Od února jen s DMARCem (diskuse)

[Max]

Viz: Emailové služby: Základy pro provozování, kde je:
Messages missing a valid messageId header are not = Touto hláškou může gmail odmítat emaily. Je to kvůli tomu, že od 11/2022 zavedl google nutnost, že nové emailové komunikace musí mít zavedený SPF a DKIM politiky. Podrobnější info viz: Help prevent spoofing and spam with DKIM.

Takže vynucovat DMARC je vlastně logické pokračování.
Zdar Max

[vencour]

Ok, to vypadá, že když má člověk server, aby se vyhnul velkému zlému, tak stejně u něj musí mít nějaké ID, že?

[Max]

Nemusí. Je to jen nice to have v případě nějakého problému, ale není to nutné a ani nevím, jak moc to ze strany Google a dalších reálně funguje (myslím ověřování nějakého kódu přes dns).
Zdar Max

[trekker.dk]

Jestli vás u "messageid" jako první napadne "nějaké ID u nich", tak možná nejste ten správný člověk na to mít vlastní mailserver. Dtto když někdo (#3) považuje message-id za nice to have...

[vencour]

Co má společné google-site-verification s MessageID?

[trekker.dk]

Co má společné google-site-verification s "Messages missing a valid messageId header are not accepted"? A s poštou obecně, když jsme u toho...

[Max]

Vy jste jen špatně pochopil tuto nešťastnou formulaci: "Ok, to vypadá, že když má člověk server, aby se vyhnul velkému zlému, tak stejně u něj musí mít nějaké ID, že?". O nic víc nejde. Já to pochopil správně, viz má reakce na ten komentář. Dál už bych se v tom nepitval .
Zdar Max

[trekker.dk]

Pokud se bavíme o Message-Id (#1) a reakce je, že u nich člověk musí mít nějaké id (#2), tak ta formulace opravdu není o google-site-verification (i když si to možná pisatel myslel.) To, co bylo napsáno, jsem pochopil správně. Co pisatel ve skutečnosti chtěl napsat, to je - jako obvykle - ve hvězdách.

[vencour]

Bůh mi snad rozumí. Max mi rozumí. MacGyver by určitě rozuměl, Chuck Norris taky. Jen trekker.dk vidí něco, co jsem nenapsal. Tak ať ... On už je asi takovej.

[trekker.dk]

Jen trekker.dk vidí něco, co jsem nenapsal.

Moc pěkný argumentační faul. "Jen jeden" proti čtyřem vidí něco, co jste nenapsal, ale z těch čtyř máte u tří "snad a určitě", tj. vymyslel jste si to.

[trekker.dk]

To podivné hlášení, ve kterém jako kdyby něco chybělo, u uživatelů příčetných mailserverů, co nezahazují zásadní informace potřebné pro diagnostiku, vypadá takto: "Messages missing a valid messageId header are not accepted"

[Max]

Ano, to je celá ta hláška. Asi se mi to jen při copy-paste vytratilo.
Zdar Max

[Josef Kufner]

Že by to vyžadoval až takový problém není. Problém je, že nevyhovující maily tiše zahazuje místo aby je odmítl s chybou.

[RealJ]

tak nebudes pomahat spamerum tim ze jim budes rikat co maji u sebe spatne...

[trekker.dk]

Poskytovatelé služeb typu Google by měli mít zákonem nařízeno, aby svá antispamová opatření aplikovali identicky na příchozí i odchozí poštu. To by je z toho zahazování zpráv bez jakékoliv možnosti zjistit, co je (podle nich) špatně, vyléčilo.

[Max]

Já bych neřekl, že to neřeší. Podle mně to řeší a hodně s tím bojují. Spameři jsou vždy velký vícenáklad a vygenerované spamové schránky zanikají. Problém je, že v tom kvantu denních registrací se kvantum dalších spamových registrací blbě detekuje.
Zdar Max

[xkucf03]

+1, tohle je u e-mailu největší zlo

[AraxoN]

"Vtipné" je, že väčšina spamu, ktorá sa mi dostane do schránky, pochádza z *.outlook.com a je správne podpísaná certifikátom Microsoftu. Už som to X-krát nahlasoval, ale nič sa nezmenilo.

