Logo GNT
Actualités Tests & Guides Bons Plans
GTA 6 iPhone 17 Copilot Switch 2 Temu ChatGPT Tesla
OVH Cloud OVH Cloud
Entraide Matériel Réseaux et Internet Messagerie spf

spf

17 réponses
Avatar
Thomas
bonjour :-)


que pensez vous de spf ?

comment ca marche exactement ?
pourquoi zdnet le descend ?
http://www.zdnet.fr/actualites/internet/0,39020774,39171030,00.htm


(j'envisage d'utiliser ca en complement du systeme actuel si galacsys le
permet)

--
http://tDeContes.hd.free.fr/
http://palestine-hn.org/
http://www.aapel.org/bdp/BLpas_concerne.html

"don't put your PC out of the window, put windows out of your PC"
"petit Free qui devient grand, gêne les requins blancs"
Signaler un problème avec ce contenu

7 réponses

Supprimer
Cette action est irreversible, confirmez la suppression du commentaire ?
Signaler le commentaire

Veuillez sélectionner un problème

Nudité
Violence
Harcèlement
Fraude
Vente illégale
Discours haineux
Terrorisme
Autre
1 2
Avatar
Thomas
In article (Dans l'article) ,
ts wrote (écrivait) :

"T" == Thomas writes:






T> personne n'a d'avis ?

Cela peut être utilisé quand un nom de domaine (hotmail.com, gmail.com,
ebay.com, etc) est fréquemment usurpé par les spammeurs et que les dits
domaines ont mis en place un enregistrement SPF : cela permet de vérifier
que c'est le "bon" serveur qui envoit le courrier.


c'est bien ce que j'avais cru comprendre, à ceci pres que c'est valable
pour tous ceux qui ont mis un enregistrement SPF pour leur domaine

et du coup, en plus d'integrer le spf à mes filtres pour le courrier
entrant, je comptait aussi mettre un enregistrement SPF pour mon domaine
à moi ...

mais pour ca j'aurais voulu qu'on m'explique un peu plus precisément
comment ca marche techniquement (ou qu'on me donne des liens pour)
(ce que tu m'a dis c'est encore un peu vague)


Pour les autres cas d'utilisation, mieux vaut s'abstenir ...


qu'appelles tu "autres cas d'utilisation" ?
le symetrique de ce dont tu parlais au dessus, cad mettre un
enregistrement SPF pour son domaine, ou bien tout autre chose ??

--
http://tDeContes.hd.free.fr/
http://palestine-hn.org/
http://www.aapel.org/bdp/BLpas_concerne.html

"don't put your PC out of the window, put windows out of your PC"
"petit Free qui devient grand, gêne les requins blancs"






Avatar
ts
"T" == Thomas writes:






T> c'est bien ce que j'avais cru comprendre, à ceci pres que c'est valable
T> pour tous ceux qui ont mis un enregistrement SPF pour leur domaine

C'est là où vous faites l'erreur. Les premiers à mettre des
enregistrements SPF sont les spammeurs : donc il ne faut pas se baser
*uniquement* sur l'enregistrement SPF.

T> mais pour ca j'aurais voulu qu'on m'explique un peu plus precisément
T> comment ca marche techniquement (ou qu'on me donne des liens pour)
T> (ce que tu m'a dis c'est encore un peu vague)

Juste un exemple

Nov 25 10:10:45 moulon citrinitas: ACCEPT HELO fe-3a.inet.it
Nov 25 10:10:45 moulon citrinitas: SPF result softfail for
Nov 25 10:10:45 moulon sm-mta[16742]: jAP99Wf8016742: Milter: to=, rejectE1 4.1.8 Sender IP 213.92.5.105 with helo fe-3a.inet.it is not a permitted sender for , see http://spf.pobox.com/why.html


Quand moulon reçoit un message avec une adresse @ebay.com il vérifie
qu'il provient bien d'un serveur désigné par ebay sinon il jette. En fait
il ne fait que cela

moulon% spfquery -ip!3.92.5.105 -sender= -heloþ-3a.inet.it
softfail
Please see http://spf.pobox.com/why.html?sender=memer%40ebay.com&ip!3.92.5.105&receiver=spfquery
spfquery: transitioning domain of does not designate 213.92.5.105 as permitted sender
Received-SPF: softfail (spfquery: transitioning domain of does not designate 213.92.5.105 as permitted sender) client-ip!3.92.5.105; envelope-from=; heloþ-3a.inet.it;
moulon%

Comme il reçoit un "softfail", il répond par un code 4xxx (il faut laisser
leur chance aux spammeurs :-)

T> qu'appelles tu "autres cas d'utilisation" ?

