(Сокращенная статья для форума opennet.ru)

/* Если не нашел под рукой "толстого манна" -
Напиши его сам! */

Сама обозначенная проблема СПАМа имеет специфическую природу, вовсе не только технического характера, гранича с морально-этическими и даже юридическими проблемами. Поэтому сугубо технократические потуги разрешения этой весьма-таки современной проблемы Интернета не могут привести к успеху именно из-за её "синтетической" природы.

Поскольку это так*, насущным является выявление компонентов этой проблемы и нахождение адекватных "ответов" на этот вызов современности в Интернете. При этом "умные ответы" будут и на самом деле должны быть адекватны именно частям, отдельным компонентам проблемы, а не чему-то расплывчатому и неопределённому (что часто имеет место ныне). Ибо иначе никак не удастся успешно разрешить её.

* А это именно так! И любой специалист: здравомыслящий, не ангажированный, не доктринёр и умеющий смотреть в корень проблемы, - сможет самостоятельно в этом убедиться, правда после затраты известной толики умственных усилий и трудов... :)

Нынешние же попытки решать проблему СПАМа - то ли неумными "силовыми" (суть заградительно-принудительными) методами на уровне сетевых серверов, то ли потугами на тотальную фильтрацию почтового трафика, - ничего не решают по существу. Ибо подчас это даже обостряет проблему и лишь приводит к дополнительным, часто - несоразмерным затратам вычислительных и сетевых ресурсов.

Если делается так, как делается ныне, тогда непременно возникает старинный знаменитый парадокс, когда подобные "решения" проблемы СПАМа становится неким лекарством, которое хуже самой болезни...

[...]

Технологически решая проблему противодействия СПАМу, возможно осуществлять защиту пользователя лишь некими техническими "заградительными" мерами (т.е. как-то "экранируя" данного мэйл-клиента (или лучше всех) от потока нежелательной почтовой рассылки), но НИКАК не мерами "наказания"* потенциально выявленного отправителя СПАМа. Ибо, во-первых, в случае СПАМа никто НЕ МОЖЕТ определить каузально (причинно-следственно), не говоря уж юридически - даже потенциального "состава преступления"; во-вторых, ввиду особенностей самого протокола передачи электронных сообщений (SMTP) не представляется возможным с достаточной степенью достоверности даже выявить ИСТИННОГО отравителя СПАМа. Следовательно, "борец" со СПАМом не имеет ни морально-этической, ни тем более - юридической основы и права для каких-либо "силовых" и чуть ли не "насильственных" сетевых действий: таких, как скажем "бан" отправителя по IP, принадлежащего некому серверу, с которого (и то лишь ПРЕДПОЛОЖИТЕЛЬНО) зафиксирована рассылка СПАМа!..

* Нужно подчеркнуть, что "наказание" спаммера закрытием его ПОЧТОВОГО ЭККАУНТА не является эквивалентным по "силе" часто имеющим место ныне "бану" по IP самого сервера, где спаммер держал свой мэйл, с которого была осуществлена им СПАМ-рассылка. Закрыть всего лишь мэйл-эккаунт, лишив возможности спаммера делать своё неблаговидное дело, это означает разрешить возникшую проблему, не затрагивая интересы множества иных лиц... была бы лишь техническая возможность надёжно сделать это (об этом, в сущности, и размышляет автор данной статьи).

Дело в том, что на одном физическом или даже виртуальном компьютере-сервере, даже неважно: несущем лишь мэйл-сервер или имеющем несколько сервисом наподобие веб-сервера, почтового и ещё каких-либо иных, - может находиться эккаунты множества пользователей, в том числе других пользователей электронной почты. Блокируя такой сервер-компьютер по IP, рьяные "борцы со СПАМом" фактически наносят весьма существенный ущерб, при этом - ущерб часто затрагивает значительное число лиц, которые в подавляющем большинстве случаев СОВСЕМ и НИ В ЧЁМ НЕ ВИНОВНЫ!..

Доходчиво, буквально "на пальцах", эти различия можно объяснить так. Скажем, вот на "публичном" сервере mail.ru имеются эккаунты: vasia-pupkin@mail.ru, ivanoff@mail.ru, perrov@mail.ru, sidorov@mail.ru и... badboy@mail.ru - последний оказался... новичком-спаммером (ибо решил просто-напросто использовать бесплатный сервис для СПАМа). Если факт спаммерства клиента badboy@mail.ru пресечь, забанив весь сервер mail.ru (по IP), то пострадают ВСЕ!.. Если же иметь надёжную систему аутентификации, при которой НИКТО не смог бы "притвориться" неким легально зарегистрированным клиентом, занимаясь спаммерством, то наличие потока писем, признанных автоматическим спам-фильтром как СПАМ, исходящий с сервера mail.ru, позволило бы надёжно пресекать деятельность некого спаммера, кто взял себе эккаунт и мэйл-ящик badboy@mail.ru, при том - просто его закрытием*.