[MakeIranBombedAgain❗]

prej jim to musíš dotoho remondu jakoby poslat z outlook.com jinak jim to asi jako dycky automaticky spadne do spamu :D :D

[PetebLazar]

Když pošlete zašifrovaný archiv v příloze na Gmail schránku tento jej odmítne do schránky z důvodu potenciálního rizika doručit. Jak Gmail nakládá s e-maily zašifrovanými veřejným klíčem adresáta dle RFC 8551 do nichž přeci také nevidí, to je také nedoručí?

[Jendа]

Ne, protože zašifrovaný ZIP je přístupný BFU, na který je tento útok cílen, zatímco PGP/SMIME mají lidi, co dokážou EXE ze ZIPu přiloženého k mailu nespustit.

Jinak já narazil na to, že mailem nešly posílat KiCAD projekty, protože jeden ze souborů, nějaká knihovna součástek nebo co, je .lib (ale je to nespustitelný textový formát), což má stejnou příponu jako tipuji ekvivalent .dll na macOS(?) a GMail to odmítl.

[PetebLazar]

Příjemce musí znát heslo k otevření daného archivu. Google se patrně bojí toho, že heslo při záměrném útoku může být napadanému sděleno jinak v textu/obr/nazvu_prilohy samotného e-mailu.

[Tom.š Ze.le.in]

Ten DMARC pořád může být s politikou none.

Spíš mne trápí, že není jasné jestli "zavedené SPF" akceptuje SPF kde je odchozí adresa jako neutral (?) - s platným DKIMem to dá pořád platný DMARC. Takhle tam radši všechno nastavím jako allowed, i když to prakticky znamená že povolím cokoliv třeba z amazonses nebo něčeho podobného.

[plostenka]

Zase dalsi sikana provozovatelu malych VPS a domacich mailserveru, ktera se profesionalnich spammeru nedotkne. Aneb "konecne ten svuj sendmail vzdejte a prejdte na gmail".

I v roce se 2024 se totiz pozna spam podle nejake hlavicky, nikoli podle mnohamilionu kopii.

[Max]

Bavíme se o nasazení technologií, co tu s námi jsou už fakt děsně dlouho a reálně už měly být dávno nasazeny.
Nejít s dobou opravdu nedává smysl.
Zdar Max

[vencour]

Dodržovat obecně uznané standardy je fajn. Ne jít za jedním hegemonem.
Jako soukromá osoba můžu natvrdo zablokovat provoz z nějakého céčka nebo béčka IPv4. Jako Google bych si to snad nedovolil.

[Max]

A co je ADSP, DKIM, SPF, DMARC apod.? To jsou obecně uznávané standardy už docela dlouho a je dobře, že velcí hráčí se snaží podobné standardy protlačovat. Navíc asi disponují i nějakou statistikou, jak to mají ostatní, takže lze předpokládat, že staví své rozhodnutí i na nějakém datovém základě.
Zdar Max

[vencour]

DMARC má třeba RFC 7489. DKIM 6376, SPF 7208, ADSP 5618 a 8553. O Google jsem zatim nezakopl.

[plostenka]

Neni zadny technicky duvod, proc by Arduino/RPi ktere nekde neco hlida a obcas posle plaintext mail melo mit verejnou IP, DNS record nebo obecne cokoliv navic nad zakladnim SMTP.

[Max]

Není žádný technický důvod, proč by nemohlo posílat emaily přes regulérní mailserver.
Zdar Max

[plostenka]

Jj, kvuli jedine picovince cely traktor.

[Max]

Na to opět existuje elegantní řešení: Vyber si jeden prst, jdi ke kalendáři a prstem pošoupni kolonku s rokem na rok 2024 :).
Zdar Max

[PetebLazar]

Proč se zastavit na půl cesty, nebylo by ideální to zkombinovat s povinností, že veškeré posílané e-maily musí být podepsány platným osobním certifikátem (či el.pečetí) majitele schránky vydanou jednou z uznávaných CA? Tím by se snadno zjišťovala konkrétní osoba/organizace zodpovědná za případný spam. Samotné obnovování certifikátu by odhadem celosvětově nepřišlo ročně na víc než 50 mld US$.

