Технология DomainKeys (DKIM) вошла в проект стандарта (http://www.rfc-editor.org/rfc/rfc4871.txt) RFC 4871 как основной метод аутентификации отправителя электронных сообщений.Суть DomainKeys во включении в заголовок проверочного ключа и распространение для данного домена открытого ключа посредством DNS. Почту можно считать спамом, если ключ в заголовке отсутствует или некорректен (проверочный ключ формируется на основе тела сообщения и закрытого ключа, известного хозяину почтового сервера). Заголовок с ключом может генерироваться как на уровне сервера, так и на уровне пользовательского ПО. Минусы технологии - трудность интеграции, возможность утечки секретного ключа с машины клиента. Поддержка проверки DomainKeys имеется в SpamAssassin начиная с версии 3.1. Из известных почтовых служб DomainKeys используется в Yahoo и Gmail.
URL: http://www.spamtest.ru/news?id=207508910
Новость: http://www.opennet.me/opennews/art.shtml?num=10954
SPF лучше, проще. Никаких ключей и утечек. Только толку - ноль. Исползуют - единицы. С этой батвой та же история.
SPF проще, но не лучше. Потому и толку ноль. Потому и пользуют единицы.
А эта "батва" имеет шанс, особенно, если открытый ключ будет сертификатом, заверенным удостоверяющим центром.
>А эта "батва" имеет шанс, особенно, если открытый ключ будет сертификатом, заверенным
>удостоверяющим центром.Твой удостоверяющий центр будет слабым звеном. Да кому сдались эти сертификаты?! Лень человеческая тут как раз тормоз прогресса. Попробуй начать отвергать такие письма без DomainKeys, и ты останешься в гордом одиночестве. Или с работы выгонят.
Или узнаешь почем нынче фунт вазелина
Почитал предложенный RFC... Удостоверяющий центр не нужен. Там и так достаточно красивая схема.А отвергать письма без DomainKeys не обязательно. Можно просто принимать письма с DomainKeys без дополнительных проверок. Для начала... Дальше надо смотреть на распространение технологии.
А прелесть сей технологии в том, что письмо подписывает не отправитель, а его почтовая система - в общем случае, почтовый сервер провайдера. Соответственно, провайдеру достаточно ввести обязательную аутентификацию и большая часть проблем решена.
Вы смотрите на логи своих почтовых серверов? Откуда идет спам, обращали внимание? То что я вижу - спам идет большей частью с заражённых виндовых машин - ботнетов. А я как могу их опознать средствами почтового сервера с учётом того, что протокол SMTP один для всех? Да практически никак. Немного помогает проверка имени хоста отправителя...
А с помощью DomainKeys я могу убедиться, что письмо оправлено с реального почтового сервера реально существующего домена. Замечательно! Своих пользователей я так же просто отличу с помощью аутентификации. Остальное - потенциальный спам...
Да, спаммеры тоже могут регистрировать домены и поднимать в них почтовые сервера, но такие ситуации очень просто обнаружить. Соответственно, проживёт такой домен совсем не долго.При распространении этой технологии, можно будет просто увеличивать рейтинг писем НЕ от моих пользователей и БЕЗ DomainKeys как спама.
И может, когда-нибудь, можно будет такие письма вовсе отвергать :-/
>Дальше надо смотреть на распространение технологии.Я застал времена, когда опенрелаи были обычным делом. Появились черные списки куда стали попадать целые провайдеры. Провайдерам это очень не понравилось и они стали дрючить своих клиентов. Нашу фирму чуть от инета не отключили. У нас стоял какой-то древний MS Exchange, через который спам валил.
Другими словами, люди понимают только силу. А вот те кто эту силу могут применить не обладают волей к этому. Или желанием. Экономически нецелесообразно и точка.>Соответственно, провайдеру достаточно ввести обязательную аутентификацию и большая часть проблем решена.
Да пойми ты, для провайдера спам это трафик=деньги. Не будут они ничего делать. Они не хотят даже закрыть для своих юзеров 25 порт на отправку, и завернуть его на свой SMTP. Это так сложно?!
>И может, когда-нибудь, можно будет такие письма вовсе отвергать :-/
:) Мы станем к тому времени дедушками. И нам будет уже все равно...
