Mailkey protocol sleutel tot het spamprobleem?
Spam is een groeiend probleem, momenteel worden er wereldwijd volgens sommige cijfers zo'n honderd miljard spamberichten per dag verstuurd en ontvangen, en lijkt deze hoeveelheid zich elke 8 tot 12 maanden te verdubbelen. Spam kost niet alleen veel bandbreedte en opslagruimte, het gaat ook ten koste van de productiviteit. Daarnaast gebeurt het ook nog eens regelmatig dat door bestaande filtertechnieken die pogen spam tegen te gaan, belangrijke e-mail verloren gaat omdat deze onterecht als spam gemarkeerd wordt.
De meeste spam oplossingen proberen het spamprobleem te lijf te gaan door te werken met white/black/grey lists op basis van afzender adressen en/of mailserver adressen, of door te kijken naar statistische eigenschappen van de inhoud van de e-mail. Hoewel de w/b/g list oplossingen best redelijk werken voor mensen met een handje vol statische contacten, zorgt deze oplossing er vaak voor dat e-mail ten gevolge van introducties ten onrechte als spam gemarkeerd worden.
Door te filteren op afzender of mailserver gaan de bovenstaande oplossingen aan het feitelijke probleem voorbij wat aan spam ten grondslag licht, namelijk een aantal cruciale eigenschappen van e-mail adressen.
- Het bezit van een e-mailadres stelt de houder in staat om de mailbox van de bezitter te adresseren.
- Een e-mailadres kan niet worden ingetrokken.
- Een e-mailadres is vervalsbaar.
- Het bezit van e-mail adres plus sub-adres stelt de houder in staat om de mailbox van de bezitter te adresseren.
- Een sub-adres kan worden ingetrokken.
- Een sub-adres is niet vervalsbaar.
Nu dat we de basis problemen met e-mailadressen hebben geadresseerd, gaan we kijken naar het probleem spam. Hoe voorkomen we dat we op de nieuwe capability e-mailadressen spam ontvangen? Het antwoord is heel eenvoudig, door capability e-mailadressen waarop we spam ontvangen in te trekken, en in het extreme geval, door het intrekken van alle capability e-mailadressen die we aan een specifieke persoon hebben uitgegeven.
Maar hiermee komen we uit op een secundair probleem: Hoe zorgen we dat Bob ons bij Carol kan introduceren op zo'n manier dat wij Bob en Carol nog uit elkaar kunnen houden?. Het antwoord is te vinden in object capability computing, een moderne vorm van capability security.
Recent is binnen de OC gemeenschap een protocol ontwikkeld voor de overdracht van aansprakelijkheid. Dit protocol, het Horton protocol, was niet direct eenvoudig toepasbaar op e-mail, maar een eenvoudig broertje van dit protocol, het mailkey protocol (voor de OC enthousiastelingen in OC vorm), is dit wel. Dit protocol zou middels een paar eenvoudige filter-type programmaatjes, het gebruik van capability e-mailadressen, mogelijk kunnen maken op een manier waarbij een Cc door de gebruiker Bob tot gevolg heeft dat Alice en Carol aan elkaar worden voorgesteld. Tevens zorgt het filter ervoor dat het capability based spamfilter van zowel Alice als Carol automatisch wordt aangepast, en beiden in staat zijn om de schuldvraag in geval van spam eenduidig te beantwoorden, en hierop adequaat actie te kunnen ondernemen door de juiste capability e-mailadressen in te trekken.
Als conclusie kunnen we dus stellen dat het gebruik van sub-adressering capabilities en het mailkey protocol een relatief eenvoudige, maar bovenal fundamentele oplossing zou kunnen vormen voor het spamprobleem. Het houdt rekening met het beginsel "introductie" en is volledig compatible met de "capability gedachten" over goede beveiliging.
Met dank aan Rob Meijer voor deze bijdrage
Reacties (17)
Wacht even.
De stelling van de week is dat encryptie te moeilijk is voor thuisgebruikers
en nu moet ik dit aan mijn oma gaan uitleggen???
Als ik de presentatie lees, lijkt het mij dat Alice een heleboel
keymanagement moet doen. Daar heb ik als gebruiker helemaal geen zin
in. Wat doe je trouwens met unsolicited _valid_ email?
Ik zie meer in DKIM, zeker nu dat een RFC (4871) is geworden. Dat legt
geen last bij de gebruiker, maar laat de controle bij de mailserver.
-egeltje
De stelling van de week is dat encryptie te moeilijk is voor thuisgebruikers
en nu moet ik dit aan mijn oma gaan uitleggen???
Als ik de presentatie lees, lijkt het mij dat Alice een heleboel
keymanagement moet doen. Daar heb ik als gebruiker helemaal geen zin
in. Wat doe je trouwens met unsolicited _valid_ email?
Ik zie meer in DKIM, zeker nu dat een RFC (4871) is geworden. Dat legt
geen last bij de gebruiker, maar laat de controle bij de mailserver.
