. Da hatte ich dann den Effekt, dass sich das Programm hin und wieder direkt und ohne Logeintrag wieder beendet hat. Ich habe schließlich von Kommandozeile aus gestartet und erst dabei bemerkt, dass es sich zuweilen um Memmory Fehler gehandelt hat. Wenn ich also den Parameter Protocol=pop3 setze, kommt dieser Fehler (wrong version) tatsächlich nicht mehr. Allerdings gibt es nach einiger Zeit einen Timeout der Verbindung mit der Telekom und der mailclient meldet, dass er keine Verbindung mit dem Host 'localhost' aufbauen kann. Jetzt liegt es wohl doch am mailclient (REXXmail), der die Authentifizierung nicht beherrscht, jedenfalls nicht in der Version, die ich habe. Da muss ich also weiter suchen.

Grüße, Thomas

[Frank Wochatz]

Ich glaube nicht, dass es an Rexxmail liegt. Wenn das vorher ging, sollte es jetzt auch gehen. Was sagt denn auf der Kommandozeile "host localhost", gibt das 127.0.0.1 zurück? Einige Leute (siehe os2.org) geben in der stunnel.conf auch nur den Port an (ohne localhost). Ein weiterer Ansatz wäre, die andere STUNNEL Version zu probieren, es gibt die von Steve (4.52, Link siehe oben) und eine von Paul 4.26 siehe http://os2ports.smedley.id.au/index.php?page=stunnel.

Zu Problemen können auch Router oder Firewalls führen, falls Ports gesperrt sind.

Mir ist leider selbts nicht klar, wieso die ganze STUNNEL Konfiguration bei den Leuten derart unterschiedlich ausfällt, ich kenne den Zusammenhang nicht...

[tobel]

Hallo Frank, die Version von Paul Smedley scheint zuzrückgezogen. Die Seite wird nicht mehr gefunden. Ich poste heute abend mal das Log einer Verbindung, aus der ich entnehme, dass die Verbindung zustande kommt. Aber vielleicht lese ichs auch nur nicht richtig ...


Gruß, Thomas

[Frank Wochatz]

Ich habe noch eine Kopie:

http://www.subsys.de/STUNNEL_426.ZIP

[wilfried]

Hallo zusammen,

bei mir geht es darum POP3SPY und Eigenbau-Scripte weiterhin nutzen zu können.

Verstehe ich das richtig?:
Die Programme die bisher den Port 110 zur Mailkommunikation benutzen funktionieren mit dem Einsatz von STUNNEL weiterhin? STUNNEL fängt also den Port 110 ab und leitet ihn auf den verschlüsselten Port um?

[Frank Wochatz]

So würde ich das interpretieren. Wenn STUNNEL und Dein Provider zusammen funktionieren (wenn der Handshake funktioniert und die Verschlüsselung kompatibel ist), dann sollte der Zugriff eigentlich auch mit allen Programmen funktionieren.

[wilfried]

Da man dem POP3SPY keine Portnummer mitgeben kann und ich zwei Instanzen/Mailkonten abfragen möchte, habe ich nun wieder PUMON2 im Einsatz. Da man die Verschlüsselung im Thunderbird einstellen kann, benötige ich den Port zum Mailversenden nicht.

Meine Config sieht so aus:
socket = l:TCP_NODELAY=0
socket = r:TCP_NODELAY=0
client = yes
debug = 7
verify = 0
output = F:/T/stunnel.log

[t-online_pop3s]
accept = localhost:112
connect = popmail.t-online.de:995
delay = yes
;# protocol = pop3

[1&1_pop3s]
accept = localhost:111
connect = pop.kundenserver.de:995
delay = yes
# protocol = pop3

[wilfried]

Noch ein Nachtrag:

mit
DEBUG=0
in der Config-Datei funktioniert STUNNEL nicht

Aktuell verwende ich
DEBUG=5
Damit ist STUNNEL etwas weniger geschwätzig.

[Thomas Müller]

Hallo Frank,

zunächst einmal vielen Dank für dein Engagement bzgl. der Erstellung des Tutorial.

Auch ich sehe mich nun veranlasst mich mit diesem Thema auseinanderzusetzen und PMMail (Version 3.11.30.1767) mit stunnel so zu konfigurieren, daß ich von meinem Provider (https://www.swb-gruppe.de/) nicht rausgekickt werde. Da ich aber nun leider gar keine Affinität zu dieser Problematik habe, ergeben sich für mich trotz aufmerksamer Lektüre deines Tutorials noch Fragen.

Zunächst mal die erste Frage: du schreibst sinngemäß, dass man notwendige Angaben bei seinem Provider erfragen muss. Was sind denn die notwendigen Angaben, die ich erfragen muss?
Für weitere Unterstützung über die Erstellung des Tutorials hinaus wäre ich sehr dankbar (vielleicht hat ja schon jemand der Mitlesenden eine Konfiguration für den Provider vorgenommen und könnte das hier zur Verfügung stellen. Ansonsten werde ich das natürlich gern tun, wenn es denn bei mir mal funktioniert).