[Max]

Vím jen o jedné uznávané CA, co zdarma vydává cert pro podpis u emailu (a používám to). Na masové rozšíření by musela existovat služba typu Let's Encrypt.
Zdar Max

[PetebLazar]

Pokud má CA osobně ověřit konkrétní osobu(její vztah ke konkrétní organizaci), služba typu "Let's Encrypt" není řešením. Zadarmo to nikdo dělat nebude.

[Max]

Je to CA Actalis a vystavuje cert na email, ne na osobu.
Zdar Max

[Peter Golis]

Aká je pravdepodobnosť, že to po nejakej dobe nespoplatnia aj pre osobné použitie, alebo nezrušia ak im tam človek nebude klikať na reklamu, či si sami nenechajú privátnu časť vygenerovaného kľúča (ktorý môže uniknúť) alebo ich niekto kvôli spammerom nezruší?

A aký benefit to prinesie, ak má MS podobnú službu pre svojich užívateľov, a už ju ajtak dlhodobo zneužívajú záškodníci na phising a iné spamy?

[Max]

Uvedl jsem příklad, co je dnes možné. Jinak oni před delší dobou přešli na složitější systém registrace pro vydání cert. Dále pokud je to uznávaná CA, tak důvěra v podobné CA je to, proč existují / proč se používají.

Benefit může být takový, že u napadené emailové schránky se útočník nemusí dostat k certifikátu a rozesílaný spam lze jednodušeji odlišit.
Zdar Max

[Peter Golis]

Certifikačná autorita má byť dôveryhodná, ale nedôveryhodných CA už bolo viac ako dosť. Tak isto boli prípady, keď si nejaké programy natiahli vlastné koreňové snakeoil CA do systému.

Dodnes nie je povinnosť používať akýkoľvek eletronický podpis (S/MINE, GPG alebo ten z ovčianskeho preukazu) na bežnú komunikáciu, takže táto technológia neodstráni SPAM. Skôr naopak. Napríklad MS cloud pre Office zvykol dávať certifikáty ktorými spammeri podpisovali svoje záškodnícke emaily. A dosť sa to zneužívalo pri phishingu (Email s medailou musí byť predsa naozaj dôveryhodný, čestné pionierske. Aj keď odosielateľ vyzerá trošku inak, ale má predsa tú medailu!).

Mne ale išlo o praktickú stránku veci. Ak ten zazdarmový S/MIME začnem používať pre vlastnú potrebu, môžem sa spoľahnúť na to že to budem môcť použiť aj neskôr, a bez výrazného výpalného? Alebo to spoplatnia ako sa po čase spoplatnili kadejaké DDNS alebo monitoringy výpadkov? A môžem sa spoľahnúť že mi podpíšu mnou vygenerovaný podpis, alebo sa musím spoliehať že mi ho pridelia ako to robí napr. NBUSR123 pri ktorom nemám zaručené že to neskôr nezneužijú?

Nie, neregistroval som sa tam. Hádzalo mi to nejaké chyby a náhodne to prepisovalo položky vo formulári. Tak som si ani neoveril či ten podpis generujú oni alebo mi môj podpis oni zoficiálnia (ich chainom).

PS: Keby som to chcel pre firemné potreby, tak si nahodím GPG s WKD. Alebo si kúpim firemný CA ktorý mi umožní certifikovať okrem webíkov aj S/MIME podpisy interných zamestnancov a kadečo iné.

[RealJ]

"to prepisovalo položky vo formulári" - Gratuluji! Uznavam, nekdy jsou tve prispevky zabavne.

[Max]

Pokud tomu rozumím, tak chceš od firmy, která dlouhodobě něco poskytuje zadarmo to, aby zaručily, že ti to zadarmo budou poskytovat do konce věků? Jinak je to fujky? Skvělý přístup .
Zdar Max

[Peter Golis]

Nie. A ani to ako nepodnikateľ nepotrebujem.

Len ma zaujíma či to nie je obchod typu "prvá dávka zdarma", podobných akcií som videl kopec.

[Max]

Když jsem hledal nějaké globálně důvěryhodné řešení zdarma, tak jsem čerpal z wikiny Thunderbirdu: Getting an SMIME certificate. Nevím, jak dlouho to poskytují zdarma, ale ta "prvá dávka zdarma" trvá minimálně 5 let (co vím / používám já).
Zdar Max

[Peter Golis]

Spomínal som ostatné služby ktoré boli po čase spoplatnené. Niektoré som používal vyše 10 rokov, a po spoplatnení som jednoducho prešiel na alternatívy u iných poskytovateľov.

