Spam et mails payants

dans (in) fr.comp.mail, "F. Senault" <fred@lacave.net> ecrivait (wrote)

- n'ayant aucun retour (bounce illusoire ou demande de
« désabonnement », le spammer n'a aucun moyen de vérifier la validité
de l'adresse à laquelle il a adressé son pourriel ;

Ce qui, dans 99.964% des cas n'est pas un argument, s'pas... :)

Enfin un qui suit.

--
Eric

Excuse-moi d'être un peu dur de la feuille, mais peux-tu m'expliquer ce qui
ne marche pas ?

- de l'intérieur vers l'intérieur : un mail émis = une unité
S'il est émis vers une mailing list interne : une unité

Ok. J'attendrai que ton réseau ait un million d'abonnés pour me faire
une mailing list avec tous ces abonnés. Pour une unité payée, je spamme
un million d'adresses. Que du bonheur.

- de l'extérieur vers l'intérieur : ça ne rentre pas

Trop contraignant. Je préfère être joignable par n'importe qui, et avoir
de bons filtres anti-spam pour jeter les saloperies.

Eric Demeester wrote:

En revanche, filtrer (et donc jeter sans les lire) les spams me paraît
une solution d'avenir :

Humm, les faux positifs sont tout de même ennuyeux, et ils risquent de
casser la chaîne relativement sûre de livraison du courrier (les RFC à
ce sujet sont tout de même de qualité)

La solution d'avenir serait en fait (je me répète) d'avoir un vrai
système de filtrage de spams au niveau du MTA :
- performances (api genre sendmail + libmilter, avec RBL, + filtres)
- code d'erreur SMTP direct, et donc plus de bounce à gérer (soit la
chaîne émettrice s'en charge, et gère les abus, soit c'est le bulk
emailer qui se prend un "fuck off" en direct)

Les post-filtres, c'est emplâtre sur jambe de bois.

grokub1203@pescadoo.net (Jean-Yves Bernier) wrote in
news:1g66bzu.gyrxg01s7zwpwN%grokub1203@pescadoo.net:

Ok, ça marche.

Donc, à partir d'aujourd'hui, mes utilisateurs me versent 0.001Euro
par mail à destination d'un autre de mes utilisateurs. Je bloque tous
les mails venant de l'extérieur. On n'a plus de spam, super! Par la
même occasion, on est coupé du monde.

Du monde des spammers : OUI !

Demain, tu fais pareil. Mes utilisateurs et les tiens peuvent commu-
niquer. Super! Qu'est-ce qui empêche mes utilisateurs de spammer les
tiens (ou l'inverse) puisque c'est gratuit?

Ce n'est pas gratuit : quand un de mes utilisateurs veut envoyer 10 mails à
tes utilisateurs, il paye dix unités.
Tu avait compris ça autrement ?

Décompter le nombre de mails envoyé par session SMTP au niveau du serveur
est aisé. Je ne vois pas ce qui te gêne.

--
Nicolas Ecarnot

Olivier Miakinen <Olivier.Miakinen@teaser.fr> wrote in
news:brt9t4$189q$1@feed.teaser.net:

- de l'intérieur vers l'intérieur : un mail émis = une unité
S'il est émis vers une mailing list interne : une unité

Ok. J'attendrai que ton réseau ait un million d'abonnés pour me faire
une mailing list avec tous ces abonnés. Pour une unité payée, je
spamme un million d'adresses. Que du bonheur.

Négatif : Le serveur SMTP comptabiliserait un million d'unités envoyées
par le spammeur.

Une seconde. Pour vous, qu'est-ce qu'une mailing list ?
C'est un mécanisme qui regroupe un certain nombre d'e-mails, et qui
retransmet un courrier vers un grand nombre d'autres adresses.
Cette retransmission se fait à travers un serveur SMTP.
Si ce serveur SMTP est certifié, il peut envoyer autant de mails qu'il
veut, mais dans ce cas, il doit faire payer par unité de mails envoyés.
Si tu t'amuses à créer ton propre réseau certifié, et que tu tentes de
spammer, cela va très vite se voir, et ton réseau perd la certification.

Je le répète : Hyper simple.