Herzliche Grüße aus Bremen

Thomas

[Frank Wochatz]

Hallo Thomas,

notwendige Angaben bei seinem Provider erfragen

Deinen Serverdaten sollten diese hier sein:

pop.swbmail.de:995

smtp.swbmail.de:587


Wie Du das einträgst, musst Du anhand der o.g. Beispiele ausprobieren.

D.h. zB. die "protocol" Angabe kann notwendig sein, oder auch nicht, und wie Du die Ports verwendest, musst Du auch probieren. Führt leider kein Weg dran vorbei, aber soviele Varianten gibt es ja nicht.

Viel Erfolg
Frank

[Thomas Müller]

Sehr schön, herzlichen Dank soweit.
Doch bevor ich anfange rumzuprobieren habe ich noch weitere Fragen.
Zunächst Interesse halber: woher hast du die Angaben (würde gern meine Kenntnisse vertiefen)?

Und - noch wichtiger für mich - woran erkenne ich während oder nach meiner Probiererei, ob ich denn nun verschlüsselt kommuniziere?

Thomas

[ARoederer]

Moin Thomas

Webseite E-Mail und POP3 auswählen dann der Eintrag "Wie lautet der Posteingangs- bzw. Postausgangsserver?".

Wenn Du die Einstellungen im PMMail so gemacht hast, wie oben angegeben und du dann neue Mails abrufen kannst, funktioniert es.
(Wenn Du tiefer einsteigen willst: Mailserver testen)

Andreas

[Thomas Müller]

Ah, okay.
Vielen Dank.

Thomas

[Thomas Müller]

Noch eine Frage zum Installationsverzeichnis für stunnel.
Sollte ich stunnel einfach in das PMMail Verzeichnis entpacken?
Oder sollte ich ein eigenes Installationsverzeichnis erstellen? In der readme.shl wird empfohlen, stunnel in das base directory (/usr) zu entpacken.
Was ist da ratsam?

Thomas

[Frank Wochatz]

Du kannst STUNNEL in ein eigenes Verzeichnis packen.

Hier ist das:

C:\PROGRAMS\stunnel

Dort sollten die Dateien liegen:
stunnel.config
stunnel.exe

Gestartet wird dann mit "stunnel.exe stunnel.config"

Ich würde als erstes mal folgende stunnel.config ausprobieren.

Code: Alles auswählen

socket = l:TCP_NODELAY=0
socket = r:TCP_NODELAY=0
client = yes
output = stunnel.log
verify = 0
debug  = 7

[popswb]
accept = localhost:995
connect = pop.swbmail.de:995
delay = yes

[smtpswb]
accept = localhost:587
connect = smtp.swbmail.de:587
delay = yes

In PMMail stellst Du ein:

unter POP/Receive:
POP Server localhost
Port 995

Unter Send/SMTP
Server: localhost
Port: 587

USername und Passwort sind ja schon drin, oder?

Und wenn das nicht geht als zweite Möglichkeit, die Protokolle ergänzen:

Code: Alles auswählen

socket = l:TCP_NODELAY=0
socket = r:TCP_NODELAY=0
client = yes
output = stunnel.log
verify = 0
debug  = 7

[popswb]
accept = localhost:995
connect = pop.swbmail.de:995
delay = yes
protocol = pop3

[smtpswb]
accept = localhost:587
connect = smtp.swbmail.de:587
delay = yes
protocol = smtp

Aber kein Stunnel oder SSL in PMail anschalten, sonder stunnel vor PMMail wie folgt im Stunnelverzeichnis starten:

stunnel.exe stunnel.config

Dafür kannst Du Dir natürlich auch ein Programmobjekt erstellen.

Wenn Du die SSL-GUI in PMMail verwenden willst, musst Du anders vorgehen, und wenn Du da einen Fehler machst, hängt sich PMMail auf. Das müsste ggf. jemand erklären, der es so benutzt.

[LotharS]

Wenn Du die SSL-GUI in PMMail verwenden willst, musst Du anders vorgehen, und wenn Du da einen Fehler machst, hängt sich PMMail auf. Das müsste ggf. jemand erklären, der es so benutzt.

Wenn Du das in PMMail 3.1x integrierte stunnel verwendest, dann braucht's kein extra Verzeichnis, sondern PMMail startet es automatisch aus seinem bin-Verzeichnis, wenn neben der Konfiguration natürlich auch "Enable tunnel" gesetzt ist. Klappt hier seit Jahresanfang einwandfrei ohne Hänger (hier v.3.11).

Eingefangen001.jpg (173.85 KiB) 16940 mal betrachtet

[Frank Wochatz]

Klappt hier seit Jahresanfang einwandfrei ohne Hänger

Ja, das geht schon, wenn man alles richtig eingibt. Die STUNNEL Version kann man da auch austauschen, falls man die andere benötigt.