Ну уж прям совсем провайдеров за дураков держите. У нас 25-й порт закрыт. Никому не охота, чтобы подсети в блэклисты попадали.
>Ну уж прям совсем провайдеров за дураков держите. У нас 25-й порт
>закрыт. Никому не охота, чтобы подсети в блэклисты попадали.Не за дураков, а лентяев. Все всё прекрасно знают но ничего не делают. Провайдеры разобщены. Конференция http://www.ofisp.org/ тому доказательство. Манагеры-продажники взяли верх над технарями. Не согласен?
>делать. Они не хотят даже закрыть для своих юзеров 25 порт
>на отправку, и завернуть его на свой SMTP. Это так сложно?!Завернуть весь трафик 25 порта на свой релей это супер, если почта для внутренних IP принамается без аутентификации получим open relay размером со всю сеть :-)
>Завернуть весь трафик 25 порта на свой релей это супер, если почта
>для внутренних IP принамается без аутентификации получим open relay размером со
>всю сеть :-)Клиент (не "юрик", ясен пень) не должен иметь возможности отправлять почту вовне минуя smtp-сервер провайдера. Так понятно?
>>Завернуть весь трафик 25 порта на свой релей это супер, если почта
>>для внутренних IP принамается без аутентификации получим open relay размером со
>>всю сеть :-)
>
>Клиент (не "юрик", ясен пень) не должен иметь возможности отправлять почту вовне
>минуя smtp-сервер провайдера. Так понятно?Тогда не завернуть, а заблокировать. Впринципе понятно, что имелось в виду завернуть клиента службой поддержки. Но некоторые могут неправильно понять, форвард 25 порта настроить и начать пропускать через свой релей трафик с зомби машин отправленный напрямую.
>Да пойми ты, для провайдера спам это трафик=деньги. Не будут они ничего делать.Да ну конечно. Когда исходящим спамом полностью забиваются аплинки и остальные клиенты начинают, мягко говоря, ругаться в телефоне, провайдер сразу начинает понимать, что трафик за спам - это не деньги, а головная боль :)
>Да ну конечно. Когда исходящим спамом полностью забиваются аплинки и остальные клиенты
>начинают, мягко говоря, ругаться в телефоне, провайдер сразу начинает понимать, что
>трафик за спам - это не деньги, а головная боль :)Я тебе страшную тайну открою... Аплинки забиты фильмой, порнухой и т.д. Спама там с гулькин нос.
>А прелесть сей технологии в том, что письмо подписывает не отправитель, а
>его почтовая система - в общем случае, почтовый сервер провайдера.Это как раз слабое звено, в последнее время очень много спама направляется с зомби машин не напрямую, а через релей провайдера, видимо троян если какие-то стандартые настройки того же оутлука находит начинает слать через релей. В итоге спам будет подписан как нормальная почта.
>Вы смотрите на логи своих почтовых серверов? Откуда идет спам, обращали внимание?
>То что я вижу - спам идет большей частью с заражённых
>виндовых машин - ботнетов.У меня процент таких машин стремится к нулю благодяря ряду нехитрых проверок. Но постоянно растёт доля спама через легитимные релеи. Например, от *orange.fr, я, видимо, почту откажусь принимать совсем, там почтовые администраторы совсем невменяемые, хотя, казалось бы, крупная телеком-корпорация, и за такими вещами должна следить и хотя бы держать abuse team отличной от текущей (им часто просто невозможно послать письмо потому, что их ящик 99% времени over quota).
такая же фигня с *orange.fr -- , хорошо хоть грэйлистинг в данном случае немного помогает
>такая же фигня с *orange.fr -- , хорошо хоть грэйлистинг в данном
>случае немного помогаетК сожалению, не особо. Так как их почтовый кластер, (хоть он и имеет много SMTP-фронт-ендов и за счёт этого на какое-то время стопорится грейлистингом) всё равно есть легитимный почтовый сервер и он будет и будет пробовать пропихнуть тебе это письмо (пусть и с разных адресов, но в конце концов круг замкнётся и твой greylisting его пропустит).
