Jak si antispam opravdu nepředstavuji

9.7.2006 20:13 | poslední úprava: 7.1.2007 22:21

.        

Komentáře

[fakenickname]

no tak se tam ten ban nedá a bude to fungovat stejně, nevim co řešíš.

[Filip Jirsák]

Jak už jsem psal v oné diskuzi, řešení s prázdným políčkem není stoprocentní, chodí mi spam i přes formulář s přesně tímhle typem ochrany. Myslím, že na nějakou dobu bude řešením vyplňovat nějaké políčko javascriptem (třeba hash nebo dynamicky generovaný javascript), ale je otázka, za jak dlouho se roboti naučí vykonávat javascript.

[Lukáš Rýdlo]

A taky je otazka, co s uzivately, kteri maji JS vypnuty, ale chteji formular pouzit... Myslim si, ze by lepsi upravou teto ochrany bylo to policko odkryt a pozadat uzivatele o zadani urciteho pismene/pismen z obsahu vzkazu (napr. "pro kontrolu sem opiste 3. a 5. pismeno vaseho komentare"). Samozrejme je to opet snadno napadnutelne a zneprijemnuje to praci uzivateli... Jedine opravdu spolehlive reseni, jak se zbavit spambotu, spociva v pozadavku na ukon, ktery je algoritmicky tezko resitelny, ale pro cloveka snadny. At uz jde o prepsani pismenek z obrazku nebo prepsani slova ze zvukove ukazky. Kazdopadne tim opet diskriminujeme i nektere lidi (nevidome, neslysici).

[Filip Jirsák]

Jasně, bral jsem JS pro ty, kteří ho mají zapnutý. Ostatní holt neprojdou prvním kolem testu a v druhém kole jim lze předhodit CAPTCHA, vyřešení nějaké úlohy atd.

[#Tom]

Tady nejsme ale v oblasti kryptografie. Založit opatření proti spamu na tom, že je útočník nezná, nemusí být zase tak špatné, pokud zajistíme velkou proměnlivost tohoto opatření. V podstatě jsou na tomto založeny všechny ochrany proti spamovým automatům umožňující přístup neregistrovaným uživatelům. Analýza obsahu komentáře také mnoho neřeší, protože není stoprocentně účinná. Třeba u GMailu mi antispam vadí velice, raději vyhodím ručně tisíc mailů o viagře, než abych si nechal ztratit i třeba jen jeden nepodstatný antispamem vyřazený, jinak ovšem nezávadný e-mail.

[Käyttäjä 11133]

Ani jeden ham se mi do spamového koše na gmailu NIKDY nedostal.

[#Tom]

Mně jo, protože mám ze staré adresy přesměrovanou všechnu poštu do GMailu, a na tu starou adresu chodí pytel smetí každý den. Debilní GMail si proto moji starou adresu ohodnotil nějak špatně – aby také ne, když je uvedena i u mnoha nevyžádaných e-mailů v kolonce odesílatele – a najednou mi začal všechny přesměrované e-maily zahazovat. Naštěstí jsem v nápovědě našel, že tento problém lze obejít zařazením adresy do kontaktů, čímž je tato vyňata z filtrování. Připadal jsem si jako ve Windows.

[Kníže Ignor]

Ale u komentářů máme tu výhodu, že jeho zadavatel okamžitě pozná, že byl jeho komentář ohodnocen jako spam, pak může využít možnosti registrace, kontaktovat provozovatele nebo něco jiného. Když nějaký spam projde, tak to také moc nevadí, protože ho administrátor může za spam označit ručně a systém se postupně může tento druh spamu naučit rozpoznávat.

Podobnost s kryptografií tu podle mě je, mně nejznámější antispamová metoda CAPTCHA je založena podobně jako moderní kryptografické metody na tom, že pro stroj je nějaká úloha řešitelná jen velmi obtížně nebo v rozumném čase neřešitelná - v případě kryptografie rychlá faktorizace čísel, v případě CAPTCHA zase např. rozpoznání slova na obrázku.

[#Tom]

Obrázky s textem mne vytáčení, občas, když jsem dost unavený, mi trvá přes deset vteřin, než to nesystematické svinstvo rozkóduji, u těch nejblbějších stránek musím testem projít i několikrát, než se naučím jejich pokroucená a pootáčená písmenka poznávat. Můžu být rád, že nepoužívám textový prohlížeč a že nejsem slepý.

[Kníže Ignor]

Taky je nemám rád. Pro slepce by se ale určitě dala zkonstruovat nějaká zvuková captcha...

Ale jaké jsou jiné možnosti? Nakonec ten spammer může vzít opravdu zdrojáky firefoxe, nechat si stránku vyrenderovat, spustit všechny javascripty, a vyplnit jenom viditelné položky tak, jak to udělá člověk. Proti tomu žádný trik nepomůže.

[#Tom]

To opravdu může, ale prudce vzrostou požadavky na útočníkovy schopnosti a na výkonnost jeho hardwaru. Už si nevystačí s netcatem a wgetem.

[Kníže Ignor]

Ale zase mu dramaticky stoupne úspěšnost

[#Tom]

To je pravděpodobné.

[Filip Jirsák]

Problém u CAPTCHA je, že to kolikrát počítač dovede rozluštit lépe a rychleji než člověk…

[#Tom]

To zní divně. Ale pokud útočník zná použitý generátor obrázků, tak proč ne.