No ale v prípade podpisu by som mal odvahu používať len garantované riešenie. Buď by som si to garantoval sám, alebo by mi danú garanciu poskytol dodávateľ v rámci zmluvne danej záruky (platený kontrakt).

[RealJ]

bez garance to nechces pouzivat? Fajn, najdi si placene reseni s garanci a SLA.

[Peter Golis]

A ak si to budem garantovať sám, koľko si mám za to platiť? A mám za takú pravidelnú transakciu platiť výpalné štátu vo forme DPH a odvodov?

Zobral si si dnes tie lentilky čo ti nachystala staničná sestra?

[Max]

Jediný, kdo si dnes zapomněl zobnout, jsi evidentně ty. Opravdu nechápu, co tím celým threadem sleduješ. Ukázal jsem na řešení zdarma pro běžné smrtelníky a ty hned, že zachvilku to určitě zpoplatní, že ta globálně důvěryhodná ca není určitě důvěryhodná, že jsi lempl, co nedokáže projít registračním formulářem a ve finále něco o zárukách.
Zdar Max

[Peter Golis]

Keď si na to človek zvykne a odstavia to, tak sa zle vysvetľuje prečo to už nepoužíva. Preto ma zaujímala perspektivita. Nikde som netvrdil že to spoplatnia alebo vypnú ajkeď tých spoločností čo to prestali poskytovať alebo to spoplatnili je dosť. A jedna z nich (spomínal som ju, ale nie je na tom linku z thunderbirdu) priamo podporuje spammerov zvyšovaním ich dôveryhodnosti.

A "lempl" som pretože mi to prehadzovalo lokáciu do talianska aj keď som vybral inú krajinu.

[RealJ]

Nikdo ti to samozrejme nezakazuje. Podnikatelsky subjekt jako Google si muze klidne rict za jakych pravidel bude tvuj spam dorucovat. Klidne si muzou nastavit podminky tak ze budou dorucovat zasadne jenom patky 13teho a zasadne jenom maily s kocickami.

[JiK]

O Google se měl davno postarat protimonopolni úřad a rozdělit ho než se stal velkým bratrem a superfizlem. Davno predtim než se to dostalo do fáze, kdy může jakékoli volby nejen ovlivňovat ale přímo natvrdo rozhodovat a to zcela navzdory vůli voličů.

A to nejen nepřímo, penězi a podporou, ale i zcela přímo, selektivní cenzurou jako to udělali ohledně například laptopu s důkazy zločinů Bidenova kriminálního synka a výběrčího peněz.

[!!]

Takže říkáš, že stát by měl zasahovat do činnosti soukromé firmy a říkat jí, co (ne)má dělat? Není to narušení volného trhu?

[vencour]

Už samotné chování monopolu narušuje volný trh.

[RealJ]

Google ale nema na poskytovani emailovych sluzeb monopol. Mozna by stacilo si nejprve nastudovat co je to monopol.

[PetebLazar]

Možná by se mohli non-Google provozovatelé SMTP domluvit a vyhlásit od 1.2.2024 do 7.2.2024 týdnem bez spamů(e-mailů) do/z Gmailu.

[JiK]

rikat ji, co nema delat? Ne, nemyslim. Mel ji tak pred 10 lety rozdelit. Tak jako rozdelil AT&T, proste jen proto, ze mel dominatni podil na trhu s necim tak marginalnim jako jsou dalkove telefonni hovory. Srovnejme to s google.

Jeden subjekt, ktery ma 70% podil na mobilnich telefonech a vsechna data a metadata o vsech, nadpolovicni podil vsech prohlizecu, 90% vseho vyhledavani, a dominatni e-mail sluzbu, svym rozhodnutim davno muze vybirat politiky, a to zcela primo tim, ze zakaze, nebo "zmizi" skandaly ji spratelenych loutek. Lide pak ty fakta nenajdou, nezavolaji si o nich androidem, neposlou si o nich email, a nezobrazi si ani nezavisle stranky o nejakych whistlebloweru, protoze to v chrome zatrhnou.

Pokud vam tohle neprijde jako naprosta distopie, asi to videt nechcete...