* При наличии продуманной системы аутентификации на протяжении всего почтового сетевого "канала", также нацеленной и на надёжную авторизацию любого конкретного человека - пользователя электронной почты, а также при наличии общепринятой (введённой хотя бы рекомендательно) разумной политики открытия новых почтовых ящиков, - все это способно решить значительную часть проблем борьбы со СПАМом. В частности, тогда известная проблема борьбы со "сменой ящика" упорным спаммером может быть легко решена "затруднением" для спаммера (но отнюдь не для благонадёжных пользователей!) возможности автоматически или полуавтоматически зарегистрировать ящики, даже некоторым разумным увеличением времени на такие процедуры, при которых мало у кого достанет терпения заниматься спаммерством "вручную"; тем более, это нарушит работу нынешних автоматических или полуавтоматических процедур для части "примитивных" спам-рассылок... Иные, продвинутые, будут хотя бы отчасти рассмотрены ниже.

Да, иные аспекты нелегального использования средств SMTP для рассылки СПАМа решаются иными средствами, но аутентификация и там незаменима. Но вот детали этого, как и некоторые иные детали, на публичном интернет-ресурсе излагать было бы делом безответственным!..

Некоторые знающие, но склонные к верхоглядству читатели воскликнут: о чём автор ломает здесь копья?!. Ведь давным-давно совместно с SMTP и при отправке писем мэйл-клиентом ("мэйлером", MUA - Mail User Agent - Почтовый Агент Пользователя) используется аутентификация хотя бы "простым" паролем (plain text)! На что автор отвечает: правильно! Однако этим защищена лишь "последняя миля", т.е. участок сети (почтовый трафик) между (скорее всего) персональным компьютером пользователя мэйл-системы, и мэйл-сервером (чаще всего находящимся где-то в Большой Сети). И не более того! А на практике этого давным-давно* мало...

* Между прочим, отсутствие "встроенной" аутентификации в SMTP объясняется тем, что в "буколические времена" 70-х гг. прошлого века - когда "рождались" протоколы и стандарты Сети, и когда компьютеры и мэйл были скорее принадлежностью и реалиями сетей, ограниченных по доступности и даже по разветвлённости и принадлежащих "солидным компаниям", и когда вследствие этого среди пользователей было весьма мало людей, мягко говоря, безответственных, т.е. что называется "с улицы", - тогда проблема жёсткой авторизации пользователей-отправителей электронной почты как-то особо не стояла... :)

Однако настоящая проблема надёжной аутентификации почтовых отправлений наступает вовсе не на "последней миле", т.е. рядом с отправителем (см. условные диаграммы ниже), а как раз на пути между мэйл-сервером в пункте 1 (отправитель), и мэйл-сервером в пункте 2 (принимающая сторона) - и наоборот (точнее - на стыках серверов).

Нужно заметить, что этот путь часто становится ветвист и неоднозначен по количеству и направлениям передачи почтового трафика. Ибо, как и при передаче в сети любого TCP/IP трафика, имеются "ретрансляторы" - релеи (суть сетевые серверы). В данном случае - почтовые релеи.

Условно это можно обозначить так:

(Sender) --> (MS1) <==> (MS2) <==> ... (MSn) --> (Recipient);

Где:
Sender - отправитель почты (MUA);
MSn - мэйловые серверы (MTA - Mail Transfer Agent - Агент Доставки Почты), помеченные цифрами по-порядку следования трафика;
Recipient - приёмник почты (тоже MUA).

При этом MS-узлов в цепочке передачи сообщений может быть от двух (идеал), до многих и многих в неких связанных цепочках, вообще говоря, не определённых жёстко и "раз и навсегда" даже для связки сервер1 - сервер2, принадлежащий акту передачи трафика на один заранее известный удалённый почтовый сервер... (В этом тоже есть некоторые аспекты проблемы.)

В этой диаграмме я чисто условно обозначил однонаправленными стрелками (-->) сетевой канал "последней мили", ибо там по преимуществу в данный момент времени наблюдается однонаправленная передача (в контексте одного какого-либо почтового сообщения), к тому же эта стрелка указывает направление пересылки почты в данный момент времени; там же на схеме двунаправленными стрелками (<==>) я обозначил связи между серверами в Сети, ибо даже в контексте одного почтового сеанса связи, скорее всего там будет наблюдаться двусторонняя передача трафика с помощью MTA; также это отражает некоторые аспекты аутентификации, которые желательны (но далеко не всегда используются ныне на практике).