-egeltje
19-06-2007, 18:48 door
spatieman
ik vind spam, je je eigen email adres als SENDER gebruiken
heel lastig.
zo kom je ongwilt op de nodige blacklistings.
maar ik denk dat DKIM dan ook geen soelas geeft.
heel lastig.
zo kom je ongwilt op de nodige blacklistings.
maar ik denk dat DKIM dan ook geen soelas geeft.
Stel: de ISP mag je adresboek beheren. Dan is spam
makkelijker te herkennen en te bouncen (geen opslagruimte
meer nodig). Hoewel mijn methode nogal rigoreus genoemd mag
worden is het spam-probleem wél voor een belangrijk deel uit
de wereld geholpen denk ik.
Reacties en kritieken op mijn idee zijn welkom.
makkelijker te herkennen en te bouncen (geen opslagruimte
meer nodig). Hoewel mijn methode nogal rigoreus genoemd mag
worden is het spam-probleem wél voor een belangrijk deel uit
de wereld geholpen denk ik.
Reacties en kritieken op mijn idee zijn welkom.
Door visboertje
Stel: de ISP mag je adresboek beheren. Dan is spam
makkelijker te herkennen en te bouncen (geen opslagruimte
meer nodig). Hoewel mijn methode nogal rigoreus genoemd mag
worden is het spam-probleem wél voor een belangrijk deel uit
de wereld geholpen denk ik.
Reacties en kritieken op mijn idee zijn welkom.
Stel: de ISP mag je adresboek beheren. Dan is spam
makkelijker te herkennen en te bouncen (geen opslagruimte
meer nodig). Hoewel mijn methode nogal rigoreus genoemd mag
worden is het spam-probleem wél voor een belangrijk deel uit
de wereld geholpen denk ik.
Reacties en kritieken op mijn idee zijn welkom.
Je bent toch geen xenofoob hoop ik? Ik vind het niet zo erg dat mensen die
ik niet ken contact met me leggen. En al ben je heel selectief in je
contacten, dan nog zijn er talloze situaties die je niet kunt voorzien.
Stel je vriendje is net verhuist naar een andere provider en hij wil dat
duidelijk maken door je een mailtje te sturen vanaf z'n nieuwe adres.
Helaas komt die niet aan.
Door visboertje
Stel: de ISP mag je adresboek beheren. Dan is spam
makkelijker te herkennen en te bouncen (geen opslagruimte
meer nodig). Hoewel mijn methode nogal rigoreus genoemd mag
worden is het spam-probleem wél voor een belangrijk deel uit
de wereld geholpen denk ik.
Reacties en kritieken op mijn idee zijn welkom.
Stel: de ISP mag je adresboek beheren. Dan is spam
makkelijker te herkennen en te bouncen (geen opslagruimte
meer nodig). Hoewel mijn methode nogal rigoreus genoemd mag
worden is het spam-probleem wél voor een belangrijk deel uit
de wereld geholpen denk ik.
Reacties en kritieken op mijn idee zijn welkom.
Bovenstaand artikel geeft denk aan wat het probleem is
hiermee, namelijk "introductie"
Introductie is een heel belangrijk sociaal middel. Als ik je
op bel en ik je vertel dat ik je nummer heb gehad van je
goede vriend Harie de Vries, dan zul je
er normaal vanuit gaan dat ik geen telemarketeer bent, en
normaal zal dat ook kloppen. Een dergelijk (maar veiliger)
meganisme is wat mailkey voorstaat. Jouw voorstel, en
vrijwel alle bestaande anti spam maatregelen missen het
concept van introductie.
Het bezit van e-mail adres plus sub-adres stelt de houder in staat
om de mailbox van de bezitter te adresseren.
om de mailbox van de bezitter te adresseren.
Dat gaat vrij snel, want email adressen blijven nooit geheim. Als het adres
niet in een CC veld staat, dan wel ergens anders.
Een sub-adres kan worden ingetrokken.
Rompslomp.
Een sub-adres is niet vervalsbaar.
Dat is niet waar, maar dat doet verder niet terzake. Er is geen reden
voor "vervalsing" als het al bekend is, want adressen zijn geen geheim.
Hoe denk je dat spammers aan email adressen komen? Die worden
gewoon van de harde schijf van je kennissen gelezen d.m.v. spyware.
Security trough obscurity werkt niet.
Introductieconcepten werken natuurlijk ook niet. Als dit massaal wordt
ingevoerd is er niemand meer om je te introduceren.
Dit plan bewijst ook dat pseudo-deftig taalgebruik een zeer gebrekkige
inhoud niet kan verbloemen.
Dat hebben we het nog niet gehad over de situaties, die veel vaker
voorkomen, waarbij er vooral geen belemmeringen moeten zijn om mail te
ontvangen, zoals bedrijven die klanten zoeken, maar ook gewoon
particulieren die andere hobbyisten zoeken. Iets simpels als reply-all zal
ook tot problemen leiden. Mensen hebben echt geen tijd en geen zin om
zich daarmee bezig te houden.