Грейлистинг просто не помогает против легитимных SMTP-серверов: со статическим IP и имеющим нормальную очередь и ограниченное количество front IP-шников. Поэтому имеет смысл его применять для хостов, легитимность которых вызывает сомнения, остальных имеет смысл или пропускать (и обращаться к их abuse team, если что не так), либо глухо блокировать (если abuse team невменяема).
>К сожалению, не особо. Так как их почтовый кластер, (хоть он и
>имеет много SMTP-фронт-ендов и за счёт этого на какое-то время стопорится
>грейлистингом) всё равно есть легитимный почтовый сервер и он будет и
>будет пробовать пропихнуть тебе это письмо (пусть и с разных адресов,
>но в конце концов круг замкнётся и твой greylisting его пропустит).
По факту говорю. У меня процентов 10 пролезает от туда, остальное откидывает.
Значит, мы говорим о разных вещах. Я -- о спаме через почтовый кластер orange.fr, вы -- о спаме с клиентских машин в подсетке orange.fr.
Сейчас зашел и поглядел -- вы совершенно правы.
Угу, особенно если учесть, что есть центры дающие сертификацию нахаляфу.
А СПФ точно не лучше. Одна проблема с форвадром чего стоит :)
>А СПФ точно не лучше. Одна проблема с форвадром чего стоит :)письмо как вложение - никак?
>>А СПФ точно не лучше. Одна проблема с форвадром чего стоит :)
>
>письмо как вложение - никак?Речь не кнопочку forward в MUA. Речь про ~/.forward (или сходные механизмы), которые применяются, когда респондент, например, сменил адрес и хочет, чтобы письма из его старого ящика доходили на новый. Желательно -- средствами протокола SMTP, без rPOP.
про батву это вы о BATV? :)
История с SPF не учит.
Кто запретит спамерам рассылать спам с валидными ключами со своих доменов ?Правильный путь - сбор платы за каждое отсылаемое письмо с предоплатой.
Спасибо, поржал. :)
Охотно возьму на себя бремя сбора платы. Прислать реквизиты?
>Спасибо, поржал. :)
>Охотно возьму на себя бремя сбора платы. Прислать реквизиты?Лет через 5. А пока готовься разворачивать x.400.
>История с SPF не учит.
>Кто запретит спамерам рассылать спам с валидными ключами со своих доменов ?
>
>
>Правильный путь - сбор платы за каждое отсылаемое письмо с предоплатой.спам не может придти с валидным ключём по той простой причине что закрытого ключа у спамера нет, а сигнатура проверяется на основе октрытого ключа опубликованного через SRV запись в DNS.
поправка, прочитал через слово...
а что, так много спамеров которые используют реальные домены.??? -- неуверен вовсе.
>а что, так много спамеров которые используют реальные домены.??? -- неуверен вовсе.Используют-используют. Несуществующие мы, например, сразу reject'им, это ослабляет поток спама, но не то, чтобы кардинально.
тут мне добавить особенно нечего, я видимо с такими не встречался, а странно, учитывая, что в среднем ~4 Гг в месяц.
поправочка ... оно конечно есть, но это десяток доменов, и за ними легко проследить.
>История с SPF не учит.
>Кто запретит спамерам рассылать спам с валидными ключами со своих доменов ?
>
>Правильный путь - сбор платы за каждое отсылаемое письмо с предоплатой.Ну да, и владельцы затрояненных машин начнуть не только трафик терять, а еще и отправку спама оплачивать. При не unlimit тарифах пользователи всегда платили и платят за отпраку сообщений.
>>История с SPF не учит.
>>Кто запретит спамерам рассылать спам с валидными ключами со своих доменов ?
>>
>>Правильный путь - сбор платы за каждое отсылаемое письмо с предоплатой.
>
>Ну да, и владельцы затрояненных машин начнуть не только трафик терять, а
>еще и отправку спама оплачивать. При не unlimit тарифах пользователи всегда
>платили и платят за отпраку сообщений.
В этом вся суть ! Как только компании начнут нести финансовые потери из-за своих заражённых ПК или от открытых релеев, то сразу начнётся выделение денег на поиск и внедрение технический решений. Это же бизнес: финансируется только то, что приносит или экономит деньги. Те кто поддерживает ITSM меня поймут.С физ. лицами немного не так, но тоже интересно. Если сделать стоимость отсылки письма такую, при которой отправка 100 писем съест все деньги на счёте, то это будет не только стимулом держать ПК чистым, но и автоблокировкой рассылки.
