Embed Size (px)
DESCRIPTION
Citation preview
Методы верификации Методы верификации отправителя почтового отправителя почтового
сообщениясообщения
Электронная почта - Электронная почта - анонимнаанонимна
Любой почтовый сервер может Любой почтовый сервер может отсылать почту с произвольным отсылать почту с произвольным адресом отправителя.адресом отправителя.
Классические технологии электронной Классические технологии электронной почты не предоставляют какой-либо почты не предоставляют какой-либо возможности верификации.возможности верификации.
До недавнего времени это считалось До недавнего времени это считалось приемлемым.приемлемым.
Что же изменилось Что же изменилось ?? Возможностью анонимной посылки почты сегодня Возможностью анонимной посылки почты сегодня
пользуютсяпользуются:: для рассылки спамадля рассылки спама;; для рассылки вирусовдля рассылки вирусов;; для рассылки мошеннических писем.для рассылки мошеннических писем.
Подавляющее большинство рассылок происходит Подавляющее большинство рассылок происходит с компьютеров пользователейс компьютеров пользователей ( («зомби-машины»)«зомби-машины»)
Как правило, используется поддельный адрес Как правило, используется поддельный адрес отправителя.отправителя.
Обычно в поддельном адресе используется Обычно в поддельном адресе используется существующий домен.существующий домен.
Постановка задачиПостановка задачи Если научиться проверять отправителя, то это Если научиться проверять отправителя, то это
может отсеять большую долю сегодняшнего может отсеять большую долю сегодняшнего спама.спама.
Требования к проверке отправителя. Вред Требования к проверке отправителя. Вред должен быть меньше пользы, поэтомудолжен быть меньше пользы, поэтому:: Проверка - дополнительное свойство. Без Проверка - дополнительное свойство. Без
верификации электронная почта должна продолжать верификации электронная почта должна продолжать работать.работать.
Возможность плавного перехода на новые технологии.Возможность плавного перехода на новые технологии. Возможность посылки единичного письма незнакомому Возможность посылки единичного письма незнакомому
получателю должна сохраниться.получателю должна сохраниться. «Нормальные»«Нормальные» применения применения E-mail, E-mail, включая включая
«автоматических роботов», должны работать.«автоматических роботов», должны работать.
Авторизация Авторизация SMTP-SMTP-соединениясоединения
Авторизация «своего» пользователяАвторизация «своего» пользователя:: использованиеиспользование: : корпоративная почта, корпоративная почта, ISPISP, ,
почтовые сервисыпочтовые сервисы;; не решает проблему входящей извне почтыне решает проблему входящей извне почты..
Авторизация соединения между Авторизация соединения между почтовыми серверами разных почтовыми серверами разных организацийорганизаций:: требуется обмен данными авторизации требуется обмен данными авторизации
(пароли, ключи)(пароли, ключи) решает проблему только для «постоянных» решает проблему только для «постоянных»
связейсвязей
Верификация содержания Верификация содержания письмаписьма
Пользователь-пользовательПользователь-пользователь: : верификация верификация электронной подписью (электронной подписью (S/MIME, PGPS/MIME, PGP--mail):mail): требуется обмен ключамитребуется обмен ключами, , это задача это задача
пользователей.пользователей. нужна поддержка в клиентских программахнужна поддержка в клиентских программах ради разового обмена почтой никто не будет ради разового обмена почтой никто не будет
меняться ключами.меняться ключами.
Сервер-серверСервер-сервер: Yahoo Domain Keys: Yahoo Domain Keys публикация ключей и политики их использования в публикация ключей и политики их использования в
DNSDNS требуется модификация почтовых серверов как для требуется модификация почтовых серверов как для
простановки подписи, так и для её верификации.простановки подписи, так и для её верификации.
Авторизация по Авторизация по IP-IP-адресу адресу отправителяотправителя
На основании уже существующих данных На основании уже существующих данных (reverse resolving(reverse resolving в в DNS)DNS):: Не требует изменения инфраструктурыНе требует изменения инфраструктуры, , уже уже
широко применяется.широко применяется. Отсутствие достоверных данных о структуре чужих Отсутствие достоверных данных о структуре чужих
сетей ограничивает применимость.сетей ограничивает применимость.
Новые методыНовые методы дополнительные данные в обратной дополнительные данные в обратной DNS-DNS-зоне зоне
((MTA Mark, Selective Sender, MX Out)MTA Mark, Selective Sender, MX Out) дополнительные данные в дополнительные данные в DNS DNS домена домена
отправителя (отправителя (SPF Classic, CallerID, SenderID, RMX)SPF Classic, CallerID, SenderID, RMX)
Yahoo Domain KeysYahoo Domain Keys
Идея методаИдея метода:: публикация в публикация в DNS DNS публичного ключа доменапубличного ключа домена текст и заголовки сообщения подписываютсятекст и заголовки сообщения подписываются на приемной стороне подпись проверяетсяна приемной стороне подпись проверяется
ДостоинстваДостоинства «достоверность» является свойством письма, а не «достоверность» является свойством письма, а не
почтовой сессиипочтовой сессии
НедостаткиНедостатки при внедрении на публичном сервисе, можно при внедрении на публичном сервисе, можно
получить любое нужное количество подписанных получить любое нужное количество подписанных сообщений.сообщений.