Door Anoniem
Dat gaat vrij snel, want email adressen blijven nooit
geheim. Als het adres
niet in een CC veld staat, dan wel ergens anders.
Het bezit van e-mail adres plus sub-adres stelt de
houder in staat
om de mailbox van de bezitter te adresseren.
houder in staat
om de mailbox van de bezitter te adresseren.
Dat gaat vrij snel, want email adressen blijven nooit
geheim. Als het adres
niet in een CC veld staat, dan wel ergens anders.
Dat is dus een stukje bewustwoording.
Met normale e-mail adressen geef ik jou bij wijze van
spreken 'de' code van het cijferslot op m'n deur, en geef
jij die code weer door.
Met sub addressen weet jij dat het jouw persoonlijke code is die
je door geeft. Die kode kan ik intrekken, 'de' code niet.
Als ik stopt met het accepteren van mail op [email]user@domain.com[/email], dan
is het niet meer erg als [email]user@domain.com[/email] bekend is bij spammers.
Als ik spam krijg op het aan jouw gegeven sub adres trek ik
jouw sub address in, en krijg ik geen spam meer, ten koste
van jouw mogelijkheid om mij nog te mailen.
Bewustwording van verantwoordelijkheid is dus een belangrijk
punt.
Introductieconcepten werken natuurlijk ook niet. Als dit
massaal wordt
ingevoerd is er niemand meer om je te introduceren.
Hmm, niet helemaal begrepen wat introductie is geloof ik.
Als iemand jou kent, en hij kent mij ook, dan kan hij ons
aan elkaar
introduceren. Dat heeft niets met masaal invoeren te maken.
Dat hebben we het nog niet gehad over de situaties, die veel
vaker
voorkomen, waarbij er vooral geen belemmeringen moeten zijn
om mail te
ontvangen, zoals bedrijven die klanten zoeken, maar ook gewoon
particulieren die andere hobbyisten zoeken.
persoonlijke uitgave, danwel introductie. Iemand die jou
niet kent en neiemand kent die jou kent kan je niet mailen
tenzij jij een subkey address publiceert,
met alle oude spam problematiek van dien.
Door Anoniem
Ik denk dat je nog niet begrijpt dat mensen zich niet laten sturen door
ideaalbeelden. Mensen laten zich sturen door wat ze zelf willen. Als je
denkt dus dat je hiermee ook het virus probleem oplost, kan ik niet anders
dan concluderen dat je contact met de werkelijkheid hebt verloren en dat je
leidt aan hoogmoedswaanzin door dit voor te doen als een voordeel i.p.v.
een nadeel.
Introductieconcepten werken natuurlijk ook niet. Als dit
massaal wordt
ingevoerd is er niemand meer om je te introduceren.
Hmm, niet helemaal begrepen wat introductie is geloof ik.
Als iemand jou kent, en hij kent mij ook, dan kan hij ons
aan elkaar introduceren. Dat heeft niets met masaal invoeren te maken.
Nee, jij begrijpt het niet. Als iedereen zichzelf van alle anderen heeft
afgescheiden zijn er statische groepen ontstaan en is er niemand meer
om voor nieuwe introducties te zorgen (in het onwaarschijnlijke geval dat
mensen dat al willen), want die zijn niet meer "gewoon" benaderbaar. Je
weet wel, de kip en ei situatie. Die introducties kunnen alleen maar plaats
vinden op uitnodiging, maar hoe weet een derde nu wat jij wilt? Dat kan
alleen als daar eerst uitgebreid over gecommuniceerd is. Voordat je
aanbeland bent bij degene met wie je eigenlijk wilt mailen, heb je al uren,
zoniet dagen of weken verspild aan het vinden van iemand die je kan
introduceren. Je hebt daarbij ook de tijd verspild van de tussenpersonen.
Dus je valt anderen lastig met jouw probleem. Alle systemen die daarop
gebaseerd zijn, zijn in de basis ernstig fout.
Door Anoniem
Dat gaat vrij snel, want email adressen blijven nooit
geheim. Als het adres
niet in een CC veld staat, dan wel ergens anders.
Het bezit van e-mail adres plus sub-adres stelt de
houder in staat
om de mailbox van de bezitter te adresseren.
houder in staat
om de mailbox van de bezitter te adresseren.
Dat gaat vrij snel, want email adressen blijven nooit
geheim. Als het adres
niet in een CC veld staat, dan wel ergens anders.
Dat is dus een stukje bewustwoording.
Met normale e-mail adressen geef ik jou bij wijze van
spreken 'de' code van het cijferslot op m'n deur, en geef
jij die code weer door.
Met sub addressen weet jij dat het jouw persoonlijke code is die
je door geeft. Die kode kan ik intrekken, 'de' code niet.
Als ik stopt met het accepteren van mail op [email]user@domain.com
[/email], dan
is het niet meer erg als [email]user@domain.com[/email] bekend is bij
spammers.