- de l'extérieur vers l'intérieur : ça ne rentre pas

Trop contraignant. Je préfère être joignable par n'importe qui, et
avoir de bons filtres anti-spam pour jeter les saloperies.

Le temps joue en la faveur d'une solution semblable à ma proposition :
Il y a deux ans, personne ne se plaignait du spam.
Aujourd'hui, presque 40% du traffic mail est du spam, et les voix
commencent à s'éléver.
Quand on en sera arrivé à 80%, on commencera à réflechir à un système de
serveur SMTP certifié, démocratiquement géré, extremement peu cher pour
l'utilisateur, mais cher pour le spammeur.

Je ne suis pas persuadé de détenir la meilleure solution, mais je suis
persuadé que l'alternative est innévitable, et que les filtres antispams
sont déjà obsolètes.

--
Nicolas Ecarnot

Le 2003-12-19, à propos de
Re: Spam et mails payants,
Nicolas Ecarnot écrivait dans fr.comp.mail :

Olivier Miakinen <Olivier.Miakinen@teaser.fr> wrote in
news:brt9t4$189q$1@feed.teaser.net:

- de l'intérieur vers l'intérieur : un mail émis = une unité
S'il est émis vers une mailing list interne : une unité

Ok. J'attendrai que ton réseau ait un million d'abonnés pour me faire
une mailing list avec tous ces abonnés. Pour une unité payée, je
spamme un million d'adresses. Que du bonheur.

Négatif : Le serveur SMTP comptabiliserait un million d'unités envoyées
par le spammeur.

Mes utilsateurs sont plutôt spammés que spammeurs, donc je ne vois
pas bien l'intérêt du truc à moins que tout le monde s'y mette.

Je vais peut-être raconter une énorme connerie, mais le spam
provient soit de serveurs pirates (avec une en-tête foireuse à la
limite de la bienséance qui fait généralement rougir mes sendmail's)
soit de serveurs authentiques, avec pignon sur rue, mais qui sont
administrés par des soi-disant adminsys qui ne possèdent que deux
pieds gauches. Je ne citerais pas de nom, mais en France, on possède
deux ou trois FAI qui sont des relais à spam presque officiels tant
leurs serveurs SMTP sont mal configuré. Il fut un temps (que les
moins de vingt ans ne peuvent pas conaaaaaître [air connu]) où le
simple fait de vérifier le reverse permettait de s'affranchir d'une
grande majorité du spam. Aujourd'hui, un bon nombre de serveurs
n'ont pas de reverse correctement positionné (à commencer pas
free.fr, pas cher, mais configuration réseau complètement nulle...
Pour les Unixiens, mettez un ALL: PARANIOD dans /etc/hosts.deny et
tentez un ssh depuis un accès free.fr. Un coup je te vois, un coup
je ne te vois plus !). Donc, le truc rebondit sur un serveur foireux
qui possède un reverse et part dans la nature vers tout le monde et
apparaît donc avec un bon reverse et le tour est joué !

Le drame, c'est qu'aujourd'hui, plus personne ne cherche à installer
ou à configurer correctement un sendmail. Je fais figure de
dinosaure lorsque j'attaque un sendmail.cf dans le texte avec un vi.
Seulement on n'a toujours pas trouvé mieux (postfix, exim et leurs
amis sont des passoires à côté). Tout cela pour dire que si tous
les serveurs SMTP étaient correctement administrés (avec un champ
"relay" idoine, une petite vérification de ladresse de l'expéditeur
[adresse possédant un reverse, formée dans les règles de l'art des
RFC courantes...]), une grande partie du spam serait évitée (ou on
aurait directement l'adresse de l'expéditeur, donc de la personne
parfaitement identifiée à engueuler !).

Une seconde. Pour vous, qu'est-ce qu'une mailing list ?
C'est un mécanisme qui regroupe un certain nombre d'e-mails, et qui
retransmet un courrier vers un grand nombre d'autres adresses.
Cette retransmission se fait à travers un serveur SMTP.
Si ce serveur SMTP est certifié, il peut envoyer autant de mails qu'il
veut, mais dans ce cas, il doit faire payer par unité de mails envoyés.
Si tu t'amuses à créer ton propre réseau certifié, et que tu tentes de
spammer, cela va très vite se voir, et ton réseau perd la certification.

