Spam: è ora di difendersi.

Transcript

1 Spam: è ora di difendersi. Smau Sicilia 2004 Angelo Failla a.k.a. pallotron

2 Programma Definizione di Spam; Danni e disagi causati dallo Spam; Quali sono le problematiche a cui si và incontro quando si implementano politiche anti-spam? Accorgimenti e provvedimenti di base; Accorgimenti end-user; Accorgimenti sysadmin, caso pratico: bogofilter e qmail; Domande e Risposte.

3 Consiste in uno o più messaggi non sollecitati (1),spediti come parte di un insieme più grande di messaggi (2), tutti aventi contenuto sostanzialmente identico (3). Alcune osservazioni: Definizione di SPAM (1) Occorre capire a fondo cosa costituisce una evidente ed esplicita sollecitazione da parte dell'utente ad essere contattato e cosa invece no. (2) Non esiste una soglia minima di messaggi per dire che un insieme di messaggi sia spam. (3) Lo spam può essere sia commerciale (es. Pubblicità), che non commerciale (es. Catene di lettere, scherzi).

4 (1) Concetto di SOLLECITAZIONE Esempi di cosa non può essere considerata una evidente sollecitazione : Una semplice visita ad un sito web; La presenza del proprio indirizzo mail, icq, o altro in un sito o altro luogo virtuale pubblicamente accessibile; La semplice esistenza di un forum, un newsgroup, una chat,.... Il semplice invio di un messaggio ad una mailing list, un forum o altro non costituisce una sollecitazione per il destinatario ad inserire l'indirzzo del mittente in una lista per l'invio massivo di messaggi, a meno che l'intento chiaro e ovvio del messaggio sia quello di richiedere questo trattamento; Una sollecitazione a ricevere un certo tipo, categoria o classe di messaggi, non costituisce una sollecitazione a ricevere messaggi inviati massivamente di tipo differente; Una sollecitazione a ricevere un certo tipo di messaggi inviati massivamente non può essere trattato da qualcuno per conto terzi.

5 (2) Concetto di SOGLIA MINIMA Essendo che: Non esiste alcuna soglia minima di messaggi sopra il quale si considera un invio massivo ad uno o più indirizzi un'azione di spam. Allora: In un qualunque insieme di due (2) o più messaggi con contenuto sostanzialmente identico, tutti i messaggi nell'insieme che siano non sollecitati dai relativi destinatari sono "spam" secondo la definizione precedente

6 (3) Contenuto In una recente decisione della Corte Suprema dello Stato di Washington (USA), i giudici hanno formalmente adottato l'opinione che: Il termine 'spam' è generalmente riferito alla posta elettronica massiva non sollecitata (o 'posta spazzatura'), che può essere sia commerciale (come ad esempio una pubblicità) che non commerciale (come ad esempio uno scherzo o una catena di lettere). Anche se i giudici non hanno considerato il significato più ampio del termine (che include tutte le forme di messaggi elettronici non sollecitati trasmessi in più copie, non solo la posta elettronica), hanno correttamente individuato entrambi gli aspetti chiave di ciò che chiamiamo "spam": l'esistenza di più copie, e la natura di comunicazione non sollecitata.

7 Danni e disagi causati dallo SPAM Consumo di banda (la banda ha un costo); I costi di banda sostenuti da ISP e utenti (collegamento via telefono) per il trasporto del messaggio. Ad esempio, 10kB moltiplicato per un milione corrisponde a 10GB di dati, il cui transito prende circa 20 giorni di tempo-linea assumendo una velocita' media di 6kB/s; Perdita di tempo causata dall'opera di pulizia dell'utente; Il tempo perduto dai destinatari per scaricare, verificare e cancellare il messaggio. Ad esempio, cinque secondi moltiplicato per un milione di destinatari corrisponde a 1400 ore di lavoro!!! Consumo di spazio su disco (lo spazio ha un costo);

8 Danni e disagi causati dallo SPAM Intasamento delle mailbox (come sopra); Sovraccarico delle risorse di calcolo dei mail server; Mailbox difficili da consultare; Frustrazione: che si ripercuote sulle nostre aziende. Violazione della privacy; Possibilità di essere denunciati per spamming, soprattuto se i nostri server sono degli open relay.