Als ik spam krijg op het aan jouw gegeven sub adres trek ik
jouw sub address in, en krijg ik geen spam meer, ten koste
van jouw mogelijkheid om mij nog te mailen.
Bewustwording van verantwoordelijkheid is dus een belangrijk
punt.
Met normale e-mail adressen geef ik jou bij wijze van
spreken 'de' code van het cijferslot op m'n deur, en geef
jij die code weer door.
Met sub addressen weet jij dat het jouw persoonlijke code is die
je door geeft. Die kode kan ik intrekken, 'de' code niet.
Als ik stopt met het accepteren van mail op [email]user@domain.com
[/email], dan
is het niet meer erg als [email]user@domain.com[/email] bekend is bij
spammers.
Als ik spam krijg op het aan jouw gegeven sub adres trek ik
jouw sub address in, en krijg ik geen spam meer, ten koste
van jouw mogelijkheid om mij nog te mailen.
Bewustwording van verantwoordelijkheid is dus een belangrijk
punt.
Ik denk dat je nog niet begrijpt dat mensen zich niet laten sturen door
ideaalbeelden. Mensen laten zich sturen door wat ze zelf willen. Als je
denkt dus dat je hiermee ook het virus probleem oplost, kan ik niet anders
dan concluderen dat je contact met de werkelijkheid hebt verloren en dat je
leidt aan hoogmoedswaanzin door dit voor te doen als een voordeel i.p.v.
een nadeel.
Introductieconcepten werken natuurlijk ook niet. Als dit
massaal wordt
ingevoerd is er niemand meer om je te introduceren.
Hmm, niet helemaal begrepen wat introductie is geloof ik.
Als iemand jou kent, en hij kent mij ook, dan kan hij ons
aan elkaar introduceren. Dat heeft niets met masaal invoeren te maken.
Nee, jij begrijpt het niet. Als iedereen zichzelf van alle anderen heeft
afgescheiden zijn er statische groepen ontstaan en is er niemand meer
om voor nieuwe introducties te zorgen (in het onwaarschijnlijke geval dat
mensen dat al willen), want die zijn niet meer "gewoon" benaderbaar. Je
weet wel, de kip en ei situatie. Die introducties kunnen alleen maar plaats
vinden op uitnodiging, maar hoe weet een derde nu wat jij wilt? Dat kan
alleen als daar eerst uitgebreid over gecommuniceerd is. Voordat je
aanbeland bent bij degene met wie je eigenlijk wilt mailen, heb je al uren,
zoniet dagen of weken verspild aan het vinden van iemand die je kan
introduceren. Je hebt daarbij ook de tijd verspild van de tussenpersonen.
Dus je valt anderen lastig met jouw probleem. Alle systemen die daarop
gebaseerd zijn, zijn in de basis ernstig fout.
Dat hebben we het nog niet gehad over de situaties, die veel
vaker voorkomen, waarbij er vooral geen belemmeringen moeten zijn
om mail te ontvangen, zoals bedrijven die klanten zoeken, maar ook
gewoon particulieren die andere hobbyisten zoeken.
vaker voorkomen, waarbij er vooral geen belemmeringen moeten zijn
om mail te ontvangen, zoals bedrijven die klanten zoeken, maar ook
gewoon particulieren die andere hobbyisten zoeken.
Dit is inderdaad juist. Het gaat uit van danwel
persoonlijke uitgave, danwel introductie. Iemand die jou
niet kent en neiemand kent die jou kent kan je niet mailen
tenzij jij een subkey address publiceert,
met alle oude spam problematiek van dien.
Aha, je bent het dus met me eens dat dit een fundamenteel xenofoob
systeem met aanzienlijke kip en ei problemen dat zeer veel onderhoud en
inspanning vergt van de gebruikers. Sterker, om onder de xenofobie uit te
komen ben je weer waar je was, met alle spam, alleen heb je voor niets
veel tijd en dus geld geinvesteerd in een systeem dat niet werkt.
Er zijn al ruim voldoende niet werkende systemen, dit lijkt me een goede
kandidaat om weer in te trekken.
persoonlijke uitgave, danwel introductie. Iemand die jou
niet kent en neiemand kent die jou kent kan je niet mailen
tenzij jij een subkey address publiceert,
met alle oude spam problematiek van dien.
Aha, je bent het dus met me eens dat dit een fundamenteel xenofoob
systeem met aanzienlijke kip en ei problemen dat zeer veel onderhoud en
inspanning vergt van de gebruikers. Sterker, om onder de xenofobie uit te
komen ben je weer waar je was, met alle spam, alleen heb je voor niets
veel tijd en dus geld geinvesteerd in een systeem dat niet werkt.
Er zijn al ruim voldoende niet werkende systemen, dit lijkt me een goede
kandidaat om weer in te trekken.