[Filip Jirsák]

Breaking a Visual CAPTCHA

[Jardík]

Vážně výborné řešení. Lituji lidi, jejichž IP adresa je přidělována dynamicky (tedy i sebe). Co když zrovna dostanu tu bloklou adresu? Tak to budu asi v řiti.

[Josef Kufner]

To lze resit timeoutem u blokovani IP.

[Sandik]

To už se mi jednou stalo v TeXovém mailinglistu.

Tenkrát jsem správci onoho listu posílal nějaká ošklivá slova, za která se dneska poněkud stydím ;o)

[Heron]

Mimo téma, ale celkem by mě zajímalo, proč vlastně spam existuje.

Mám to chápat tak, že z těch deformovaných a nepřehledných emailů (např.) někdo vyčte užitečnou informaci, klikne na odkaz, kde najde ještě horší stránku a zaplatí za něco, co po krátkém přemýšlení ani nemůže fungovat?

Nebo se jen někdo baví tím, že odeslal 10 000 000 emailů na náhodné (nebo nějak získané) adresy?

[Luk]

Spamuje se, protože podle průzkumů funguje spam asi na 15 % lidí (tak, že si objednají zboží inzerované ve spamu). A i kdyby fungoval jen na 1 %, nebo i 0,1 %, pořád by se to vyplatilo. Dokud to bude na lidi fungovat, bude se spamovat - nebo spimovat atd.

[Heron]

asi na 15 % lidí

Tolik???

[Luk]

Prý celosvětově ano. Ale co se týká zdroje, bohužel nemohu sloužit, už je to docela dávno (cca rok), co jsem to četl.

[VícNežNic]

Přijde mi to jako nesmyslný údaj. Navíc ten spam není nijak cílený. Nejčastější spam, který dostávám poslední dobou jsou nabídky univerzitních diplomů bez nutnosti studovat. Na ten odpovím jenom hodně těžko. A i kdyby, rozesílat nabídky na MBA nebo MA na adresy končící .cz taky moc neponese, si myslím.

[Luk]

Spamboti nijak neřeší, kam to posílají. Prostě posbírají adresy a tlačí to tam bez ohledu na všechno. I kdyby účinnost byla ještě mnohem nižší (a nebylo to ani těch 0,1 %, ale třeba 0,0001 %), tak se to stejně vyplatí. Jaké jsou náklady na rozeslání miliardy zpráv? Pokud se to vhodně realizuje (přes síť open relays, zombie apod.), tak skoro nulové. A když si té miliardy zpráv něco objedná pouhopouhých 1000 lidí (třeba po 100 USD), pořád to vydělává. A pokud spammer sedí někde mimo dosah civilizovaného práva, nehrozí mu ani žádný postih.

[VícNežNic]

No jistě, já jen hodnotím smysluplnost toho údaje. 15% je samo o sobě nesmysl. Dostal jsem těch nabídek už řádově stovky. I pokud bych si chtěl něco koupit, stejně nedostanou lepší poměr kšeft/zpráva než nula celá hodně málo.

[happy barney]

hmm, priemerny american s nazorom tvorenym reklamou, ak bol celosvetovy prieskum robeny v usa, tak aj 15 % je slaby vysledok ) Nevraviac o obetiach phishingu.

Treba si uvedomit, ze existuju ludia, pre ktorych je pocitac "ta chytra masinka, co mi robi uctovnictvo a ma ten, internet"

[tomas84]

Nejčastější spam, který dostávám poslední dobou jsou nabídky univerzitních diplomů bez nutnosti studovat. Na ten odpovím jenom hodně těžko.

Právě na nabídky universitních diplomů, léků, viagry apod. IMHO odpoví nejvíc lidí. Pokud už to někdo chce koupit a nemá známé, zkusí všechno možné...

[Leoš Literák]

Dalsim duvodem muze byt SEO praktiky. Cim vice odkazu ze serioznich serveru na moje stranky, tim vyse se dostanou ve vysledcich hledani na googlu. A to uz je slusna motivace pro ruzna kasina, prodejce viagry atd.

PS. kdybych psal anglicky, nejspise by tento prispevek neprosel antispamem zalozenym na kontrole textu pro klicova slova.

[Leoš Literák]

1) Na prihlasene uzivatele se antispam nevztahuje

2) pri prvnim zobrazeni se prida policko s kontrolni otazkou. U pozadavku spravcum je pozadavek vyplnit jmeno serveru a pak testuju vstup, zda obsahuje abclinuxu. Nicmene se bojim, ze by mohli odhalit i bez znalosti cestiny, co chci. Takze mozna radeji pouziju, at uzivatele napisi jmeno provozovatele serveru a ze jej maji hledat v paticce. To nikdo neznaly cestiny neuhodne

3) po spravnem zadani se vytvori cookie, ze prosel antispamem. Muzu do ni navic ulozit i jmeno uzivatele a pak jej predvyplnovat. Pokud je cookie detekovana, antispam se uz nebude spoustet.

[happy barney]

hmm, evidentne nepomaha
http://www.abclinuxu.cz/forum/show/77729

[Leoš Literák]

a kdo rikal, ze je to hotovo?