9 Chi sostiene questi costi? Non certo gli spammer, che al massimo perdono il loro account su un ISP consumer. Sono sostenuti dagli utenti che ricevono spam, e dagli ISP che devono aumentare i costi di gestione (banda e tempo-uomo) caricando i costi dei canoni. Un recente studio della Commissione Europea (riassunto) stima il costo globale dello spam in circa 10 miliardi di Euro annui, corrispondenti a circa il 10% dei costo operazionale globale di Internet. E' un fenomeno economico di forte impatto per tutta l'economia dell'ict, aldilà dei fastidi recati agli utenti.

10 Chi deve prevenire lo spam? E come? La prevenzione anti-spam è compito del sysadmin oppure dell'utente finale? Le che sono identificate come spam debbono essere eliminate direttamente? Oppure taggate? Oppure ruotate opportunamente in qualche mailbox/maildir? Può, un sysadmin, essere considerato responsabile della attività spammatoria provocata da una misconfigurazione dei proprio server? I messaggi, con contenuti leggittimi, ma non corrispondenti alle RFC o agli standard accettati, debbono essere eliminati?

11 Alcuni punti di vista sullo spam Lo spam non può essere fermato: Questo punto di vista afferma che è inutile combattere lo spam, sia perchè questa lotta viene vista come uno spreco di risorse, sia perchè essa potrebbe causare la perdita di leggittime. La prevenzione dello spam è compito dell'utente finale; Questo punto di vista afferma che, siccome riconoscere lo spam è un compito alquanto ardito, la riduzione dello spam che circola sull'internet è compito principale dell'utente finale. Questo punto di vista è generalmente condiviso da una parte del sysadmin che non sono in grado di attivarsi per creare soluzioni systemwide sui loro mailserver. Essi pensano anche che un controllo a livello utente è più efficace perchè essi hanno più controllo su quali tipi di messaggi vogliono bloccare e quali no. Ad alcune persone a volte piace ricevere commerciali, anche non autorizzate, e tendono a pensare che un'azione a livello di sistema che rifiuta le in automatico sia una sorta di violazione della privacy!

12 Alcuni punti di vista sullo spam La prevenzione dello spam è compito del sysadmin Questo punto di vista afferma che, essendo disponibili alcuni tool in grado di rilevare lo spam a livello di sistema, la prevenzione dello spam è compito della persona o dell'entità che mantiene il mail server. Questo punto di vista è spesso condiviso da amministratori di sistema che hanno come obbiettivo la riduzione del tempo che il loro staff utilizza per vagliare la propria casella di posta elettronica. C'è anche da aggiungere che spesso i sysadmin non hanno molta simpatia per gli spammer, in quanto generalmente essi tendono ad abusare i sistemi da essi mantenuti. La gente che condivide questo punto pensa che la possibilità di perdere messaggi leggittimi (ma in bassa quantità) sia un rischio da correre ed accettabile.

13 Accorgimenti di base Evitare di pubblicare i propri indirizzi privati; un buon metodo è quello di pubblicare gli indirizzi in questa forma: afailla (at) uzeda (dot) com Evitare di dare la privava a organizzazioni di cui non ti fidi; NON rispondere mai allo spam; Denuncia ogni spam che ricevi ai servizi di abuse o a servizi come SpamCop ( Educare i nostri utenti, i familiari, gli amici, i collaboratori, etc. Essere sicuri che il proprio sistema (desktop o server) sia ben configurato.

14 Provvedimenti: la diffida Un esempio di diffida realizzata da Paolo Attivissimo ( A cosa serve? A educare gli spammer italiani. Ci sono molte aziende italiane che non hanno ancora capito come funziona la legge sulla privacy e credono di potervi mandare i loro messaggi pubblicitari senza il vostro consenso preventivo. Quasi sempre non l'hanno capito per semplice, schietta ignoranza, non per malizia.la diffida autorevole è estremamente efficace. Il garante della privacy è pronto a dare agli spammer 250 euro di multa per ogni utente spammato. Massimo Cavazzini è riuscito a far multare uno spammer italiano ( Come funziona? Visitate il sito promosso dallo spammer, cercate una , telefono, o indirizzo e mandate il testo che trovate nel sito di Attivissimo. Meglio la raccomandata A/R.

