Différences entre versions de « SPAM »
(ajout script Perl pour conversion en HTML entities) |
imported>SylvainBeucler m (jet en cours) |
||
| Ligne 1 : | Ligne 1 : | ||
| + | ==Principes== | ||
| + | |||
| + | Le mail circule via Internet via le protocole protocole SMTP et en se basant sur IP et DNS. | ||
| + | |||
| + | Le problème: il n'y a aucune identification, et envoyer du courriel et pour ainsi dire gratuit, par conséquent toute boîte au lettre peut être remplie de spam par n'importe qui. | ||
| + | |||
| + | Depuis plusieurs années, à mesure que ce phénomène gagne en puissance, diverses solutions ont été mises en oeuvre. Pour résumé aucune ne fonctionne vraiment bien, et aucune n'est réellement sans douleur. | ||
| + | |||
| + | ==Les bases== | ||
| + | |||
| + | La [http://www.hashcash.org/faq/index.fr.php FAQ] de Hashcash est bien faite et aborde les points du point de vue d'un utilisateur soucieux de sa boîte aux lettres mais aussi de ses libertés. | ||
| + | |||
| + | ==Authentification== | ||
| + | |||
| + | ===IP=== | ||
| + | |||
| + | La solution qui vient rapidement à l'esprit est de mettre des IPs sur liste noire. Le principal défaut de cette solution, outre le fait qu'une adresse IP peut être falsifiée ("man in the middle"), est d'estimer que toutes les IPs sont fixes. Je ne serais pas surpris si la majorité des IPs étaient plutôt dynamiques. Utiliser une adresse IP comme vecteur d'authentication est une erreur qu'on ne fait logiquement plus depuis les klines IRC. | ||
| + | |||
| + | Cela occasionne deux inconvénients: | ||
| + | |||
| + | - le listage d'adresses IP dynamiques, donc un emplacement plutôt que l'expéditeur à proprement parler, interdisant aux particuliers d'utiliser leur propre serveur SMTP. Le fait qu'il s'agisse d'une pratique effectivement peu répandue 1) n'en est pas moins intéressant 2) n'est pas répandu partiellement à cause de telles politiques. | ||
| + | |||
| + | - le listage d'adresses IP est souvent erroné et long à rectifier | ||
| + | |||
| + | ===SPF=== | ||
| + | |||
| + | SPF propose une idée intéressante d'authentifier toujours au niveau IP mais en passant par un champ DNS qui indique quels noms de machine peuvent . Cela permet a priori les serveurs SMTP des particuliers, pourvu d'utiliser un service de DNS dynamiques | ||
| + | |||
| + | ==Graylisting== | ||
| + | |||
| + | |||
| + | |||
| + | ==Liens== | ||
| + | |||
Des systèmes: | Des systèmes: | ||
* http://www.greylisting.org/ | * http://www.greylisting.org/ | ||
| Ligne 12 : | Ligne 46 : | ||
* http://www.weird.com/~woods/ | * http://www.weird.com/~woods/ | ||
| − | + | Masquage minimal de son adresse e-mail: | |
perl -e '$a = "your\@email.tld"; $a =~ s/(.)/"&#".ord($1).";"/eg; print "$a\n";' | perl -e '$a = "your\@email.tld"; $a =~ s/(.)/"&#".ord($1).";"/eg; print "$a\n";' | ||
Version du 14 février 2006 à 18:22
Principes
Le mail circule via Internet via le protocole protocole SMTP et en se basant sur IP et DNS.
Le problème: il n'y a aucune identification, et envoyer du courriel et pour ainsi dire gratuit, par conséquent toute boîte au lettre peut être remplie de spam par n'importe qui.
Depuis plusieurs années, à mesure que ce phénomène gagne en puissance, diverses solutions ont été mises en oeuvre. Pour résumé aucune ne fonctionne vraiment bien, et aucune n'est réellement sans douleur.
Les bases
La FAQ de Hashcash est bien faite et aborde les points du point de vue d'un utilisateur soucieux de sa boîte aux lettres mais aussi de ses libertés.
Authentification
IP
La solution qui vient rapidement à l'esprit est de mettre des IPs sur liste noire. Le principal défaut de cette solution, outre le fait qu'une adresse IP peut être falsifiée ("man in the middle"), est d'estimer que toutes les IPs sont fixes. Je ne serais pas surpris si la majorité des IPs étaient plutôt dynamiques. Utiliser une adresse IP comme vecteur d'authentication est une erreur qu'on ne fait logiquement plus depuis les klines IRC.
Cela occasionne deux inconvénients:
- le listage d'adresses IP dynamiques, donc un emplacement plutôt que l'expéditeur à proprement parler, interdisant aux particuliers d'utiliser leur propre serveur SMTP. Le fait qu'il s'agisse d'une pratique effectivement peu répandue 1) n'en est pas moins intéressant 2) n'est pas répandu partiellement à cause de telles politiques.
- le listage d'adresses IP est souvent erroné et long à rectifier
SPF
SPF propose une idée intéressante d'authentifier toujours au niveau IP mais en passant par un champ DNS qui indique quels noms de machine peuvent . Cela permet a priori les serveurs SMTP des particuliers, pourvu d'utiliser un service de DNS dynamiques
Graylisting
Liens
Des systèmes:
Des black lists:
Des sites à éventuellement regarder:
Masquage minimal de son adresse e-mail:
perl -e '$a = "your\@email.tld"; $a =~ s/(.)/"&#".ord($1).";"/eg; print "$a\n";'