Что с кухарками делаем-с?
>Что с кухарками делаем-с?Кухарки сначала повозмущаются, а потом их ISP придумают что-нибудь, если хотят сохранить клиентов.
Пока за спам платит и страдает получатель, а причина у отправителя, ничего не изменится.
>>Что с кухарками делаем-с?
>Кухарки сначала повозмущаются, а потом их ISP придумают что-нибудь, если хотят сохранить
>клиентов.
Гениально. Не вижу ни повода к возмущению (они как забитый канал и глючащую винду не замечают, так тем более забитый процессор не заметят), ни с чего бы это ISP всё бросили и побежали "придумывать что-то", если до сих пор почему-то не придумали.>Пока за спам платит и страдает получатель, а причина у отправителя, ничего
>не изменится.
Мне кажется, не так. Пока за спам не сажают _организаторов_ (ещё лучше -- не отрубают правую руку для начала), ничего не изменится.
>>>Что с кухарками делаем-с?>>Кухарки сначала повозмущаются, а потом их ISP придумают что-нибудь, если хотят сохранить
>>клиентов.>Гениально. Не вижу ни повода к возмущению (они как забитый канал
>и глючащую винду не замечают, так тем более забитый процессор не
>заметят), ни с чего бы это ISP всё бросили и побежали
>"придумывать что-то", если до сих пор почему-то не придумали.Снятые деньги с личного счёта за спам-рассылку это повод для возмущения клиентов и стимул для ISP что-то придумывать. Для домохозяек уже всё придумано: заблокировать исходящие соединения SMTP от клиентов, доступ к почте давать через Web Browser.
>>Пока за спам платит и страдает получатель, а причина у отправителя, ничего
>>не изменится.>Мне кажется, не так. Пока за спам не сажают _организаторов_ (ещё
>лучше -- не отрубают правую руку для начала), ничего не изменится.
>Организаторов ? А заказчиков ? Экономические методы более эффективны. Даже небольшая плата за почту превратит массовые рассылки в очень разорительное мероприятие. Будет дешевле рекламу заказать в прессе или на ТВ. Сейчас фраза "за $100 разошлём миллион писем потенциальным клиентам воздействует на заказчиков-идиотов как прорыв в новые сферы". Плата в 1 руб. за письмо убьёт бизнес".
>Для домохозяек уже всё придумано: заблокировать исходящие соединения SMTP
Вот только почему-то хватает тех, кто так не делает и на релее не зажимает хотя бы rate limiting'ом.>>Мне кажется, не так. Пока за спам не сажают _организаторов_ (ещё
>>лучше -- не отрубают правую руку для начала), ничего не изменится.
>Организаторов ? А заказчиков ?
Сложнее поймать за то, что надо бы отрубить. Можно попытаться натравливать налоговую на предмет неуплОченного налога за рекламу разве что... и то если возможно доказать, что заказывали -- они, а не подстава.>Даже небольшая плата за почту превратит массовые рассылки в очень разорительное
>мероприятие. Будет дешевле рекламу заказать в прессе или на ТВ. Сейчас фраза "за $100
>разошлём миллион писем потенциальным клиентам воздействует на заказчиков-идиотов
>как прорыв в новые сферы". Плата в 1 руб. за письмо убьёт бизнес".
Уж лучше пусть спамеру будет страшно открывать письмо потенциального заказчика или принимать звонок, а не ждут ли уже за дверью.PS: иногда трачу немного времени на телефонное вразумление местных заказчиков спама, которые оставляют телефоны. Примерно раз из трёх, может быть, какой-то толк и бывает (ещё раз -- уже всё, бессовестные отморозки).
спамеры уже давно используют и реальные домены и собственное железо и собственные каналы - это всего лишь бизнес как и любой другой.
>спамеры уже давно используют и реальные домены и собственное железо и собственные
>каналы - это всего лишь бизнес как и любой другой.Ботнеты они используют, не смеши.