15 Risposte tipiche alle diffide Ma io ho trovato il suo indirizzo in internet (risposta: non importa, pubblicare il proprio indirizzo su internet non equivale a dare il proprio consenso allo spamming) Ma io ho trovato il suo indirizzo su un elenco pubblico (risposta: elenco pubblico DI !?!?!? non esiste al momento!) Ma quello che abbiamo mandato non è pubblicità, è un'informativa! (risposta: la potete chiamare come vi pare, resta sempre spam) Non siamo responsabili, abbiamo comperato un CD di indirizzi (risposta: chi utilizza questi cd deve comunque informarsi che gli utenti abbiano acconsentito, Non faccia lo sbruffone, sa quanto le costerebbe farci causa per una ? (risposta: non ho bisogno di farvi causa, basta la segnalazione al garante, che e' gratuita)

16 Accorgimenti end-user Filtri anti-spam a livello del client di posta (windows e unix); Tutti i client di posta elettronica moderni (Mail.app di Apple, Mozilla Mail, Mozilla Thunderbird, Opera, ECCETTO MICROSOFT OUTLOOK EXPRESS) hanno dei filtri integrati che funzionano molto bene. Software anti-spam esterno al client di posta; Es. le accoppiate procmail + bogofilter o spamassassin sono le soluzioni single user più utilizzate in ambienti desktop posix. Black-list di terze parti (es. Spamcop) Sono database che contengono indirizzi ip e/o mail sender classificati come spammer, in genere vi sono contenuti open-relay, innocenti affetti da virus spammatori, etc. Queste blacklist sono frutto di importanti discussioni derivate dai controversi criteri di annessione al database che possono variare in base alle persone o alle organizzazioni che le gestiscono. Gli utenti sono fortemente incoraggiati a trovare blacklist in linea con i propri punti di vista.

17 Accorgimenti end-user Il programma unix per utilizzare le blacklist si chiama rblcheck e può essere utilizzato in accoppiata con procmail in configurazioni desktop posix. Strategia basata sulle white-list Bayesian filtering Sono filtri fondati su particolari basi matematiche probabilistiche basate sul principio che molti eventi sono dipendenti tra loro e la probabilità che un evento avvenga in futuro può essere dedotta dal verificarsi di quello stesso evento in precedenza. Qualora sussistano parti di testo presenti spesso nello spam, ma non nella posta legittima, è ragionevole presumere che una tale costituisca probabilmente dello spam. Prima di poter filtrare la posta, l'utente deve generare un database di termini e simboli raccolti da campioni di posta spam e di posta leggittima.

18 Caso pratico: Qmail e Bogofilter Mostreremo come installare bogofilter con un MTA qmail, si deve essere in possesso dei privilegi di root sulla macchina, e di una installazione di qmail funzionante. La installazione dell'mta non è trattata in questo workshop, maggiori informazioni su dove scaricare i sorgenti di qmail e su come installarlo possono essere recuperate su: (esiste una traduzione italiana) Bogofilter è reperibile alla url Dobbiamo solo esser certi di aver installato qmail-filter di Bruce Guenter reperibile alla url:

19 Installazione e Training di Bogofilter mkdir /home/bogofilter chown R alias:alias /home/bogofilter procuriamoci due mailbox, una carica di spam, un'altra invece carica di messaggi non spam per istruire bogofilter (ecco perchè lo spam non si butta mai! Se non abbiamo queste mailbox ce le possiamo procurare con google, c'è un sacco di gente che conserva lo spam e lo mette a disposizione). bogofilter d /home/bogofilter/ s < /path/del/file/spam.mbox bogofilter d /home/bogofilter n < /path/del/file/non spam.mbox Adesso il nostro bogofilter dispone dei due database necessari per il suo funzonamento

20 Filtraggio con Qmail Creare uno script dal nome /home/bogofilter/bogofilter-run: #!/bin/sh exec /usr/bin/qmail qfilter /usr/bin/bogofilter d \ /home/bogofilter p u e chmod +x /home/bogofilter/bogofilter run In /etc/tcp.smtp assicurarsi di settare la riga: :allow,qmailqueue="/home/bogofilter/bogofilter run" Aggiornare il database tcp.smtp.cdb con il comando: tcprules /etc/tcp.smtp.cdb /etc/tcp.smtp.tmp < /etc/tcp.smtp Adesso per ogni messaggio in ingresso qmail eseguirà bogofilter, e ogni messaggio avrà la header line X-Bogosity: [Yes No]. Bisognerà educare gli utenti a settare i propri filtri per rilevare l'header e spostare i messaggi dentro una loro directory di posta specifica.

