Dotaz: Když SPAM filtry selhávají

[Lukáš Zapletal]

Chodí mi takový spam, že už selhává i SPAMASSASSIN.

Nezná někdo jiné řešení?

Představoval bych si něco takového: přijde mi zpráva z adresy, která není v mém whitelistu, systém otestuje, zda je odesílatel platný (pomocí DNS MX) a pokud ano, pak na tuto adresu je zaslána krátká odpověď:

NEČETL JSEM VAŠI ZPRÁVU! Bohužel Vás nemám ve svém adresáři, musíte potvrdit identitu. Pro bližší informace jděte na http://www.confirmidentity.com/Lukas_Zapletal.

Na této adrese by byly bližší informace, jak situaci řešit. Například tam může být (po vyplnění nějakých grafických přepisů písmenek) dostupný můj veřejný šifrovací klič, nebo formulář, pomocí kterého se uživatel "potvrdí" a "přidá" do mého kontakt listu (tohle bude dělat jen poprvé).

Celkem zajímavá myšlenka, ne? Co takhle udělat nějakou takovou službu? Nebo už něco podobného existuje? Kde vidíte problémy tohoto řešení?

Odpovědi

[Lukáš Zapletal]

Napadlo mě ještě ... nedá se někde sehnat nějaká databáze spamu, nebo-li "již zaučený" Spamassassin? Mám asi malý vzorek...

[Zdeněk Burda]

myslenka je to zajimava, ale kdybych poslal email a tohle se mi vratilo, tak se dal nesnazim...

nauceny spamassasin... kolik emailu jsi do nej uz nacpal? uz jich bylo vic jak 200?

[Stanislav Brabec]

A kdybych měl totéž na své straně, poslalo by to zpátky upozornění o tom, že jsem nečetl jeho upozornění. Ten by na to odepsal, že nečetl upozornění o tom, že jsem nečetl jeho upozornění o tom, že jsem nečetl jeho upozornění. A tak dále...

A pokud bych je povolil, a tento systém se rozšířil, za pár měsíců by mi chodilo denně 100 upozornění, že příjemce nečetl zprávu, kterou jsem "odeslal".

Tedy řešení je to sice hezké, ale pokud se rozšíří podobně jako antiviry, bude to mít za následek jen nárůst (těžko odfiltrovatelného) spamu.

[Lukáš Zapletal]

Není pravda, takhle se to nikdy nechytne...

Když to bude používat 1% uživatelů.....

[Stanislav Brabec]

Už teď mi chodí na maily, které jsem nikdy neposlal, tak 5 podobných zpráv denně. Když to bude používat 1% uživatelů, počítám, že to naroste tak na 10 denně (denně dostávám odhadem 1000 spamů, které spamassasin, spambouncer a explicitní pravidla na false bounce chytí, a 1% z toho je 10).

Pokud by to používalo 10% lidí, bude to dalších 100 prakticky neodfiltrovatelných spamů denně.

Navíc stačí, aby se takové programy se špatně ošetřeným deadloopem potkaly jen jednou, a budou si posílat maily o nepřečteném upozornění až do restartu, nebo než jim dojde paměť v potvrzovací frontě (zrovna nedávno jsem četl jak tím zablokovali firemní server).

[Honza Houštěk]

Velmi ucinne je skutecne odmitani mailu od klientu, kteri nemaji v poradku DNS (tj. bud nemaji reverzni zaznam vubec, nebo ho maji, ale dopredne se nerezolvuje na klientovu IP).

Toto se minimalne v sendmailu da zcela jiste zaridit "pouze" upravou konfigurace. Ja pouzivam qmail a tohle resi jeden patch (k dostani na www.qmail.org). U dalsich MTA to asi nebude problem.

Dale je mozne jit trochu dal a testovat i existecni odesilatelovy obalkove adresy, minimalne existence domeny za @. (V druhem kole se da testovat, zda tam skutecne bezi MTA a ve tretim zda je ochotne postu na odesilatelovu adresu prijmout). Toto uz neni resitelne standardnimi prostredky, ale schopny admin si to urcite dokaze zaridit.

Sofistikovane chybove hlasky umoznujici na webovem rozhrani rozhodovat o osudu mailu jsou jiste dobry napad, primarne by ale ta hlaska mela obsahovat funkcni e-mailovou adresu, na kterou je mozne posilat stiznosti v pripade problemu.

[Lukáš Zapletal]

MTA veme adresu "OD" a přezkoumá DNS záznam (MX záznam). Pokud adresa neexistuje, tak to odmítá. Pohopil jsem to správně?