Door Anoniem
Dit is inderdaad juist. Het gaat uit van danwel
persoonlijke uitgave, danwel introductie. Iemand die jou
niet kent en neiemand kent die jou kent kan je niet mailen
tenzij jij een subkey address publiceert,
met alle oude spam problematiek van dien.
Aha, je bent het dus met me eens dat dit een fundamenteel
xenofoob
systeem met aanzienlijke kip en ei problemen dat zeer veel
onderhoud en
inspanning vergt van de gebruikers. Sterker, om onder de
xenofobie uit te
komen ben je weer waar je was, met alle spam, alleen heb je
voor niets
veel tijd en dus geld geinvesteerd in een systeem dat niet
werkt.
Hier sla je de plank behoorlijk mis.
Het is niet meer of minder xenofoob dan normale e-mail adressen,
en een heel stuk minder xenofoob dan bestaande
white/grey/black list oplossingen. Het voegt alleen een stuk
accountability en transfer van accountability toe. Je moet
het practisch juist zien als een niet xenofobe versie van de
whitelist/grey/black.
Mischien moet je je eens een half dagje in capability
security verdiepen, en eens proberen te begrijpen wat
delegatie van authoriteit en accountability nou eigenlijk
zijn, want gezien je reacie
vermoed ik dat er daar mischien een klein vlekje op je
beeldvorming
terecht is gekomen.
persoonlijke uitgave, danwel introductie. Iemand die jou
niet kent en neiemand kent die jou kent kan je niet mailen
tenzij jij een subkey address publiceert,
met alle oude spam problematiek van dien.
Aha, je bent het dus met me eens dat dit een fundamenteel
xenofoob
systeem met aanzienlijke kip en ei problemen dat zeer veel
onderhoud en
inspanning vergt van de gebruikers. Sterker, om onder de
xenofobie uit te
komen ben je weer waar je was, met alle spam, alleen heb je
voor niets
veel tijd en dus geld geinvesteerd in een systeem dat niet
werkt.
Hier sla je de plank behoorlijk mis.
Het is niet meer of minder xenofoob dan normale e-mail adressen,
en een heel stuk minder xenofoob dan bestaande
white/grey/black list oplossingen. Het voegt alleen een stuk
accountability en transfer van accountability toe. Je moet
het practisch juist zien als een niet xenofobe versie van de
whitelist/grey/black.
Mischien moet je je eens een half dagje in capability
security verdiepen, en eens proberen te begrijpen wat
delegatie van authoriteit en accountability nou eigenlijk
zijn, want gezien je reacie
vermoed ik dat er daar mischien een klein vlekje op je
beeldvorming
terecht is gekomen.
Door Anoniem
Hier sla je de plank behoorlijk mis.
Het is niet meer of minder xenofoob dan normale e-mail adressen,
en een heel stuk minder xenofoob dan bestaande
white/grey/black list oplossingen. Het voegt alleen een stuk
accountability en transfer van accountability toe. Je moet
het practisch juist zien als een niet xenofobe versie van de
whitelist/grey/black.
Mischien moet je je eens een half dagje in capability
security verdiepen, en eens proberen te begrijpen wat
delegatie van authoriteit en accountability nou eigenlijk
zijn, want gezien je reacie
vermoed ik dat er daar mischien een klein vlekje op je
beeldvorming
terecht is gekomen.
Hier sla je de plank behoorlijk mis.
Het is niet meer of minder xenofoob dan normale e-mail adressen,
en een heel stuk minder xenofoob dan bestaande
white/grey/black list oplossingen. Het voegt alleen een stuk
accountability en transfer van accountability toe. Je moet
het practisch juist zien als een niet xenofobe versie van de
whitelist/grey/black.
Mischien moet je je eens een half dagje in capability
security verdiepen, en eens proberen te begrijpen wat
delegatie van authoriteit en accountability nou eigenlijk
zijn, want gezien je reacie
vermoed ik dat er daar mischien een klein vlekje op je
beeldvorming
terecht is gekomen.
In plaats van de geconstateerde problemen te adressen probeer je er
andere zaken die er totaal niets mee te maken hebben erbij te betrekken.
Het is fijn voor je dat jij op je school iets hebt geleerd over een theorie,
maar het zou ook fijn zijn als je wat realiteitszin aan de dag legt. Niet alle
theorieën zijn zomaar overal op toe te passen. Doe eens een cursus
sociologie en leer eens wat over menselijk gedrag. En wat wiskunde kan
ook geen kwaad.
Of ben je misschien een trol? In dat geval mijn complimenten voor de
uitvoering.
Door Anoniem
In plaats van de geconstateerde problemen te adressen
probeer je er
andere zaken die er totaal niets mee te maken hebben erbij
te betrekken.
Het is fijn voor je dat jij op je school iets hebt geleerd
over een theorie,
maar het zou ook fijn zijn als je wat realiteitszin aan de
dag legt. Niet alle
theorie�n zijn zomaar overal op toe te passen. Doe eens een
cursus
sociologie en leer eens wat over menselijk gedrag. En wat
wiskunde kan
ook geen kwaad.