Comme dit par d'autres, SPF ne peut pas marcher avec SMTP

--

Guy Decoux





Avatar
Thomas
In article (Dans l'article) ,
Erwan David wrote (écrivait) :

Thomas écrivait :


qu'appelles tu "autres cas d'utilisation" ?
le symetrique de ce dont tu parlais au dessus, cad mettre un
enregistrement SPF pour son domaine, ou bien tout autre chose ??


SPF est tout simplement iincompatibl avec SMTP.


ah ?? et c'est compatible avec d'autres protocoles de messagerie ? il y
en a d'autres ?


Il y a bien des
contournment proposés, mais il faut pour que ça marche que tous les
serveurs les implémentent à commencer par ceux qui ne font pas de
SPF.


d'apres ce que j'ai vu dans un lien de l'autre post, SPF reponds oui ou
non mais ne sais pas repondre "indéfini", et c'est ca qui fait que pour
que ca marche il faut que ca soit d'abord implment partout, c'est ca ?

mais, il parait que SPF est en cours de normalisation, donc quand ce
sera normalisé on pourra partir du principe que tous les serveurs smtp
*doivent* implémenter ca, non ?


Dabns ce cas autant retourner à X400.


qu'est ce que c'est ?

--
http://tDeContes.hd.free.fr/
http://palestine-hn.org/
http://www.aapel.org/bdp/BLpas_concerne.html

"don't put your PC out of the window, put windows out of your PC"
"petit Free qui devient grand, gêne les requins blancs"


Avatar
Thomas
In article (Dans l'article) ,
ts wrote (écrivait) :

"T" == Thomas writes:






T> c'est bien ce que j'avais cru comprendre, à ceci pres que c'est valable
T> pour tous ceux qui ont mis un enregistrement SPF pour leur domaine

C'est là où vous faites l'erreur. Les premiers à mettre des
enregistrements SPF sont les spammeurs : donc il ne faut pas se baser
*uniquement* sur l'enregistrement SPF.


est ce qu'ils prennent simplement un nom de domaine et qu'ils mettent un
enregistrement SPF dessus, pour pouvoir dire "c'est vraiment moi",
ou est ce qu'ils peuvent piquer le nom de domaine de ceux qui n'ont pas
encore mis d'enregistrement SPF pour eux ?

dans le 1er cas c'est pas un pb, il suffit de mettre une liste noire
traditionnelle derriere le filtre SPF,
et SPF a toute son importance puisqu'à ce moment là on est sur de ne pas
mettre en liste noire un innocent qui s'est fait usurpé son domaine


T> mais pour ca j'aurais voulu qu'on m'explique un peu plus precisément
T> comment ca marche techniquement (ou qu'on me donne des liens pour)
T> (ce que tu m'a dis c'est encore un peu vague)

Juste un exemple

Nov 25 10:10:45 moulon citrinitas: ACCEPT HELO fe-3a.inet.it
Nov 25 10:10:45 moulon citrinitas: SPF result softfail for
Nov 25 10:10:45 moulon sm-mta[16742]: jAP99Wf8016742: Milter:
to=, rejectE1 4.1.8 Sender IP 213.92.5.105 with helo
fe-3a.inet.it is not a permitted sender for , see

http://spf.pobox.com/why.html


d'apres ce que j'ai vu, SPF reponds oui ou non mais ne sais pas repondre
"indéfini", et c'est ca qui fait que pour que ca marche il faut que ca
soit d'abord implémenté partout, c'est ca ?

mais, il parait que SPF est en cours de normalisation, donc quand ce
sera normalisé on pourra partir du principe que tous les serveurs smtp
*doivent* implmenter ca, non ?


Quand moulon reçoit un message avec une adresse @ebay.com il vérifie
qu'il provient bien d'un serveur désigné par ebay sinon il jette. En fait
il ne fait que cela

moulon% spfquery -ip!3.92.5.105 -sender= -heloþ-3a.inet.it
softfail
Please see
http://spf.pobox.com/why.html?sender=memer%40ebay.com&ip!3.92.5.105&receiver=spfquery
spfquery: transitioning domain of does not designate
213.92.5.105 as permitted sender
Received-SPF: softfail (spfquery: transitioning domain of does
not designate 213.92.5.105 as permitted sender) client-ip!3.92.5.105;
envelope-from=; heloþ-3a.inet.it;
moulon%

Comme il reçoit un "softfail", il répond par un code 4xxx (il faut laisser
leur chance aux spammeurs :-)


ah ??
(je sais pas ce que veut dire 4xx, un vrai msg d'erreur c'est 5xx c'est
ca ?)