Je le répète : Hyper simple.

Non... Tant qu'il n'y aura pas partout des adminsys un peu sérieux
et un peu paranoïaque, on ne changera rien. Voir des domaines
entiers confiés à un débutant m'a toujours fait sourire (surtout
quand je vois qu'après 10 ans d'expérience, j'arrive encore à
oublier un "." dans les fichiers DNS), sourtout lorsque les serveurs
du domaine en question tournent sous des systèmes d'exploitation qui
ressemblent plus à des passoires (au niveau sécurité j'entends) qu'à
des outils de production. Donc la solution est :
1/ utiliser des outils adaptés (Unix, OpenVMS ou consorts) ;
2/ administrer correctement le truc ;
3/ utiliser un adminsys qui a de l'expérience.

- de l'extérieur vers l'intérieur : ça ne rentre pas

Trop contraignant. Je préfère être joignable par n'importe qui, et
avoir de bons filtres anti-spam pour jeter les saloperies.

Le temps joue en la faveur d'une solution semblable à ma proposition :
Il y a deux ans, personne ne se plaignait du spam.
Aujourd'hui, presque 40% du traffic mail est du spam, et les voix
commencent à s'éléver.
Quand on en sera arrivé à 80%, on commencera à réflechir à un système de
serveur SMTP certifié, démocratiquement géré, extremement peu cher pour
l'utilisateur, mais cher pour le spammeur.

Et alors ? Le simple fait d'avoir un reverse valide signifie que le
serveur est déclaré dans les DNS. On peut compliquer la chose, mais
tant que l'administrateur n'enlèvera pas ses moufles, la situation
perdurera. Et tant qu'il ne restera qu'un serveur en mode passoire,
tout le reste ne servira à rien.

Je ne suis pas persuadé de détenir la meilleure solution, mais je suis
persuadé que l'alternative est innévitable, et que les filtres antispams
sont déjà obsolètes.

Quant au mail payant, la Poste se fait un maximum d'argent en
distribuant des prospectus (et je peux vous dire que c'est cher). Ce
n'est pas pour cela que j'en reçois moins dans ma boîte aux lettres
!

Cordialement,

JKB

grokub1203@pescadoo.net (Jean-Yves Bernier) wrote in
news:1g67rrn.1rkbpm9162oufeN%grokub1203@pescadoo.net:

Nicolas Ecarnot <nicolas.ecarnot@alussinan.org> wrote:

Ce n'est pas gratuit : quand un de mes utilisateurs veut envoyer 10
mails à tes utilisateurs, il paye dix unités.
Tu avait compris ça autrement ?

Ça vient de changer:

Un mail émis depuis l'intérieur du réseau compte pour un.
S'il sort du réseau, ça ne concerne plus le réseau.

Par réseau, j'entendais "réseau de réseaux". Et rien n'a changé : on
compte bien trois d'un réseau certifié vers un réseau certifié.

S'il est émis vers trois personnes internes
et deux personnes externes : trois unités

C'est la première raison pour laquelle ça ne marchait pas.

La seconde, c'est que tant que le procédé n'a pas été universellement
adopté, ça introduit une partition du mail totalement ingérable.

Pour rebondir sur le message de JKB, il est évident que ce système doit
utiliser l'autentification par cryptage.
Et ce que propose JKB, c'est bel et bien un sous-réseau du grand réseau =
celui des DNS enregistré.
Sauf que ce DNS ne bénéficie d'aucune sécurité basé sur du cryptage, donc
forgeable, donc non fiable.

Il y a plusieurs cas, que tu sembles ignorer:

:o)

- Les lecteurs de mail dotés d'une fonction d'envoi direct

Oui ? Et alors ? Le serveur SMTP qui reçoit le mail réponds : "mon petit,
je ne te connais pas, va jouer aux billes"

- Les logiciels de spam dotés de la même fonction

Idem.

- Les serveurs de mail installés par erreur lors de la procédure de
configuration système

Bis.

- Les relais ou proxies installés par un vecteur viral

...

- Les serveurs installés et utilisés légitimement sur des machines
client.

Voir consortium, certification.