21 Registrazione dello Spam e correzioni Settare un alias qmail in modo che gli utenti possano usarli per registare lo spam, i messaggi non-spam, e correggere le classificazioni errate. Creare un file /var/qmail/alias/.qmail-bogofilter-default con dentro: /home/bogofilter/bogofilter qfe /home/bogofilter/maildir/ Copiare il file bogofilter-qfe (che trovate dentro la cartella contrib dei sorgenti di bogofilter) dentro /home/bogofilter Cambiare il valore del dominio di posta nel file bogofilter-qfe. Lo script deve essere adattato nel caso in cui avete una qmail in configurazione domini multipli. /var/qmail/bin/maildirmake /home/bogofilter/maildir chmod +x /home/bogofilter/bogofilter qfe

22 Registrazione dello Spam e correzioni Istruire gli utenti. Per registrare: spam, inviare a bogofilter-register-spam@esempio.com nonspam, inviare a bogofilter-register-nonspam@esempio.com Per correggere classificazioni errate: spam, send to bogofilter-spam@esempio.com nonspam, send to bogofilter-nonspam@esempio.com E' importante fare un bounce del messaggio oppure un redirect piuttosto che fare un forward dei messaggi. Un metodo migliore potrebbe essere quello di settare un account imap+ ssl con 4 maildir, ognuna con uno scopo e con un cronjob a testa che provvede ad istruire bogofilter.

23 SmtpFront + RBL Se vogliamo rendere il nostro qmail ancora più performante contro gli spammer possiamo utilizzare le black-list e un software che si chiama smtpfront (reperibile su questo programma ci consente di validare indirizzi di posta, è possibile ad es. bloccare dei sender ben precisi inseriti in un file sul filesystem, o che matchano una regula expression. Per utilizzare smtpfront basta installarlo e creare un file /etc/smtpfront/mailrules simile a questo: :sender d[[/var/qmail/control/badmailfrom]]:*:sorry, your envelope sender is in my badmailfrom list (#5.7.1) d*:*!*: Sorry, we don't allow that here d*:*@*@*: Sorry, we don't allow that here d*:*%*: Sorry, percent hack not accepted here d*%*:*: Sorry, percent hack not accepted here d:*:sorry, empty From are not allowed #d!*@*.*:*:sorry, From field format is not valid :recipient k*:[[@/var/qmail/control/rcpthosts]] k*:[[@/var/qmail/control/morercpthosts.cdb]]

24 SmtpFront + RBL Dopo aver creato il file mailrules bisogna modificare il file / etc/tcp.smtp: :allow,qmailqueue="/home/bogofilter/bogofilter run"\,mailrules="/etc/smtpfront/mailrules" Ricostruire il db con il comando: tcprules /etc/tcp.smtp.cdb /etc/tcp.smtp.tmp < /etc/tcp.smtp

25 SmtpFront + RBL Se vogliamo utilizzare i server delle black list occorrerà modificare il file /service/qmail-smtpd/run per somigliare al seguente file: QMAILDUID=`id u qmaild` NOFILESGID=`id g qmaild` MAXSMTPD=`head 1 /var/qmail/control/concurrencyincoming` if [ z "$QMAILDUID" o z "$NOFILESGID" o z "$MAXSMTPD" ]; then echo QMAILDUID, NOFILESGID, or MAXSMTPD is unset in echo /var/qmail/supervise/qmail smtpd/run exit 1 fi exec \ /usr/local/bin/envdir /etc/smtpfront \ /usr/local/bin/softlimit m \ /usr/local/bin/tcpserver v R l 0 x /etc/tcp.smtp.cdb c "$MAXSMTPD" \ u "$QMAILDUID" g "$NOFILESGID" 0 smtp \ /usr/local/bin/rblsmtpd r bl.spamcop.net r relays.ordb.org \ /usr/local/bin/smtpfront qmail 2>&1 Riavviare qmail con la coppia di comandi: kill HUP 1 && qmailctl restart

26 SmtpFront + RBL Se tutto è stato fatto a dovere i log daranno, ogni tanto, qualcosa del tipo: :14: tcpserver: pid 2890 from :14: tcpserver: ok : :25 : :: :14: rblsmtpd: pid 2890: 451 Blocked see

27 THE END