[RealJ]

Nevim od kdy je 27.2% dominantni sluzba… ne, neni. Ze ma google desitky sluzeb ve kterych sbira data ktere mu lidi poskytuji se svym souhlasem je naprosto vporadku. Nelibi se ti? Mas tam seznam. Nebo si klidne vyber email poskytovatele z Pakistanu.

[trekker.dk]

Nevim od kdy je 27.2% dominantni sluzba…

Od té doby, co se ostatní poskytovatelé takových služeb pohybují hluboko pod 1%

[RealJ]

Doporucuji si precist definici dominantniho postaveni - dle ceskych zakonu je to minimalne 40%. Je uplne fuk kolik 1% poskytovatelu existuje.

[RealJ]

Jinak pro zajimavost - Apple se svym mailem ma vetsi podil nez gmail. Tolik ke tvemu dominantnimu postaveni.

[Omar]

Tak to by chtelo nejaky zdroj, protoze byt nepochybne spousta lidi ma Apple mail/ucet, okometricky jej nikdo nepouziva pro mail. Vlastne cokoliv jineho nez gmail je na Mac/iOSu rarita.

[Omar]

Ostatne nejen okometricky. Kdyz vezmu vzorek nekolika tisic kontaktnich mailu, 50% je gmail.com, 25% seznam.cz, par dalsich sluzeb ma jednotky, zbytek zlomky %, konkretne icloud 0.8%. Jiste to neni reprezentativni vzorek ani pro CR, natoz svet, ale Apple je mimo o dva rady.

[vencour]

Navíc i maily bez domény gmail můžou být spravované Googlem, že?

[RealJ]

no vidis, to je tva zkusenost ve tve socialni bubline. Ma socialni bublina tady v US je 90% icloud, 5% gmail, 5% kombinace vicero emailovych poskytovatelu. Google ti napovi vicero zdroju, lisi se +- 10% tak si vyber ktery ti zrovna vyhovuje.

[Omar]

Viz. vyse, to je rozbor kontaktnich mailu, ktere na sebe udali uzivatele, kteri urcite nejsou reprezentativnim vzorkem populace, ale take to neni socialni bublina, natoz moje.
Navic jsem se podival, jake adresy za tyden prosly serverem, skutecny provoz. Tam sice dominuji adresy z vlastni domeny, ale po jejich odecteni jsou pomery uplny stejne, Google je 2x vetsi nez Seznam, dalsi jsou radove mensi ryby a Apple nula nula nic.

Mne vyhovuje jakykoliv zdroj, proste nejaky vyber a dej sem odkaz. Podle mne si pletes email jako sluzbu s email klientem.

[trekker.dk]

Jednak si, soudruhu, pletete pojmy a dojmy - jak je ukázáno ve vlákně výše. A za druhé můžete se zákony mávat, jak chcete, ale pokud má firma takové postavení, že všichni musí skákat, jak ta firma píská, tak má dominantní postavení.

[RealJ]

Soudruh jsi tady ty, dokazal jsi to nekolikrat a ne, nikdo nemusi skakat jak google piska. Staci se podivat na MS a jeho o365. Dominantni postaveni s 27% podilem, to se jeste ted na tom bavim... :D

[trekker.dk]

Samozřejmě, soudruhu, že nikdo technicky vzato nemusí skákat, jak Google píská. Nikdo také nemusí jíst a každý může svobodně umřít hlady či si nechat zkrachovat firmu. Argumentovat Microsoftem, což je druhý Google, je úplně mimo.

[RealJ]

Pobavilo, diky! Jenom se zeptam, ma i seznam dominantni postaveni?

[trekker.dk]

Všechno víte, všechno znáte, v USA jste byl dvakrát, odpověď na tuto otázku je tak zjevná, že byste to mohl zvládnout sám.

[RealJ]

:D ja v US bydlim soudruhu.

[podlesh]

Takže jsi tam vlastně jenom jednou?

[RealJ]

no zatim se neumim klonovat takze ano... :D

[!!]

Mel ji tak pred 10 lety rozdelit.

To je vlastně říkat jí co ne/má dělat. Prostě státní zásah do fungování soukromé firmy.