A co DNSRBL a jiné blacklisty? Jsou stejně tak účinné?

Rozhraní - určitě. Mohl by tam být "ticket", po jehož potvrzení by byl mail doručen...

[Martin]

Ucinnost techto serveru je cca 20-25%. Je to sice malo, ale kdyz to berete jen jako kaminek v mozaice, tak to zas az tak malo neni

Delam si jeden antispam, zatim jen ve Windows (btw: umi nekdo v Kylixu udelat daemona?) 45% spamu zahodi na zaklade chyb v hlavicce, celkova uspesnost zahozeni 85-90%, aniz by vyhodnocoval obsah mailu, tak to dela Bayes nebo Spamassasin. Ze zbylych 10-15% spamu jich vetsinu jako spam oznaci. Bez povsimnuti projde kolem 3% spamu - a to uz je na Assassinu nebo Bayes filtru. Hlavni je, ze nezahodi zadny ne-spam, protoze funguje na jinem principu (rozhodne se nesnazim o dalsi Bayes-like filtr). Moje denni davka spamu je 200 zprav, zkousim to uz asi 1/2 roku, takze docela slusny vzorek Az to bude hotove, dam vedet

[Honza Houštěk]

> MTA veme adresu "OD" a přezkoumá DNS záznam (MX záznam). > Pokud adresa neexistuje, tak to odmítá. Pohopil jsem to > správně?

Ano, vezme se obalkova adresa od a zkontroluje se, zda mailova domena existuje v DNS. Tj. existuje-li MX zaznam, zkontroluje se existence uvedenych A zaznamu, neexistuje-li MX, zkontroluje se, zda existuje A nebo CNAME (v pripade CNAME se prevede na kanonicke jmeno a procedura se jednou opakuje).

Toto je velmi ucinne. Pochopitelne to nezabira na spamy, ktere maji obalkovou adresu odesilatele shodnou s adresou prijemce.

S ruznymi white/black listy nemam moc dobre zkusenosti. Jednak nejsou prilis ucinne a hlavne je s nimi dost problemu.

[Lukáš Zapletal]

Když ale spammer použije jmeno@hotmail.com, tak je to na prd...

[Honza Houštěk]

To ano. Nebo kdyz pouzije vasi adresu. Presto tato primitivni metoda v soucasne dobe v nasi siti odfiltrovava asi 60% veskere prichozi posty.

[Lukáš Zapletal]

Jsou to holt blbci. Jen blbec může spamovat.

[CIJOML]

Tohle tu ma tusim udelane kolisko. Zkus se ho optat

[Dušan Hokův]

spamassassin rulez, nez se naucil asi z 1000 spamu, tak byla ucinnost bohuzel tak 50/50, spammeri jsou peknej smejd a snazi se i tendle supr engine obejit. Kdyz ale naucite sa novy druhy spamu, napr. na koneci mailu nesmyslne kliceove slova atd, reaguje temer 100%ne. to co projde (filtr, kam padaji automaticky ne .cz domeny) tak cas od casu naucit spamassasina a je zas na cas vymalovano. Systemovy reseni v ramci Internetu asi neexistuje, to by napr. nejdriv vsechny open relay musely zmizet, kvalitni mailservery by museli spravovat zkuseni admini, atd atd.

[Stanislav Brabec]

Spamy chytá dobře, ale právě podobná upozornění o tom, že příjemce mailu se zfalšovaným odesílatelem (mnou), tento mail nečetl, a že ho mám potvrdit, se filtrují neskutečně špatně - jejich autoři jsou tvůrčí a jsou jich po světě desetitisíce. Přes veškerou snahu jich denně dostanu kolem 50.

[Yeti]

1. Takové programy existují, existují jich spousty, namátkou http://www.paganini.net/ask/.

2. Maily od takových programů jsou otravné, obzvlášť když ti chodí požadavky na potvrzení mailů, které jsi neposlal. Zařadil bych je do kategorie spam...

3. Existuje řada automaticky odesílaných nebo jinak nepotvrditelných mailů, bouncnutých, etc..

4. Asi ti málo píšou úplně neznámí lidé a chceš, aby ti nepsali vůbec, protože lézt na nějakou webovou stránku, to je pruda, kromě toho to musí být ve všech jazycích, kterými s tebou může někdo komunikovat, takže ten potrvzující mail bude obr a zmatený... Pro mě osobně je takový mail znamením, že ten člověk prostě nechce, aby my psali noví lidé, jinak by jim tohle nedělal.