Of ben je misschien een trol? In dat geval mijn complimenten
voor de
uitvoering.
In plaats van de geconstateerde problemen te adressen
probeer je er
andere zaken die er totaal niets mee te maken hebben erbij
te betrekken.
Het is fijn voor je dat jij op je school iets hebt geleerd
over een theorie,
maar het zou ook fijn zijn als je wat realiteitszin aan de
dag legt. Niet alle
theorie�n zijn zomaar overal op toe te passen. Doe eens een
cursus
sociologie en leer eens wat over menselijk gedrag. En wat
wiskunde kan
ook geen kwaad.
Of ben je misschien een trol? In dat geval mijn complimenten
voor de
uitvoering.
Mischien moet ik in plaats van sociologie of wiskunde een cursus
communicatie moeten doen dan ;-)
De opmerkingen die je maakt geven namelijk voor 90% van de
gevallen aan dat ik niet in staat ben
om de basis concepten van het mailkey protocol en z'n
toepasbaarheid aan jou over te brengen. Je maakt opmerkingen die
over iets heel anders lijken te gaan dan het boven
beschreven idee.
Je noemt zaken die gewoon permanent en fundamenteel niet
waar zijn, en zelfs volledig haaks staan op hetgeen ik heb
beschreven.
Als je dingen schrijft als:
je bent het dus met me eens dat dit een fundamenteel xenofoob
systeem met aanzienlijke kip en ei problemen dat zeer veel
onderhoud en
inspanning vergt van de gebruikers
Dan staan er in die ene zin dus gewoon twee dingen die
fundamenteel haaks staan op de waarheid, en twee dingen die
afhankelijk van uiteindelijke implementie ook totaal niet waar
hoeven te zijn.
Ik sta heel erg open voor commentaar op het protocol, maar als
je met commentaar komt dat de onderliggende basisbeginselen
ter discussie denkt te moeten of kunnen stellen, dan kan ik
niets anders dan te proberen je te verwijzen naar de
betreffende theorie, zodat
we, nadat je deze begrepen hebt uit een gelijk referentie
kader tot de kern van het probleem kunnen komen zonder dat
je jouw mischien intuitief juiste zorgen door onjuiste
bewoording en communicatie problemen verloren gaan.
Gezien het feit dat je mijn pogingen om je te helpen om
e,e,a, wel te begrijpen, gezien je laatste reactie niet kunt
waarderen, is dit mijn laatste reactie op berichten van jou
hier. Mischien dat iemand anders het je uit kan leggen, maar
ik geef het dus op.
Door Anoniem
Dat is niet waar, maar dat doet verder niet terzake.
Je moet dus zorgen dat dat waar is. Dat is dus de fundering van het hele ABAC gebeuren. Sparse keys gebruiken dus. Tijd voor een ABAC thema week?Een sub-adres is niet vervalsbaar.
Dat is niet waar, maar dat doet verder niet terzake.
Het hele spam probleem is volgens mij tweeledig:
- de afzender kan vervalst worden
- spam wordt gestuurd door geautomatiseerde processen
Het vervalsen van de afzender kan deels voorkomen worden met
zoiets als DKIM. Maar wat let een spammer om een domein te
registreren DKIM te configureren en hiermee te spammen? Daar
komt bij dat ook gehackte machines van domeinen met DKIM
gebruikt kunnen worden om mee te spammen. Alleen hiermee los
je volgens mij het spamprobleem niet op.
Wat spam rendabel maakt is het feit dat er ontzettend veel
van gestuurd kan worden met relatief weinig inspanning. Het
idee dat mensen die jou mail willen sturen zichzelf eenmalig
moeten whitelisten, zou hier een oplossing voor zijn
(uitgaande mail wordt automatisch gewhitelist). Whitelisten
vindt dan plaats met behulp van bijvoorbeeld goede CAPTCHA
van bijvoorbeeld plaatjes van objecten. Wanneer je in
sommige gevallen toch mail wilt ontvangen van
geautomatiseerde processen zou je in die gevallen een
(eenmalige) sleutel kunnen opgeven aan dat proces
(mailinglist, nieuwsbrief etc.) waarmee dat proces zichzelf
automatisch kan whitelisten.
Los je niet beide problemen op dan kom je volgens mij ook
niet van de spam af.
ps. ik ben trouwens van mening dat je met het tegengaan van
alleen de geautomatiseerde processen meer spam doet
verdwijnen dan met zoiets als alleen DKIM.
my 2 cents
- de afzender kan vervalst worden
- spam wordt gestuurd door geautomatiseerde processen
Het vervalsen van de afzender kan deels voorkomen worden met
zoiets als DKIM. Maar wat let een spammer om een domein te
registreren DKIM te configureren en hiermee te spammen? Daar
komt bij dat ook gehackte machines van domeinen met DKIM
gebruikt kunnen worden om mee te spammen. Alleen hiermee los
je volgens mij het spamprobleem niet op.