P.S. Já neobhajuji google, jen zkoumám, kam až jsou různí zastánci volného trhu zajít s aplikací pravidla, že stát nemá co zasahovat do fungování soukromých subjektů.

[vencour]

Fajn, jaké jsou náměty na anketu? Svět nějak reaguje na evoluci regulacemi ... i třeba na GDPR.

[RealJ]

vyresilo GDPR neco? Nevyresilo. Akorat musis klikat jako debil na odsouhlaseni cookies, musis podepisovat vsude o papir navic ze souhlasis se sdilenim svych osobnich dat, atd. Smejdi ti budou porad volat a tvrdit ze jsi souhlasil... Evoluce pres regulace vzdy vedla ke socializmu/komunizmu a ten vime jak vzdy a vsude dopadne.

[vencour]

V mé bublině GDPR něco vyřešilo. I ten prvotní živelný kapitalismus se změnil a právě i regulacemi.
Dlouhé roky sleduju Star Trek a podobné fantazie, až v Orvillu jsem našel mně vyhovující filozofický popis a komentář k technickému a sociálnímu pokroku (nebo jsem ty přecházející zapomněl?).

[RealJ]

o jake cenzure mluvis? Clanky o laptopu s dukazy mladeho Bidena vcetne jeho nahatych fotek byli pres google tady v US normalne dostupne.

[Radovan]

Články, které tvrdily že jsou to lži a dezinformace, byly ještě mnohem dostupnější

[RealJ]

dezinformace neni cenzura...

[plostenka]

Samozrejme ze muze. A ja muzu jeho rozhodnuti kritizovat.

[Biggus Norwegicus]

A mohl bych poprosit o odkaz na nejaku howto, jak to nakonfigurovat v postfixu?

Kdyz jsem to nekdy pred pul rokem hledal, tak sem nasel jeno mnejake vykriky a utrzky konfiruraku, ale nikde nic udeleno - popis co je co, kde, proc ... u "technologie, co tu s námi je už fakt děsně dlouho" bych ocekaval lepsi howto.

[vencour]

Ptáte se na dmarc a dkim? Gentoo to má v dokumentaci, stačí hledat "gentoo postfix dmarc dkim".

[alkoholik]

Pouzivam OpenDKIM.
DMARC se resi v DNS.

[MMMMMMMMM]

Zpozoroval jsem, že nově i Microsoft má pár serverů na blacklistu SpamCop. Google je na jednom blacklistu permanentně, zřejmě někomu došla trpělivost... Nejvíce bordelu, co projde přes spam filtry, chodí právě od M$ a Googlu.

[Max]

Je to tak, svět se pomalu přetváří a neregulérní emaily moc neprocházejí, takže masivní registrace účtů přes api a posílání spamu přes velké cloudové hráče.
Každopádně zrovna nedávno jednomu našemu zaměstnanci propálili MFA a spamovali z jeho účtu. Ten útočník nastavil přesun všech příchozích emailů do odstraněné pošty a zároveň i odpovídal na dotazy, zda zaslaný mail je ok a skutečně ho mohou otevřít. Za 30min cca 2500 spamu.
Tento konkrétní člověk měl slabší verzi MFA, ověřování přes sms. Žádnou příchozí sms s žádostí o ověření neobdržel, možná tedy infikovaný telefon (neověřím, zahraniční zaměstnanec). Každopádně většina jede přes Authenticatory a cíl je na nich mít všechny.
Zdar Max

[Fatman]

Nějak mi chyběly odpovědi na některé zprávy co jsem posílal. Napadlo mně podívat se do složky SPAM na gmailu (bo stahuju přes POP3): tam ty chybějící odpovědi vidím, jsou to regulerní zprávy z domén centrum.cz, microsoftsupport.com, voyo.cz a jiné. Mazec.

[Aleš Kapica]

No teda nevím jak ty, ale já tam vidím úžasné zprávy typu:

Vaše e-mailová adresa byla vybrána pro príspevek ve výši 1 000 000,00 € od Manuela Franca, víteze jackpotu 768 milionu dolaru. Pro další informace prosím kontaktujte…

[alkoholik]

Hehe, me v Gmail spamu pristal:

od: noreply-dmarc-support@google.com
predmet: Report domain: nase_domena.com Submitter: google.com Report-ID: xyz

[spam]

Příloha:

dostraněn spam