Конечно, при отправке сообщения для MUA аутентификация производится и ныне (при заборе писем - тем более, см. краткое описание POP). В сущности, это есть сугубо "начальная" процедура, и при отправке одного письма независимо от количества и набора целевых адресатов одно какое-либо письмо уйдёт на MS1 лишь ТОЛЬКО ОДИН РАЗ. Это важно! Однако в зависимости от набора адресатов письма, перечисленных в его заголовке ("конверте"), сервер MS1 может "размножить" это письмо с отправкой его сеансами на те адреса (суть - на серверы, имена которых обозначены в адресе после знака @, например, на сервер mail.ru или yandex.ru), которым пожелал послать "рассылку" этот отправитель. (Ибо именно рассылки на список адресов есть "технология" и СПАМа тоже... но не его одного, ибо старинные и вполне легальные телеконференции, возникшие сразу с появлением электронной почты, суть тоже списки рассылки.)

Проблема (суть - "раздолье" для злостных спаммеров) возникает из-за того, что в существующем и практикуемом повсеместно стандарте SMTP вовсе не предусмотрена никакая аутентификация МЕЖДУ ПОЧТОВЫМИ РЕЛЕЯМИ, на диаграмме в качестве которых выступают серверы MS1 ... MSn, и к тому же опознавание "кто есть кто" ведётся лишь по заголовку "конверта" письма, подделать который хакерам не составляет никакого труда. Это серьёзное "упрощение", хотя когда-то фактически технологически вынужденное.

Не вдаваясь в излишние детали, и так известные компетентным специалистам-компьютерщикам, можно сделать обоснованный вывод. Из-за того, что маршрутизация почтовых "пакетов" в Сети идёт фактически лишь по объявленным DNS-адресам почтовых серверов, при этом она даже чуть-чуть не "прикрыта" элементарной аутентификацией, позволившей бы выявлять НЕЗАКОННЫХ ОТПРАВИТЕЛЕЙ ПОЧТЫ, эта система ЧРЕЗВЫЧАЙНО "дружелюбна" по своей топологии и технологии современным изощрённым спаммерам!.. Увы!

Кстати, способствует всё это отнюдь не только таким "чайникам", как наш условный пользователь badboy в весьма условном объяснении на примере сервера mail.ru данном мною выше, а много более изощрённым хакерам-спаммерам.

Между прочим, в нашем примере выше был некто vasia-pupkin@mail.ru, которого я ввёл незря. В существующей практике "частичной" аутентификации с весьма несовершенной процедурой разграничений почтовых пакетов (между серверами и/или "внутри" сервера: так называемые "локальные" списки) наличие в том числе "лохов" с плохо аутентифицируемыми или просто заброшенными почтовыми ящиками суть также способствует вольготности спаммерства...

Не подумайте, что автор выдаёт свои описания за некие "откровения"! Да, почти всё из описанного, и многое-многое другое давным-давно известно специалистам. Однако парадокс в том, что "воз и ныне там", и что противодействие СПАМу ныне мыслится фактически как "обходные манёвры" и/или латание очередных "дыр" в реализациях серверов и сервисов, а отнюдь не как желание компьютерной и сетевой общественности пересмотреть саму концепцию сетевого взаимодействия (кстати, для этого вовсе не нужно перерабатывать протоколы).

Здесь неуместно приводить ни подробные схемы-диаграммы, ни глубокие "научные" изыскания с подробной статистикой, но некоторые данные, имеющиеся у автора, позволяют ему заключить и озвучить здесь такой не всем известный факт. Примерно 90% СПАМ-трафика уже ныне попадает в Сеть посредством разного рода "хаков" в рамках SMTP, а вовсе не элементарным ("внаглую") использованием арендованных (или просто взломанных) мэйлсерверов с отправкой СПАМа с "легально" созданных почтовых эккаунтов, размещенных на них. Подтверждение этому (хотя отчасти косвенное) является почти полное отсутствие в спаммерских рассылках в письмах обратных адресов, на которые можно было бы дать ответ в присланном СПАМ-письме (указываются фиктивные обратные адреса). Иными словами, отправка ведётся с подделкой служебных полей заголовка письма (его "конверта"), что означает "обход" спаммерским софтвером стандартных (и весьма примитивных ныне) правил проверки принадлежности отправляемого письма легальному пользователю, т.е. факт отправки из легально созданного "правильного" почтового эккаунта на сервере...

Не следует забывать, что именно современная печальная тенденция неудержимого "размножения" так называемых "зомби-сетей", откуда в том числе исходит всё более и более значительная часть СПАМа, говорит о многих затронутых здесь аспектах более чем красноречиво. Если все "силы зла" имеют желание и возможности к интеграции и "сотрудничеству" между собой, то неужели нам - благонадёжным и желающим процветания Интернету людям - не удастся преодолеть пофигизм, доктринальную и прочую разобщённость, чтобы преодолеть сетевые угрозы?..

