Комментарий: Как внедрить защиту от подделки обратных адресов, Интернет

Компьюлента. 28 января 2004 года, 11:44

America Online, интернет-подразделение медиагиганта Time Warner, начинает тестирование собственной системы защиты от подделки обратных адресов электронной почты. Вслед за Yahoo, которая создает систему доменных ключей для индентификации серверов, AOL предложила использовать для пересылки электронной почты новый протокол под названием Sender Permitted From (SPF). Этот протокол позволяет указывать, какие почтовые серверы могут отправлять корреспонденцию из конкретного домена. О реальности внедрения этой технологии рассказывает Алексей Тутубалин, руководитель проекта Spamtest.ru, принадлежащего компании "Ашманов и парнтнеры".

Алексей Тутубалин, "Ашманов и партнеры": I. SPF и подобные системы (ключи от Yahoo, например) требуют действий от легитимных отправителей почты. Для SPF нужно добавить записи в DNS, для верификации по ключам - установить ПО и получить ключи и т.п. На то, чтобы основная масса (администраторов) почтовых систем эти действия проделала добровольно, уйдут годы. В принципе, если крупные почтовики (AOL, Yahoo, Hotmail, Мail.ru) проделают эти действия, то это уже поможет, так как позволит остальному миру отделять поддельную почту от пользователей AOL от настоящей (с оговорками, см. ниже). Но вот что делать, если крупные игроки систему ввели, а мелкие почтовые системы (корпоративные почты, госструктуры) нет? По всей видимости, есть два возможных подхода:

Отсутствие SPF используется как черный список. Это приведет к массовому внедрению этой технологии и одновременно к массовым потерям почты без SPF. Часть пользователей эту технологию не смогут внедрить никогда
Наличие SPF используется как белый список. Схема не приведет у потерям почты, но и польза от нее будет невелика

По всей видимости, понадобится какая-то дополнительная инфраструктура, где будут списки доменов, включивших SPF и, соответственно, выбор между двумя схемами. Это приведет к уменьшению потока спама с подделанными адресами @yahoo, @aol, только вот тогда будут использоваться другие поддельные адреса.

II. SPF - схема очень хорошая (не требует дополнительного ПО на посылающей стороне, все делается через имеющийся DNS). Но она не работоспособна в ситуации, когда пользователь имеет адрес от, например, AOL, а посылает почту через своего ISP (например, MTU). И в любом случае, жизнь у roaming-пользователей осложнится. Эти проблемы все решаемые, но опять-таки требуют перенастройки ПО, например, в корпоративных сетях (для командировочных).

III. Для стороны, принимающей почту SPF, требуются небольшие модификации в ПО (или настройках). Если будут пожелания от пользователей, то подобные правки в Spamtest/ISP и Kaspersky Antispam будут внесены. Что касается сервиса Spamtest, то вводить там этот сервис можно только по второй схеме: пропуск SPF-enabled сообщений мимо фильтра, но большого смысла это не имеет.

В свою очередь, Елена Колмановская, главный редактор компании "Яндекс", очень сомневается в реальности введения этого протокола, особенно в России:

Давно и хорошо известно, что переход на новый почтовый протокол/сертификацию почтовых серверов/ключи и т.д. существенно усложнил бы рассылку спама. Однако даже переход на новые российские паспорта занимает уже несколько лет и, кажется, продлен, а интернет - принципиально децентрализованная система, поэтому вероятность того, что все быстро договорятся и изменят протоколы, я оцениваю как достаточно низкую.