T> qu'appelles tu "autres cas d'utilisation" ?

Comme dit par d'autres, SPF ne peut pas marcher avec SMTP


mais ca marche avec quoi, alors ?
ca veut dire que si j'utilise smtp pour envoyer des messages, je ne peux
pas utiliser SPF pour proteger mon domaine d'etre usurpé ??

--
http://tDeContes.hd.free.fr/
http://palestine-hn.org/
http://www.aapel.org/bdp/BLpas_concerne.html

"don't put your PC out of the window, put windows out of your PC"
"petit Free qui devient grand, gêne les requins blancs"






Avatar
ts
"T" == Thomas writes:






T> est ce qu'ils prennent simplement un nom de domaine et qu'ils mettent un
T> enregistrement SPF dessus, pour pouvoir dire "c'est vraiment moi",

Ils mettent des enregistrements SPF en espérant qu'il y ait des serveurs
suffisamment crédules pour les laisser passer, sans aucune autre
vérification.

T> dans le 1er cas c'est pas un pb, il suffit de mettre une liste noire
T> traditionnelle derriere le filtre SPF,

Dans ce cas, SPF ne sert à rien puisqu'on est revenu au système tel qu'il est
actuellement. Avec liste noire : DNSBL ou tout ce que vous voulez qui est
utilisé actuellement.

SPF n'apporte rien, sinon des ennuis (problème de forward, ...)

T> d'apres ce que j'ai vu, SPF reponds oui ou non mais ne sais pas repondre
T> "indéfini", et c'est ca qui fait que pour que ca marche il faut que ca
T> soit d'abord implémenté partout, c'est ca ?

En bref, SPF peut répondre : oui, non, peut-être bien que non, je ne sais
pas, bof (je m'en fous). C'est très expressif comme chose :-)

Les codes

#define HR_PASS "pass"
#define HR_NONE "none"
#define HR_S_FAIL "softfail"
#define HR_H_FAIL "fail"
#define HR_ERROR "error"
#define HR_NEUTRAL "neutral"
#define HR_UNKNOWN "unknown"
#define HR_UNMECH "unknown mechanism"

Quans il répond non, vous avez une idée mais dans tous les autres cas vous
n'êtes pas plus avancé que maintenant.

T> mais, il parait que SPF est en cours de normalisation, donc quand ce
T> sera normalisé on pourra partir du principe que tous les serveurs smtp
T> *doivent* implmenter ca, non ?

Non, vous pouvez seulement espèrer que toutes les implèmentations de SPF
vont suivre le même cahier des charges (la RFC), mais personne ne sera
obligé de l'implémenter, sauf contraintes de l'extérieur.

T> (je sais pas ce que veut dire 4xx, un vrai msg d'erreur c'est 5xx c'est
T> ca ?)

4xx : code d'erreur temporaire. Le serveur en face doit re-essayer plus
tard
5xx : erreur définitive

T> mais ca marche avec quoi, alors ?

Personne ne sait :-)

T> ca veut dire que si j'utilise smtp pour envoyer des messages, je ne peux
T> pas utiliser SPF pour proteger mon domaine d'etre usurpé ??

Non, vous ne pouvez pas. Votre domaine sera toujours usurpé. La seule
chose que cela permettra est que si quelqu'un a *suffisamment confiance en
vous* il vérifiera votre enregistrement SPF pour savoir si cela a l'air de
coincider. Comme a priori un enregistrement SPF n'est pas fiable (les
spammeurs les utilisent), sa valeur est faible.

Voilà, par exemple, l'enregistrement SPF d'un spammeur

moulon% host -ttxt edt02.net
edt02.net descriptive text "v=spf1 mx ip4:82.138.77.0/24"
moulon%

Si il croit q'il lui suffit d'avoir son enregistrement, pour envoyer du
SPAM au moulon, il se fait des illusions :-)

Il y a d'autres mécanismes qui sont (ou étaient ???) etudiés, dont
notamment l'enregistrement des serveurs SMTP sortants (i.e. qui envoit du
courrier) dans le DNS pour pouvoir facilement bloquer les zombies.