Wat spam rendabel maakt is het feit dat er ontzettend veel
van gestuurd kan worden met relatief weinig inspanning. Het
idee dat mensen die jou mail willen sturen zichzelf eenmalig
moeten whitelisten, zou hier een oplossing voor zijn
(uitgaande mail wordt automatisch gewhitelist). Whitelisten
vindt dan plaats met behulp van bijvoorbeeld goede CAPTCHA
van bijvoorbeeld plaatjes van objecten. Wanneer je in
sommige gevallen toch mail wilt ontvangen van
geautomatiseerde processen zou je in die gevallen een
(eenmalige) sleutel kunnen opgeven aan dat proces
(mailinglist, nieuwsbrief etc.) waarmee dat proces zichzelf
automatisch kan whitelisten.
Los je niet beide problemen op dan kom je volgens mij ook
niet van de spam af.
ps. ik ben trouwens van mening dat je met het tegengaan van
alleen de geautomatiseerde processen meer spam doet
verdwijnen dan met zoiets als alleen DKIM.
my 2 cents
Door Anoniem
ps. ik ben trouwens van mening dat je met het tegengaan van
alleen de geautomatiseerde processen meer spam doet
verdwijnen dan met zoiets als alleen DKIM.
my 2 cents
ps. ik ben trouwens van mening dat je met het tegengaan van
alleen de geautomatiseerde processen meer spam doet
verdwijnen dan met zoiets als alleen DKIM.
my 2 cents
DKIM heeft niets met het stoppen van spam te maken.
DKIM is een niet compatible mechanisme om te controleren of een mail
volgens de beheerder van een domein afkomstig is. Daarbij hangt het af
van wat de domeinbeheerder toestaat. Het afzenderadres kan nog steeds
vals zijn want iedereen binnen de toegelaten zone kan mail versturen met
ieder willekeurig afzender adres van dat domein.
Aangezien spammers hun eigen domein beheren, kunnen ze DKIM
toepassen.
DKIM zegt niets over het wel of geen spam zijn van een bericht. Het zegt
niet dat iets geen spam is en het zegt niet dat iets wel spam is. Dus
feitelijk heb je er niets wat spam betreft.
Denk ook aan Yahoo en 419 berichten. Het is spam, het heeft DKIM (die bij
Yahoo trouwens iets te vaak stuk is), en volgens DKIM is een niet vervalst
bericht. Dat is misschien zelfs wel waar, maar dat maakt niet uit: het is en
blijft spam.
ik zeg, whitelisten op email adres, wanneer een derde partij mij een email
wil sturen moet hij dat doen, mailbericht bounced terug vanwege whitelist
met tijdelijke sleutel tot website waarin hij via http ui mij alleen maar kan
vragen of ik zijn post wil ontvangen. via introductie.. dan bellen ze maar ff of
ik hun email adres wil white listen...
is dit wat?
Mephisto
wil sturen moet hij dat doen, mailbericht bounced terug vanwege whitelist
met tijdelijke sleutel tot website waarin hij via http ui mij alleen maar kan
vragen of ik zijn post wil ontvangen. via introductie.. dan bellen ze maar ff of
ik hun email adres wil white listen...
is dit wat?
Mephisto
10-07-2007, 16:40 door
Dennis Krul
Misschien in de ogen van sommige mensen een laf antwoord,
maar volgens mij ligt de sleutel van het spamprobleem nog
altijd bij de vele Windows zombies. Natuurlijk wordt er er
ook spam verstuurd via lekker phpbb forums en open relays,
maar dat is vergeleken met de zombie spam zeer marginaal.
Het begint dus bij goede Windows security. Het is nog steeds
te makkelijk om als Windows gebruiker ongemerkt een of
andere trojan binnen te halen die vervolgens lekker gaat
spammen. De eindgebruiker merkt hier over het algemeen
weinig van (hooguit merken ze wat vertraging van hun PC) en
neemt dus ook geen aktie.
Ik heb geen kant en klare oplossing, maar vind wel dat
Microsoft in deze een grote verantwoordelijkheid heeft om
een groot deel van dit probleem op te lossen. Tot nu toe
hebben ze met hun pogingen weinig bereikt. Misschien moeten
ze hun 'malicious software removal tool' ook maar gewoon
aanbieden aan mensen die op een illegale versie van hun OS
draaien.
Zodra de meeste zombies van het internet zijn verdwenen
zullen bestaande maatregelen zoals blacklists een stuk
efficiënter werken en zal de hoeveelheid spam bovendien
aanzienlijk afnemen.
ISP's kunnen ook een hoop meer doen. Poort 25? Gewoon
dichtgooien (ik elk geval voor consumer grade abonnementen),
jammer voor de eindgebruikers, maar het is gewoon nodig.
Maar _eigenlijk_ is het gewoon tijd voor SMTP2..
maar volgens mij ligt de sleutel van het spamprobleem nog
altijd bij de vele Windows zombies. Natuurlijk wordt er er
ook spam verstuurd via lekker phpbb forums en open relays,
maar dat is vergeleken met de zombie spam zeer marginaal.