Btw. neues aus dem SSL-Forschungslabor: die oben im ersten Beitrag genannte STUNNEL.Config für 1und1 dürfte eigentlich garnicht funktionieren, da der Port falsch anegeben ist. Funktioniert aber trotzdem, deswegen ist es nicht aufgefallen. PMMail geht, und laut STUNNEL.LOG funktioniert auch SSL. Ich vermute, 1und1 leitet die Anfragen auf den richtigen Port um, oder es kommuniziert unverschlüsselt.

Korrekt müsste die STUNNEL.CONFIG für 1und1 so aussehen:

Code: Alles auswählen

socket = l:TCP_NODELAY=0
socket = r:TCP_NODELAY=0
client = yes
output = D:\Driver\stunnel452\stunnel.log
verify = 0
debug  = 7

[smtp1und1]
  accept  = localhost:465
  connect = smtp.1und1.de:465
  delay   = yes
#  protocol = smtp

[pop1und1]
  accept  = localhost:995
  connect = pop.1und1.de:995
  delay   = yes
#  protocol = pop3

Wie man sieht, funktioniert das dann bei 1und1 ohne (und zwar nur ohne) die Angabe der Protokolle. 1und1 Nutzern würde ich empfehlen, das mal umzustellen. Denn 1und1 hat immer noch Emailverbindungen ohne SSL am Laufen, und es wäre denkbar, dass die Verbindung mit der o.g. nicht ganz korrekten STUNNEL.CONFIG unverschlüsselt läuft - und das nur im STUNNEL.LOG nicht richtig ersichtlich ist.

Tja so ist das mit undokumentierten Softwareports auf einem Neandertalerbetriebssystem und 15 Jahre alten Emailprogrammen. Eigentlich ein kleines Wunder, dass es überhaupt funktioniert. Bin jedenfalls froh, weiter PMMail benutzen zu können.

Übrigens habe ich o.g. RexxMail auch mit STUNNEL am Laufen. Geht also auch.

[LotharS]

Tja so ist das mit undokumentierten Softwareports

Ist doch alles vorhanden:

Code: Alles auswählen

...\MPTN\ETC\SERVICES

Die Provider mögen sich aber auch ans originale RFC6335 halten...

auf einem Neandertalerbetriebssystem

Das klingt aber jetzt ein wenig doppeldeutig?!

[Frank Wochatz]

Da steht aber auch nicht, wann man in STUNNEL localhost verwenden muss (oder hast Du einen Erklärung dafür, dass es manchmal sein muss, und manchmal damit garnicht geht?), wann man Protokolle angeben muss und wann nicht, und welche Variante nun für SSL / TLS etc. pp die richtig ist. Das darf man sich schön zusammen googeln und ausprobieren. Dazu kommt natürlich auch, dass die Provider teilweise keine ausführlichen Angaben machen, und das dort Begriffe falsch verwendet werden.

SSL und TLS gehören eigentlich richtig ins Mailprogramm integriert, und das Mailorgramm sollte alles ausser der Serveradresse alleine aushandeln.

[LotharS]

Da steht aber auch nicht, wann man in STUNNEL localhost verwenden muss....

Steht alles ausführlich in der Hilfe zu den "Secure Transfer" Settings... :

If you have more than one account for secure transfer, you must change the "SMTP server" or "POP server" entry to "Localhost". For a single account this is handled automatically by PMMail.

Diese Info gab es natürlich nicht im längst veralteten PMMail 2.x.

SSL und TLS gehören eigentlich richtig ins Mailprogramm integriert

Die Wunschliste an PMMail ist sicher länger... aber seien wir dankbar für diese im Prinzip One-man-(Weiter!-)Entwicklung. Ich habe nichts dagegen, wenn nützliche Dritt-Features "modular" mitgeliefert und insofern "integriert" sind, dass der Start z.B. von stunnel mit dem Start des Hauptprogramms automatisch geschieht. OS/2 und seine Anwendungen sind halt manchmal etwas "eckig", oft solche in Linux (install dies-noch-und-das-noch), und ganz schlimm unter Win (da weiß'te nie, in welchen heimlichen Einträgen und Diensten da vollautomatisch "richtig integriert" wird...).

Nachtrag aus der o.a. Hilfe:

The Protocol is necessary for port numbers where the encryption is optional. For SMTP these are ports 25 and 587. For POP3 it is port 110.

und:

Note: An alternate method to using PMMail's Secure Transfer interface is to run Stunnel separately outside of PMMail's purview. In this case you have access to all of Stunnel's capabilities. Of course, you must learn how configure Stunnel on your own. To connect to Stunnel you put "localhost" in the server entry fields, and the configured port number in the "Port" field.

Vielleicht ist ausgerechnet 1&1 ein Beispiel, wo man ums lästige Probieren nicht herumkommt. Und mit meinen Providern hatte ich bloß Glück