--

Guy Decoux





Avatar
Thomas
In article (Dans l'article) ,
ts wrote (écrivait) :

"T" == Thomas writes:






T> est ce qu'ils prennent simplement un nom de domaine et qu'ils mettent un
T> enregistrement SPF dessus, pour pouvoir dire "c'est vraiment moi",

Ils mettent des enregistrements SPF en espérant qu'il y ait des serveurs
suffisamment crédules pour les laisser passer, sans aucune autre
vérification.

T> dans le 1er cas c'est pas un pb, il suffit de mettre une liste noire
T> traditionnelle derriere le filtre SPF,

Dans ce cas, SPF ne sert à rien puisqu'on est revenu au système tel qu'il est
actuellement. Avec liste noire : DNSBL ou tout ce que vous voulez qui est
utilisé actuellement.

SPF n'apporte rien,


ben si il apporte qqch !!

si un spammeur envoie un spam avec un from: *@rfv.fr ,
tu peux pas mettre rfv.fr en liste noire, parce que si ca se trouve qqn
de chez rfv.fr va bientot t'ecrire legitimement et si il est interdit il
pourras pas

si un spammeur achete rfv.fr, met l'enregistrement SPF, et envoie un
spam avec un from: *@rfv.fr ,
tu peux verifier le SPF, recevoir le spam *1 fois*, et le mettre en
liste noire, parce que t'es sur que rfv.fr lui appartient, et si il veut
t'ecrire plus tard il fallait pas qu'il te spamme avant !

non ?


sinon des ennuis (problème de forward, ...)


oui, qqn d'autre m'a dit que ca n'allait pas du tout parce que ca casse
tout systeme de redirection
ce qui me parait un bon argument


T> d'apres ce que j'ai vu, SPF reponds oui ou non mais ne sais pas repondre
T> "indéfini", et c'est ca qui fait que pour que ca marche il faut que ca
T> soit d'abord implémenté partout, c'est ca ?

En bref, SPF peut répondre : oui, non, peut-être bien que non, je ne sais
pas, bof (je m'en fous). C'est très expressif comme chose :-)

Les codes

#define HR_PASS "pass"
#define HR_NONE "none"
#define HR_S_FAIL "softfail"
#define HR_H_FAIL "fail"
#define HR_ERROR "error"
#define HR_NEUTRAL "neutral"
#define HR_UNKNOWN "unknown"
#define HR_UNMECH "unknown mechanism"


ah, ok :-)

Quans il répond non, vous avez une idée mais dans tous les autres cas vous
n'êtes pas plus avancé que maintenant.


amha si c'est oui aussi (voir ci dessus)
je me demandais si il savait faire la difference entre non et inconnu,
apparement oui :-)


T> mais, il parait que SPF est en cours de normalisation, donc quand ce
T> sera normalisé on pourra partir du principe que tous les serveurs smtp
T> *doivent* implmenter ca, non ?

Non, vous pouvez seulement espèrer que toutes les implèmentations de SPF
vont suivre le même cahier des charges (la RFC), mais personne ne sera
obligé de l'implémenter, sauf contraintes de l'extérieur.


ah d'accord


T> (je sais pas ce que veut dire 4xx, un vrai msg d'erreur c'est 5xx c'est
T> ca ?)

4xx : code d'erreur temporaire. Le serveur en face doit re-essayer plus
tard
5xx : erreur définitive


ah, je ne vois pas bien l'interet de donner une erreur temporaire plutot
que definitive à un spameur, alors, si t'es sur que ca en est un
(mais t'es p-e pas sur, au fait, je sais plus :o) )


T> mais ca marche avec quoi, alors ?

Personne ne sait :-)


il y a p-e d'autres choses à revoir, mais je dirais, pour le pb des
redirections,
il faudrait un protocole où dans l'envelope on ait l'adresse emetrice
directe pour pouvoir faire un spf dessus :

si un msg
from: toto
to: titi
et que titi redirige sur tata,
tata aurait l'adresse titi dans l'envelope puisque c'est lui qui
l'envoie à tata,
apres si titi redirige du spam c'est lui qui est responsable
(donc effectivement ca ne marchera parfaitement que si tout le monde
l'utilise)


T> ca veut dire que si j'utilise smtp pour envoyer des messages, je ne peux
T> pas utiliser SPF pour proteger mon domaine d'etre usurpé ??