сломаная машина через кривой пыхпых скрипт с реальным доменом и даже с этими глупыми подписями будет членом ботнета, зато пускать будут без проблем.. а это бизнес, не знаете, молчите.
>сломаная машина через кривой пыхпых скрипт с реальным доменом и даже с
>этими глупыми подписями будет членом ботнета, зато пускать будут без проблем..
>а это бизнес, не знаете, молчите.Ты не мне отвечай, я то все это знаю.
>сломаная машина через кривой пыхпых скрипт с реальным доменом и даже с
>этими глупыми подписями будет членом ботнета, зато пускать будут без проблем..
>а это бизнес, не знаете, молчите.интересная постановка вопроса, интересно и то, каким макаром пых-пых будет письма подписывать
>>сломаная машина через кривой пыхпых скрипт с реальным доменом и даже с
>>этими глупыми подписями будет членом ботнета, зато пускать будут без проблем..
>>а это бизнес, не знаете, молчите.
>
>интересная постановка вопроса, интересно и то, каким макаром пых-пых будет письма подписыватьПодразумевается, что не клиент на своей стороне подписывает, а на релее который ответственнен за домен. Каждому клиенту ключ никто генерировать не будет, как я понял он один общий на домен и запись в DNS одна как в SPF.
>>>сломаная машина через кривой пыхпых скрипт с реальным доменом и даже с
>>>этими глупыми подписями будет членом ботнета, зато пускать будут без проблем..
>>>а это бизнес, не знаете, молчите.
>>
>>интересная постановка вопроса, интересно и то, каким макаром пых-пых будет письма подписывать
>
>Подразумевается, что не клиент на своей стороне подписывает, а на релее который
>ответственнен за домен. Каждому клиенту ключ никто генерировать не будет, как
>я понял он один общий на домен и запись в DNS
>одна как в SPF.это я понимаю, а как пых-пых будет письма подписывать ??
допустим ВВВ находиться на той-же машине что и почтавик, ну отправить то он естественно может -- а подписать то как ???
почитайте буквы которые в самом вверху..
А вообще если не на сервере подписывать - нафик такой геморой.. да и вообще технологию в целом, мс предлагала подобное уже, неудобно. имхо
Стандарт для аутентификации!, а не для защиты от спама!Спаммер и дальше может отсылать со своего домена письмо. Единственное, подделать заголовки уже будет невозможно.
А насчёт борьбы со спамом, против бот-нетов сделать, к несчатью, ничего нельзя. =( А так мне кажется интресной идейей испольользовании задачек "puzzles". Например, можно попросить машину пользователя при отправке письма разложить небольшое число на множетели. Как только решит и даст ответ, письмо пропускается. Задержка при отправке письма будет небольшая (200-300 миллисекунд), а когда нужно будет отправить 10000 писем,тут хана наступит =)
>А так мне кажется интресной идейей испольользовании задачек "puzzles".
Идиотская идея (из MS, что ли).То на зашкаливание энергопотребления жалуются, то вот так энтропию поднимать в промышленных масштабах собираются десятками тысяч куховаренных машин, которые всё равно будут молотить праймы и слать спам via свой дырявый ie...
На мой взгляд был бы более грамотнее использовать комбинированный метод с зашумлённой картинкой и сертификатом:
SMTP-сервер при фиксировании приёма с какого-либо адреса, генерит картинку с буквами и цифрами и устанвливает у себя соответсвие между адресом, символами на картинке ну и например live-time, передаёт картинку отправляющему SMTP-серверу. Отправляющий SMTP-сервер, не найдя у себя кешированого ответа от пользователю, передаёт пользователю картинку. Пользователь вводит символы отправляющий SMTP кеширует, отправляет к принимающему SMTP.
Ну а для relay пользовать как раз подписанные сертификаты.
Конешно идею ещё надо проработать, но в целом надеюсь она ясна.
> Спаммер и дальше может отсылать со своего домена письмо.Вот и отлично - это проблема администрации домена.
> А насчёт борьбы со спамом, против бот-нетов сделать, к несчатью, ничего нельзя.