В том числе - необходимо преодолеть узость ума, привыкшего считать отход от общепризнанных концепций и доктрин чем-то навроде деяния: "шаг влево, шаг вправо - равняется побегу"...

Чтобы не показаться кому-то голословным, тем более - беспочвенным критиканом, чуть-чуть раскрою существо возможного решения проблемы надёжной и необременительной аутентификации серверов, которые получают вполне официальный статус вместе с регистрацией своего доменного имени. Да, "царский путь" решения и этой проблемы пролегает через пограничные территории. Что подсказывает необходимости объединения усилий, как минимум, со специалистами по защите информации и с доменными регистраторами - законными представителями всемирной службы распределения доменных имён в Сети. Намекаю: очень многое подходящее для нашей задачи заложено в DNSSEC, в частности - SIG(0). И эти решения как нельзя лучше соответствуют нужде в надёжном делегировании полномочий. В данном случае, полномочий "канальной" передачи почтовых сообщений...

К тому же подобные "синтетические" решения синергетически способствуют противодействию более чем одной сетевой угрозе, что тоже весьма неплохо - для благонамеренных и добропорядочных пользователей Интернета, конечно!.. :)

/* (С) Имеющий разум да поймёт! */

Даже краткий анализ сложившегося положения вещей говорит о том, что если бы специалисты соответствующих компьютерных профилей, причастные к разработке почтовых серверов и сервисов, сумели договориться и "прикрыть" наконец надежной и необременительной аутентификацией* весь трафик почты**, то навскидку СПАМа было бы на порядок меньше при всех прочих равных привходящих обстоятельствах.

* В частных случаях, хотя бы на основе SASL - для аутентификации трафика между почтовыми серверами (хотя многие сисадмины, наверное чаще корпоративные - им это сделать легче, и сейчас делают это, - больше по собственной разумности, чем из общепринятых правил, - но это не стало ни всеобъемлющей практикой, ни практикой "по умолчанию" в "коробочных" дистрах); однако для "последней мили" и нынешнее положение вещей с аутентификацией plain text, по умолчанию используемой большинством сервером и мэйлеров, в общем-то достаточно - кроме особых случаев. (Ибо взломы паролей на чьи-то мэйл-ящики - скорее дело случая и чаще всего - от разгильдяйства пользователей, а отнюдь не правило, по крайней мере, при существующем положении с распространением СПАМ-трафика в Сети...)

** Нужно защитить аутентификацией весь почтовый трафик сети, а вовсе не просто "запатчить" кое-что... И делать это нужно не то чтобы меняя сам протокол SMTP, а скорее введя "поверх" необходимые процедуры аутентификации, - делая это на всём протяжении передачи почтового трафика, и на серверах вида MSn, что в диаграмме, в частности.

Нужно понимать и помнить: почтовых клиентов (суть конечных пользователей e-mail'а) на 3-4 порядка больше, нежели почтовых серверов, предоставляющих услугу мэйлинга. Кроме того, по большому счёту нынешние угрозы хакерской рассылки СПАМа (в противовес первоначальным "примитивным") использует "особенности" реализации именно серверных "концов" в протоколах, в SMTP и всем знакомом "ветеране" MTA, т.е. программе sendmail - прежде всего.

А это значит, что именно на почтовые серверы должны быть нацелены меры по усовершенствованию средств аутентификации взаимодействий в почтовом обмене информации. (Надеюсь, не нужно особо пояснять, каковой проблематичной была бы попытка "заставить" что-то дополнить в свои мэйлеры многие биллионы "простых пользователей"... это же не то, что сисадмины, - народ в общем-то грамотный и по идее - ответственный...)

Замечу, этот выигрыш был бы обеспечен без накладных расходов на излишнюю "тотальную" фильтрацию почтового трафика теми или иными серверными спам-фильтрами... (Что поймёт любой грамотный сисадмин...) Совместно же с высокоинтеллектуальными спам-фильтрами (которых ныне не наблюдается в компьютерной природе... но это уже другой разговор, который автор статьи пытается вести уже года два как) проблема противодействия СПАМу была бы разрешена радикально и с разумными затратами сетевых и серверных ресурсов, да и экономя силы человека-оператора тоже...

[...]

Написанное - это по существу "пилотная", к тому же сокращенная статья, специально для данного форума. Если автор увидит, что соответствующие теме специалисты готовы адекватно воспринять существо проблемы и предложения автора, заинтересованный разговор может быть продолжен. Здесь или в ином подходящем месте в Сети. В конце концов, с одной стороны приходят на ум известные изречения о "монастыре и уставе", а с другой - в сущности "монастырём" таким для нас всех является Интернет, и по идее всех должно беспокоить его благо...

И ещё. Лишь тем, "кто в танке" не видно и не очевидно, что ныне Интернет с ужасающей скоростью, буквально на глазах, превращается то ли в помойную клоаку, то ли в клоачную помойку...