YDK: YDK: технические деталитехнические детали Пример записи в Пример записи в DNS:DNS:
beta._domainkey.gmail.com text = beta._domainkey.gmail.com text = "t=y; k=rsa; "t=y; k=rsa; p=MIGfMA0GCSqGSIb3DQEBAQUAA4p=MIGfMA0GCSqGSIb3DQEBAQUAA4…”…”
Заголовки в письмеЗаголовки в письме::
DomainKey-Signature: a=rsa-sha1; c=nofws; DomainKey-Signature: a=rsa-sha1; c=nofws; s=beta; d=gmail.com; s=beta; d=gmail.com; h=received:message-id:date:from...h=received:message-id:date:from...
b=Gjon4OA2c8NfLCBauZskv99Eks....b=Gjon4OA2c8NfLCBauZskv99Eks....
YDK: YDK: перспективыперспективы
Подход перспективный, но есть проблемыПодход перспективный, но есть проблемы:: при поддержке при поддержке YDK YDK на публичном сервисе на публичном сервисе
можно получить любое количество можно получить любое количество подписанных сообщений.подписанных сообщений.
Неясно что делать, если требуется изменить Неясно что делать, если требуется изменить один из подписанных заголовков (например, один из подписанных заголовков (например, Resent-From Resent-From при пересылке).при пересылке).
Пропуск подписанных писем мимо фильтра Пропуск подписанных писем мимо фильтра породит злоупотребления, нужен отдельный породит злоупотребления, нужен отдельный рейтинговый сервис.рейтинговый сервис.
SPF Classic SPF Classic 1.1. Владелец домена публикует в Владелец домена публикует в DNS DNS «политику» - список «политику» - список IP-IP-
адресов с которых может исходить почта данного доменаадресов с которых может исходить почта данного домена::
"v=spf1 "v=spf1 +ip:192.168.0.0/16+ip:192.168.0.0/16 +mx +mx ?all“?all“
Каждый элемент списка состоит из префикса и диапазона Каждый элемент списка состоит из префикса и диапазона IP-IP-адресов. Возможны такие префиксыадресов. Возможны такие префиксы::
+ + pass - pass - разрешающий префикс. разрешающий префикс. +all +all почта «из данного почта «из данного домена» может приходить с любого адресадомена» может приходить с любого адреса
- - fail - fail - запрещающий префикс. запрещающий префикс. –ip:10.0.0.0/8 – –ip:10.0.0.0/8 – почта не может почта не может приходить с этого адреса.приходить с этого адреса.
~ ~ softfail softfail «нейтрально-отрицательный» префикс. «Адрес может «нейтрально-отрицательный» префикс. «Адрес может не быть разрешенным».не быть разрешенным».
? ? neutral neutral «нейтральный» - владелец адреса не может ничего «нейтральный» - владелец адреса не может ничего сказать про данный сказать про данный IP.IP.
2.2. В ходе В ходе SMTP-SMTP-сессии реальный сессии реальный IP-IP-адрес посылающей адрес посылающей стороны сравнивается со списком от владельца домена, стороны сравнивается со списком от владельца домена, после чего принимается решение о статусе письма.после чего принимается решение о статусе письма.
SPF: SPF: проблема пересылокпроблема пересылок
Неустранимое противоречиеНеустранимое противоречие ««Мягкая» политика не помогает от Мягкая» политика не помогает от
фальсификации адресовфальсификации адресов Жесткая политика приводит к потерям при Жесткая политика приводит к потерям при
пересылках (пересылках (forward) forward) писемписем:: в процессе в процессе пересылки адрес отправителя сохраняется, а пересылки адрес отправителя сохраняется, а IP-IP-адрес посылающей стороны – нетадрес посылающей стороны – нет..
Для внедрения жестких Для внедрения жестких SPFSPF-политик -политик требуется модификация ПО на почтовых требуется модификация ПО на почтовых серверах «третьих сторон».серверах «третьих сторон».
SPF Classic: SPF Classic: прочие проблемыпрочие проблемы
Массовая Массовая PR-PR-компания породила массовое компания породила массовое внедрение со множеством ошибок.внедрение со множеством ошибок.
«Политики по-умолчанию». Уровень поддержки «Политики по-умолчанию». Уровень поддержки технологии невысок, поэтому существующие технологии невысок, поэтому существующие реализации технологии позволяют реализации технологии позволяют «придумать» политику домена если ее нет.«придумать» политику домена если ее нет.