S'il est souhaitable de neutraliser les cas 2 à 4, il ne l'est pas de
neutraliser le 5. La "certification" ne concerne pas que les FAi mais
s'étend à tous les utilisateurs potentiels.

D'accord. Voir plus haut dans le thread.

Par ailleurs, un système de certification implique une méthode de
discrimination entre les mails certifiés et non-certifiés. Donc, une
forme ou une autre de certificat numérique lié au mail. Donc, pour
éviter l'usurpation de ce certificat, de la cryptographie.

Oui.

C'est un peu plus compliqué.

Aussi compliqué que de monter un antispam fiable à 100 % ?
(Et pas 99.953 %)

--
Nicolas Ecarnot

dans (in) fr.comp.mail, Xavier Roche <xroche@free.fr.NOSPAM.invalid>
ecrivait (wrote) :

Bonsoir Xavier,

Humm, les faux positifs sont tout de même ennuyeux, et ils risquent de
casser la chaîne relativement sûre de livraison du courrier (les RFC à
ce sujet sont tout de même de qualité)

Je n'en disconviens pas, et mon propos partait du principe que les
règles appliquées sur le serveur ne généraient aucun faux positif.

D'où la nécessité, le temps de vérifier que les règles ne comportaient
pas d'effet de bord, de ne pas jeter sans lire.

La solution d'avenir serait en fait (je me répète) d'avoir un vrai
système de filtrage de spams au niveau du MTA :

Oui.

Les post-filtres, c'est emplâtre sur jambe de bois.

Oui aussi, au détail près que je parlais de filtres sur le serveur.

--
Eric

grokub1203@pescadoo.net (Jean-Yves Bernier) wrote in
news:1g68457.1x59pe19645juN%grokub1203@pescadoo.net:

Pour rebondir sur le message de JKB, il est évident que ce système doit
utiliser l'autentification par cryptage.

Voila. Il ne suffit pas de claquer dans les doigts.
Il y a du logiciel à écrire. Et avant le logiciel, des RFC.

Je pense en effet qu'avant d'écrire le moindre bout de code, il faut partir
d'un standard à définir.

Voila donc une organisation qui a la haute main sur le mail de tout
l'Internet. Un pouvoir de vie ou de mort. Je passe sous silence les
frais de fonctionnement, la sécurité et l'assurance qualité.

http://www.usenet-fr.net/Qu-est-ce-que-Usenet.html#2

Et pourtant, je trouve que usenet-fr fonctionne très bien.

L'histoire montre que tout point central se retrouve au centre d'un jeu
d'intérêt dans lequel les associations bien intentionnées ne font pas le
poids. L'exemple Verisign suffit à tout un chacun pour comprendre où on
va avec un tel montage.

Voir URL ci-dessus.

--
Nicolas Ecarnot

Voila donc une organisation qui a la haute main sur le mail de tout
l'Internet. Un pouvoir de vie ou de mort. Je passe sous silence les
frais de fonctionnement, la sécurité et l'assurance qualité.

http://www.usenet-fr.net/Qu-est-ce-que-Usenet.html#2

Et pourtant, je trouve que usenet-fr fonctionne très bien.

Je crois que je viens de comprendre une chose que tu as peut-être dite,
mais que je n'ai pas lue. C'est que ton système ne pourra commencer à
fonctionner que lorsque un nombre suffisamment important de FSI aura mis
en place le système. C'est bien ça ?

L'histoire montre que tout point central se retrouve au centre d'un jeu
d'intérêt dans lequel les associations bien intentionnées ne font pas le
poids. L'exemple Verisign suffit à tout un chacun pour comprendre où on
va avec un tel montage.

Voir URL ci-dessus.

Tu es un peu trop laconique dans tes explications. On peut comprendre
deux choses dans ta remarque :
1) Voir URL ci-dessus pour un exemple de système avec point central qui
fonctionne bien malgré tout.
2) Voir URL ci-dessus pour comprendre que ce nouveau système doit être
décentralisé lui aussi.

Si tu voulais dire le (1), alors c'est que tu n'as pas compris comment
marche usenet et que tu devrais relire toi-même l'URL que tu donnes. Si
au contraire tu voulais dire le (2), alors oui, c'est intéressant, mais
il faudrait creuser un peu plus.