Het begint dus bij goede Windows security. Het is nog steeds
te makkelijk om als Windows gebruiker ongemerkt een of
andere trojan binnen te halen die vervolgens lekker gaat
spammen. De eindgebruiker merkt hier over het algemeen
weinig van (hooguit merken ze wat vertraging van hun PC) en
neemt dus ook geen aktie.
Ik heb geen kant en klare oplossing, maar vind wel dat
Microsoft in deze een grote verantwoordelijkheid heeft om
een groot deel van dit probleem op te lossen. Tot nu toe
hebben ze met hun pogingen weinig bereikt. Misschien moeten
ze hun 'malicious software removal tool' ook maar gewoon
aanbieden aan mensen die op een illegale versie van hun OS
draaien.
Zodra de meeste zombies van het internet zijn verdwenen
zullen bestaande maatregelen zoals blacklists een stuk
efficiënter werken en zal de hoeveelheid spam bovendien
aanzienlijk afnemen.
ISP's kunnen ook een hoop meer doen. Poort 25? Gewoon
dichtgooien (ik elk geval voor consumer grade abonnementen),
jammer voor de eindgebruikers, maar het is gewoon nodig.
Maar _eigenlijk_ is het gewoon tijd voor SMTP2..
Door Dennis Krul
ISP's kunnen ook een hoop meer doen. Poort 25? Gewoon
dichtgooien (ik elk geval voor consumer grade abonnementen),
jammer voor de eindgebruikers, maar het is gewoon nodig.
Maar _eigenlijk_ is het gewoon tijd voor SMTP2..
ISP's kunnen ook een hoop meer doen. Poort 25? Gewoon
dichtgooien (ik elk geval voor consumer grade abonnementen),
jammer voor de eindgebruikers, maar het is gewoon nodig.
Maar _eigenlijk_ is het gewoon tijd voor SMTP2..
Poort 25 is niet de oorzaak, is het uitgaand tcp poort 25. Spam wordt niet
aangeleverd via poort 25 naar zombies. Veel voorkomend misverstand,
ook onder ISP's die nodeloos ook ingaand verkeer blokkeren.
Bedenk, dat als poort 25 massaal dicht gaan, de spammers gewoon
alternatieven zullen gebruiken. Dat zijn hosters en de mail servers van
ISP's zelf. Die trend is al zichtbaar. Spammers gebruiken al massaal
Google, Yahoo en Hotmail accounts om spam te versturen en web servers
worden steeds vaker gehacked. Bij deze mail providers kun je vaststellen
dat het inderdaad van hen afkomstig is, maar dat helpt niet als anti-spam.
Het is al lang tijd voor SMTP2, maar het is niet zo dat er geen verbeteringen
mogelijk zijn met de huidige SMTP RFC's.
SMTP authenticatie zou verplicht moeten worden gesteld door iedere
provider. Daarmee voorkom je dat spammers al te makkelijk gebruik
kunnen maken van de mail servers van de provider. In plaats van SMTP
authenticatie kiezen de ISP's vaak voor de gemakkelijke weg. Zo heeft
alleen pop3 authenticatie, maar dat is clear text. Webmail is massaal
ingezet om de reizende gebruiker te dienen. Datzelfde webmail is zo lek
als een mandje, je mag al van geluk spreken als je wachtwoord via https
over de lijn gaat.
Dat moet dus beter. De bestaande TLS/SSL SMTP authenticatie moet
grootschalig worden toegepast. Ook mail clients moeten wachtwoorden
beter versleuteld opslaan en authenticatie moet afgedwongen zijn zodat
malware niet kan vissen naar het wachtwoord door simpelweg verkeer
naar de server af te vangen door een gesimuleerde server die alleen clear
text wachtwoorden accepteert. De mail client moet bij iedere wijziging van
authenticatie instellingen naar het wachtwoord vragen.
Authenticatie is dus de sleutel, niet van verzender naar ontvanger maar van
verzender naar ISP.
Reageren
Deze posting is gelocked. Reageren is niet meer mogelijk.
Junior DevOps Engineer
Certified Secure is op zoek naar een Junior DevOps Engineer. Deze functie is een stuk interessanter dan de term doet vermoeden! Om jou als potentiële nieuwe collega meteen te laten zien wat we doen hebben we speciaal voor jou een selectie gemaakt van een aantal leuke security challenges. Are you ready for a challenge?
Cybersecurity Trainer / Streamer
Toe aan een nieuwe nieuwe job waarmee je het verschil maakt? In de Certified Secure trainingen laat je deelnemers zien hoe actuele kwetsbaarheden structureel verholpen worden. Ook werk je actief mee aan de ontwikkeling van onze gamified security challenges. Bij het maken van challenges kom je telkens nieuwe technieken tegen, van Flutter tot GraphQL, van Elastic Search tot Kubernetes.