Потенциально-опасный механизм «Потенциально-опасный механизм «existsexists» - » - отправитель письма может следить за его отправитель письма может следить за его путем по вашей сети.путем по вашей сети.
Спамеры уверенно осваивают Спамеры уверенно осваивают SPF.SPF.
SPF SPF и спами спам
По данным По данным CipherTrust,CipherTrust, спамеры освоили спамеры освоили SPF SPF быстрее «нормальных» быстрее «нормальных» систем.систем.
Распространенность Распространенность SPF SPF на сегодня на сегодня недостаточна, чтобы недостаточна, чтобы быть эффективным быть эффективным антиспам - средством.антиспам - средством.
SPFSPF как фильтр спама как фильтр спама
Статус Статус fail (fail (неверный неверный отправитель) получают отправитель) получают <4% <4% спамспам -писем.-писем.
Статус Статус pass – pass – 00.4%.4% Статус Статус softfailsoftfail (владелец (владелец
домена не уверен) – домена не уверен) – 5-8% 5-8% спама и около 1% спама и около 1% нормальной почты.нормальной почты.
Уровень поддержки Уровень поддержки технологии вырос с технологии вырос с 8% 8% в в июле до июле до 1133% % в октябре.в октябре.
0
2
4
6
8
10
%
Июл Авг Окт
SPF-статусы для спам-почты
pass fail softfail
SPFSPF как источник как источник дополнительных данных для дополнительных данных для
антиспам - фильтраантиспам - фильтраДля фильтра Для фильтра SpamTest SpamTest на большом на большом
потоке сообщенийпотоке сообщений:: примерно для 0.5% сообщений статус примерно для 0.5% сообщений статус SPF SPF
более «жесткий», чем результат работыболее «жесткий», чем результат работы SpamtestSpamtest..
Примерно для Примерно для 0.4% 0.4% сообщений, статус более сообщений, статус более «мягкий»«мягкий» ( (доля совпадает с долей «доля совпадает с долей «passpass» в » в потоке спама).потоке спама).
ВыводВывод: : польза от польза от SPF SPF сомнительна.сомнительна.
SPF: SPF: рекомендациирекомендации
Публикация Публикация SPF-SPF-политики полезна, во политики полезна, во всяком случае ее не будут придумывать всяком случае ее не будут придумывать за вас.за вас. публикация «жесткой» политики будет публикация «жесткой» политики будет
приводить к потерям исходящей почтыприводить к потерям исходящей почты публикация «мягкой» политики может привести публикация «мягкой» политики может привести
к ее игнорированию получателямик ее игнорированию получателями Нужен нейтральный вариант, напримерНужен нейтральный вариант, например::
++ip:10.0.0.0/24 ~allip:10.0.0.0/24 ~all
+ip:192.168.0.0/24 ?all+ip:192.168.0.0/24 ?all
SPF: SPF: рекомендации (2)рекомендации (2)
1.1. При приеме почты нельзя принимать При приеме почты нельзя принимать решение только на основании решение только на основании SPFSPF
2.2. Если первое условие соблюдено, то Если первое условие соблюдено, то SPF SPF может быть полезным источником может быть полезным источником данных для антиспам-системы.данных для антиспам-системы.
3.3. К несчастью, основные публично-К несчастью, основные публично-доступные реализации доступные реализации SPFSPF не не удовлетворяют условию 1 (исключениеудовлетворяют условию 1 (исключение: : SpamAssassin)SpamAssassin)
CallerID, SenderIDCallerID, SenderID
CallerID – CallerID – технология технология Microsoft Microsoft с похожими на с похожими на SPF SPF идеями.идеями.
SenderID – SenderID – объединение объединение SPF Classic SPF Classic и и CallerID:CallerID: Базовые идеи от Базовые идеи от SPFSPF Синтаксис от Синтаксис от CallerIDCallerID Методика определения адреса отправителя – от Методика определения адреса отправителя – от
CallerIDCallerID
SenderID SenderID не был поддержан не был поддержан IETF IETF и и сообществом сообществом OpenSourceOpenSource, перспективы , перспективы туманны.туманны.
ВыводыВыводы
1.1. Ожидать кардинального технического решения Ожидать кардинального технического решения проблемы подделки отправителя не стоит.проблемы подделки отправителя не стоит.
2.2. Частные решения возможны, например Частные решения возможны, например YDK YDK может быть интересна сервисам легальных может быть интересна сервисам легальных массовых рассылок.массовых рассылок.
3.3. Спамеры быстро адаптируются к новым Спамеры быстро адаптируются к новым технологиям, а все предлагаемые меры не технологиям, а все предлагаемые меры не содержат защиты от этого.содержат защиты от этого.
4.4. Верифицировав отправителя, ничего сказать о Верифицировав отправителя, ничего сказать о самом сообщении все равно нельзя. Решением самом сообщении все равно нельзя. Решением может быть наложенный рейтинговый сервис.может быть наложенный рейтинговый сервис.
Спасибо за вниманиеСпасибо за внимание