Как раз DKIM и есть борьба с ботнетами. Если я не принимаю писем без DKIM ни от кого, кроме своих АВТОРИЗОВАННЫХ пользователей или из своих сетей, то спаммеру остаётся только вышеуказанный вариант - почтарь провайдера.
Хотя пока это только мечты... :-(
Эх, вот если бы сделать электрописьмо лишь вторичным каналом общения по моменту использования. То есть изначально обменяться именами ящиков через любые известные альтернативные службы, как то: IM, телефон, регистрационная форма на сайте, да что угодно, хоть из подписей единомышленников на любимом форуме наскрести тех, кто имеет право тебе послать почту!
Ведь фактически почтовый ящик - это филиал твоего дома-крепости, а лезут туда сапогами те, кто тебе неизвестен. Следовательно, серверу для выборочного принятия писем нужно содержать не сжирающий время антиспамовый фильтр, пытающийся дорасти до искусственного разума, а лишь базёнку с соответствующим каждому ящику списком "дружеских ящиков", которые прекрасно индексируются и даже кроссируются - друг моего друга - мой друг (с устанавливаемой пользователем или администратором глубиной вложенности)...
Да, есть отдельные типы ящиков, для которых такая политика несёт потерю функционала, например for_abuse@...., support@..., admin@...., и т.д. - для этих избранных ящиков можно будет блокировку либо отключить (что в любом случае сэкономит 99% нервов и трафика пользователей), либо упростить через предварительную регистрацию на сайте.
Много ли каждому из вас приходит важных писем от неизвестного адресата? Какой процент? Знает ли о вас что-либо этот важный адресат? Конечно, иначе вам бы он был не важен :-) - это уже логично. Значит, он может просто засветить свой ящик на вашем сайте-форуме-аське-жаббере-телефоне. Как это обычно бывает: тут долго объяснять, давай я тебе по мылу пошлю, какой там у тебя адрес?
Думаю, с вами не согласятся владельцы почтовых ящиков различных фирм. У них как раз много писем от неизвестных людей, желающих связаться с этии самыми фирмами по электронной почте (без всяких телефонов и т.п.) - просто взять и написать письмо. И как тут быть с этими "белыми списками"?
короче все посмеялись.. предлогаю поменять smtp порт =)
Рассмотрим вопрос с точки зрения спамера?Врага надо знать в лицо.Если бы я задался целью доставить мое сообщение адресату - что бы я сделал?Правильно, да забил бы болт на все эти сопливые системы, непонятно зачем предназначенные.Дядькам просто делать нехер, вот они и ... как тот кот.Эти затеи - детский сад, штаны на лямках.Вредно считать противника дебилом который будет ломиться именно в стальную дверь, если она была поставлена в чистом поле.Вот например векторы атак на эти чудеса природы, показывающие что это лажа и ничего не изменит:1) Легитимный юзер определенно может слать письма кому угодно.И они валидны.И дойдут.Или как, простите, почта ходить будет?Ну вот то-то.Трояним юзера.Шлем письма.От его лица.Легитимно, бело и пушисто.И будет работать до тех пор пока сам юзер может письма слать.И нихрена с этим чудо-системы не сделают.При большом желании даже можно подписать письмо цифровой подписью юзеря.Геморно.Но можно.Если юзер подтроянен - у трояна есть те же права что и у юзера.Что помешает трояну делать точно то же что и юзеру?С точно теми же правами.
2) Можно хакнуть POP3, IMAP или web-mail сервер и доставить письмо как минимум его подписчикам.Редко?Зато как метко!
3) Можно слепить вполне легитимный домен на какого-то бомжа из Зимбабве.И даже сертификатами его обвешать, сконфигурять и прочая.И когда все будут считать его белым и пушистым разослать с него туеву хучу почты, окупив затраты в соотношении 1 к 100.И что вы с этим сделаете?Как отличить заведомо нехороших дядей от белых и пушистых?На спамере не написано что это спамер.Поэтому он сможет то же что и белые и пушистые владельцы другого домена.Как то получить все сертификаты и прочая.А то что с этого домена потом пошлют много почты можно и не рассказывать никому, угу?Ну, снесут домен.И черт с ним.При доходах спамеров они на заработанное еще 10 себе нарегают, обвесят сертификатами и продолжат банкет.