Non, vous ne pouvez pas. Votre domaine sera toujours usurpé. La seule
chose que cela permettra est que si quelqu'un a *suffisamment confiance en
vous* il vérifiera votre enregistrement SPF pour savoir si cela a l'air de
coincider.


oui il sera usurpé, et je sais que le spf ne sera pas utilisé par les
clients non compatibles, au moins :-)
(pardon, j'ai donc mal formulé)
je voulais savoir si qqn qui connais spf et qui souhaite verifier, peut
verifier si c'est bien moi qui ait envoyé le msg ou si c'est qqn qui m'a
usurpé mon nom de domaine (ou si il peut seulement avoir une idée)
(ce qui n'exclue pas que je puisse moi meme envoyer des spams avec ma
vraie adresse, je pense qu'on est d'accord)

Comme a priori un enregistrement SPF n'est pas fiable (les
spammeurs les utilisent), sa valeur est faible.


voir ci dessus, amha si les spammeurs utilisent leur nom de domaine à
eux c'est quand meme plus facile à trier

Voilà, par exemple, l'enregistrement SPF d'un spammeur

moulon% host -ttxt edt02.net
edt02.net descriptive text "v=spf1 mx ip4:82.138.77.0/24"
moulon%

Si il croit q'il lui suffit d'avoir son enregistrement, pour envoyer du
SPAM au moulon, il se fait des illusions :-)


je viens de penser : avec toutes les listes noires de diverses sortes
qui existent, il y en a peut etre une qui recense les spammeurs qui ont
mis un enregistrement spf expres :-)


Il y a d'autres mécanismes qui sont (ou étaient ???) etudiés, dont
notamment l'enregistrement des serveurs SMTP sortants (i.e. qui envoit du
courrier) dans le DNS pour pouvoir facilement bloquer les zombies.


bon ben, j'espere qu'on en trouvera un bon, un jour, qui permette de
laisser tomber les systemes qui risquent de bloquer des faux positifs :-)


en fait ce qu'il faudrait, c'est chercher pour etablir un autre
protocole que smtp, qui inclue par defaut tout ce qu'il faut pour
l'authentification
(cad que quand on indique une adresse de retour, l'expediteur doit etre
sur de pouvoir nous contacter, nous et pas qqn d'autre)

et ensuite esperer
- que les FSI, les clients de messagerie, et tous les utilisateurs s'y
mettent assez vite
- qu'on ne trouvera pas de faille à ce systeme d'authentification apres
coup :o)

--
http://tDeContes.hd.free.fr/
http://palestine-hn.org/
http://www.aapel.org/bdp/BLpas_concerne.html

"don't put your PC out of the window, put windows out of your PC"
"petit Free qui devient grand, gêne les requins blancs"






Avatar
ts
"T" == Thomas writes:






T> si un spammeur envoie un spam avec un from: *@rfv.fr ,
T> tu peux pas mettre rfv.fr en liste noire, parce que si ca se trouve qqn
^^^^^^^^^^^^^^^^^^^^^^^^^^^^^^^^^^^^^^^^
Vous ne me connaissez pas, apparemment :-)

T> tu peux verifier le SPF, recevoir le spam *1 fois*, et le mettre en
T> liste noire, parce que t'es sur que rfv.fr lui appartient, et si il veut
T> t'ecrire plus tard il fallait pas qu'il te spamme avant !

Et si le SPAM vient de hotmail (par exemple) : vous mettez hotmail en
liste noire parce qu'il a un enregistrement SPF ?

Si oui, on va s'amuser :-) Si non, rien n'a changé

T> amha si c'est oui aussi (voir ci dessus)

C'est là où vous faites l'erreur : vous êtes en train de faire confiance à
un système que vous ne maitrisez pas (n'importe qui peut mettre des
enregistrements non fiables).

T> ah, je ne vois pas bien l'interet de donner une erreur temporaire plutot
T> que definitive à un spameur, alors, si t'es sur que ca en est un
T> (mais t'es p-e pas sur, au fait, je sais plus :o) )

Cela fait de la compagnie à moulon : il s'ennuit sinon sans ces spammeurs
:-)


T> il faudrait un protocole où dans l'envelope on ait l'adresse emetrice
T> directe pour pouvoir faire un spf dessus :

Cela s'appelle SRS : le problème est que *tous* les serveurs qui vont
devoir faire un forward *doivent* l'utiliser, sinon il ne peut pas
marcher.

Comme l'a dit quelqu'un d'autre : il est plus rapide, efficace de changer
carrèment de protocole (i.e. remplacer SMTP) que de rajouter une
bidouille comme SPF

T> bon ben, j'espere qu'on en trouvera un bon, un jour, qui permette de
T> laisser tomber les systemes qui risquent de bloquer des faux positifs :-)

Après vérification, celui auquel je pensais a été abandonné.


--

Guy Decoux





1 2