qメール

qmail はUnix上で動作するメール転送エージェント(MTA)です。1995 年 12 月からDaniel J. Bernsteinによって、人気のSendmailプログラムのより安全な代替として作成されました。もともとライセンスフリーのソフトウェアでしたが、qmail のソースコードは後に作者によってパブリック ドメインに提供されました。 ^[3]

qmail は最初に公開されたとき、セキュリティを考慮した最初のメール転送エージェントでした。それ以来、他のセキュリティを考慮したMTA が公開されてきました。qmail の最も人気のある前身であるSendmail は、セキュリティを目的として設計されていなかったため、攻撃者の絶え間ないターゲットとなってきました。sendmail とは対照的に、qmail は相互に信頼できないコンポーネントで構成されたモジュール アーキテクチャを備えています。たとえば、 qmail のSMTPリスナー コンポーネントは、キュー マネージャーや SMTP 送信者とは異なる資格情報で実行されます。qmail は、 C 標準ライブラリのセキュリティを考慮した代替品を使用して実装されたため、スタックおよびヒープオーバーフロー、書式文字列攻撃、または一時ファイルの競合状態に対して脆弱ではありませんでした。

qmail はリリース当時、特にメーリング リスト サーバーなどの大量メール処理において Sendmail よりも大幅に高速でした。qmail はもともと、大規模なメーリング リストを管理する方法として設計されました。

qmail が導入された時点では、Sendmail の設定は非常に複雑でしたが、qmail は設定と展開が簡単でした。

qmail は、メールにおけるいくつかの革新的技術 (Bernstein が考案したものもあれば、そうでないものもあります) の使用を推奨しています。

メールディレクトリ

Bernstein は、qmail 用にMaildir形式を発明しました。これは、個々の電子メール メッセージを別々のファイルに分割するものです。すべてのメッセージを 1 つのファイルに保存する事実上の標準であるmbox形式とは異なり、Maildir は多くのロックや同時実行の問題を回避し、 NFS経由で安全にプロビジョニングできます。qmail は mbox メールボックスにも配信します。

ワイルドカードメールボックス

qmail では、ユーザー制御のワイルドカードの概念が導入されました。qmail ホスト上の「user- wildcard 」宛てのメールは、すぐに別のメールボックスに配信され、ユーザーはメーリング リストやスパム管理用に複数のメール アドレスを公開できます。

qmailでは、事実上の標準であるSMTP（Simple Mail Transfer Protocol）よりも優れたパフォーマンスを実現するように設計された電子メール転送プロトコルであるQuick Mail Transport Protocol（QMTP）も導入されています。 ^[4]また、複数のホスト間で電子メールキューを共有するために設計されたネットワークプロトコルであるQuick Mail Queuing Protocol（QMQP）も導入されています。^[5]

qmail はほぼ完全にモジュール化されたシステムであり、各主要機能は他の主要機能から分離されています。新しいモジュールが元のモジュールと同じインターフェイスを保持している限り、qmail システムの任意の部分を別のモジュールに置き換えることは簡単です。

1997年、バーンスタインは、最新のソフトウェアバージョンで検証可能なセキュリティホールを最初に公開した人に500ドルの報奨金を出すと発表しました。 ^[6]

2005 年、セキュリティ研究者の Georgi Guninski はqmail に整数オーバーフローがあることを発見しました。64 ビット プラットフォームでは、十分な仮想メモリを備えたデフォルト構成で、特定の qmail コンポーネントに大量のデータを配信すると、リモート コード実行が可能になります。Bernstein は、これが実用的な攻撃ではないと反論し、実際の qmail の展開では影響を受けないと主張しています。qmail コンポーネントのリソース制限を構成すると、脆弱性が軽減されます。^[7]

2007 年 11 月 1 日、バーンスタインは報奨金を 1,000 ドルに引き上げました。^[1]翌日のスライド プレゼンテーションで、バーンスタインは 10 年前の qmail-1.03 には 4 つの「既知のバグ」があり、そのどれもが「セキュリティ ホール」ではないと述べました。彼は、ガンインスキーが発見したバグを「未チェックのカウンタの潜在的なオーバーフロー」と表現しました。「幸い、カウンタの増加はメモリと設定によって制限されていましたが、これは完全に幸運でした。」^[8]

2020年5月19日、 Qualys ^[9]によってGuninskiの脆弱性を悪用した有効なエクスプロイトが公開されましたが、エクスプロイトの作成者は追加の環境制限が含まれているため報奨金を拒否されたと述べています。

コアqmailパッケージは長年更新されていません。^{[10]新しい機能は当初サードパーティのパッチによって提供されていましたが、その中で当時最も重要な機能は}netqmailと呼ばれる単一のメタパッチにまとめられました。^[11]

qmail はSendmailの代替品として設計されたものではなく、あらゆる状況でSendmail とまったく同じように動作するわけではありません。場合によっては、こうした動作の違いが批判の根拠となっています。たとえば、qmail のバウンスメッセージへのアプローチ (QSBMF と呼ばれる形式) は、IETFの RFC 1894 ^[12]で指定された配信状態通知の標準形式とは異なります。この標準形式は、その後RFC 3464 ^{[13]として}ドラフト標準に進み、 SMTP仕様で推奨されています。

qmail の機能の中には、メール転送の複雑さを招いているとして批判されているものもあります。たとえば、qmail の「ワイルドカード」配信メカニズムとセキュリティ設計により、SMTP トランザクション中に偽造された、または存在しない送信者からのメッセージを拒否することができません。^[14]過去には、これらの違いにより、スパム リレーとして悪用されたときに qmail が異なった動作をした可能性がありますが、最近のスパム配信技術はバウンス動作の影響を受けにくくなっています。

qmailは2007年11月にパブリックドメインにリリースされました。^[15] 2007年11月まで、qmailはライセンスフリーソフトウェアであり、一定の制限（主に互換性に関するもの）が満たされた場合に限り、ソース形式またはコンパイル済み形式（「var-qmailパッケージ」）での配布が許可されていました。この異例のライセンス契約により、qmailはいくつかのガイドライン（DFSGなど）に従って非フリーとなり、論争の原因となりました。

qmail は、広く導入されている唯一のパブリック ドメイン ソフトウェアメッセージ転送エージェント ( MTA ) です。

• qpsmtpd
• djbdns
• メールサーバーのリスト
• メールサーバーの比較

• 公式サイト 、著者によって管理されています。
• qmail.org、Russ Nelson が管理
• qmail-LDAP-UI – qmail-LDAP-UI は Web ベースのユーザー管理ツールです
• Qmailtoaster – 適切なディストリビューション用の RPM ファイルを配布し、qmail をすばやく簡単にインストールします。Wiki とメーリング リストがあります。
• pkgsrc qmail と qmail-run は、pkgsrc に含まれる、簡単にインストールできるクロスプラットフォームの qmail ソース パッケージのペアです。
• FAQTS の qmail セクションは、qmail ユーザーが作成した広範な知識ベースです。
• qmail wiki は以前は Inter7 によってホストされていました
• JMSimpson qmail サイト John M. Simpson による、qmail に関する役立つ情報 (説明やパッチを含む) (定期的に更新)
• 非公式 qmail バグとウィッシュリスト
• qmail キューメッセージ配信 (PHP)
• qmail-distributions – qmail パッチを使いやすいディストリビューションにまとめたもの
• Roberto の qmail ノート – qmail および関連ソフトウェアに関する英語/イタリア語のハウツー。大きなパッチが含まれており、定期的に更新されます。