Freesco, NND, CDN, EOS

Witam.

Przyszedł mi dzisiaj do głowy pomysł, w jaki sposób możnaby znacząco zwiększyć bezpieczeństwo (i zablokować spam) kont pocztowych, jeśli z tych kont mają korzystać dzieci, które pozostają pod naszą opieką, i za które odpowiadamy.

Zasada byłaby bardzo prosta - na nasze konto nie trafi żaden mail, jeśli wcześniej to my nie zainicjujemy kontaktu. Wysyłając maila na nowy adres jednocześnie system dodawał by adres odbiorcy na białą listę. Na nasze konto dotrą wyłącznie maile od osób z adresami na białej liście.

Byłoby trudno stworzyć takie coś?

Byłoby trudno. Ponieważ przyjmowanie poczty odbywa się na poziomie MTA, więc należałoby skonfigurować serwer smtp tak, żeby odrzucał wszystkie maile z wyjątkiem nielicznych, żaden serwer nie jest do tego przygotowany. Powstałby zresztą problem, jak odrzucać pocztę - po adresach nadawców, czy serwerach, czy może IP nadawcy? Żaden sposób nie sprawdzi się. Znacznie lepiej w takicm układzie sprawdziłyby się jakieś reguły w procmailu, ale... administrator musiałby sam to wszystko robić (wiedzieć do kogo X wysłał maila i ten adres dodać natychmiast do reguł procmaila dla danego użytkownika. Gdyby chcieć to zautomatyzować, to zapewne śledzenie działalności użytkowników zajęłoby wszystkie zasoby komputera. Chyba, że z założenia zrobić pocztę, która działa tylko w lokalnej sieci. Ale to raczej bez sensu.
Tak się składa, że sprawy związane z sieciami szkolnymi są od lat w kręgu moich zawodowych i pozazawodowych zainteresowań i sądzę, że chyba przesadzasz w zapędach cenzorskich. Należy zrobić oczywiście wszystko, żeby korzystanie z internetu w pracowniach szkolnych 9a także innych np. środowiskowych) było bezpieczne dla samej pracowni, a także żeby ograniczyć możliwości użytkowników w zakresie pewnych działań, ale nie należy wylewać dziecka z kąpielą.
Po pierwsze należy zastosować filtrowanie treści. Od niedawna jest do tego tercet squid+dansguardian+clamav (filtrowanie i ochrona antywirusowa w zakresie www i ftp). W zakresie poczty można zastosować p3scan (jest w trakcie testów), dodatkowo można filtrować pocztę pod kątem spamu (np. hermes) i takie zabezpieczenia wystarczą.
Teoretycznie zresztą na nasze konto nigdy nie przyjdzie poczta z adresu, na który sami wcześniej nie napisaliśmy lub z nie daliśmy komuś swojego adresu. Praktyka jest nieco inna, bo piszemy do ludzi używających OE, a oni potem mają wirusa, który wyciąga dane z książki adresowej lub podajemy sami swój adres lekkomyślnie na jakichś stronach, gdzie wyczytamy "You are winner! One million for you!". Niestety nie da się przewidzieć wszystkiego, ale nie jestem zwolennikiem Wielkiego Brata, który widzi wszystko.

_________________
Belfer.one.PL
Audio Cafe

Ok. Przyjmuję do wiadomości to co napisałeś. Widzę, że i tym razem to co proste w teorii może okazać się dużo trudniejsze w praktyce. Oczywiście zainteresuję się wskazanymi wyżej rozwiązaniami.

Z drugiej strony trochę żałuję, bo rozwiązanie, które przyszło mi na myśl, nie wiele miałoby wspólnego z wielkim bratem, a prawdopodobnie zapewniłoby maksymalne bezpieczeństwo - nikt nieznajomy nie zainicjuje niepowołanego kontaktu z dzieckiem, ale dziecko zainicjować kontakt może z każdym, w ten sposób otwierajc tej drugiej osobie możliwość dalszego kontaktu (bez kłopotania administratora).

W ten sposób użytkownik poczty byłby bezpieczny nawet w przypadku, gdyby jego adres został utworzony według jawnego szablonu imie.nazwisko@domena.pl

Poprzednio napisałem w końcowej części postu, dlaczego to się nie sprawdzi. Nie sprawdzi się dlatego, że wkrótce nasz adres będzie znało wiele osób, a spamboty bardzo często z tego korzystają (wysyłka z podstawionym polem FROM). Więc na spam to kiepska ochrona.
Poza tym "nikt niepowołany" i tak nie zainicjuje kontaktu, dopóki nie będzie miał adresu. Jeśli ci chodzi o ochronę dzieci przed jakimiś podejrzanymi indywiduami, to też nie zda egzaminu ("cześć Aniu, jestem Wojtek i też mam 12 lat"). Znacznie lepszą metoda jest edukować, niż wprowadzać wątpliwie działające zabezpieczenia.
BTW, może się zainteresuj serwerem SBS dla szkól, tam wszystko nastawione jest na to, żeby maksymalnie utrudnić życie użytkownikowi. It's only joke.

_________________
Belfer.one.PL
Audio Cafe

Chyba, że adresy tworzone są wg schematu imie.nazwisko@domena.pl Wtedy wystarczy znać imię i nazwisko (jest to chyba najbardziej atrakcyjny / prestiżowy schemat, a jednocześnie rodzący potencjalnie największe niebezpieczeństwo). Rzeczywiście chodzi tu przede wszystkim o odseparowanie indywiduów.

A wszystko poza tym rozumiem, i przyjmuję do wiadomości. Co do edukacji również, i to nie pozostawia najmniejszych wątpliwości.

Nawet wtedy ja widzę bardzo małe prawdopodobieństwo zagrożeń. Znacznie większe są na czatach, gdzie sprytny ktoś może wyłudzić adres e-mail pod byle pretekstem. W szkołach czaty wycinam bezlitośnie

_________________
Belfer.one.PL
Audio Cafe

Dać to pewnie by się dało... ale ja bym natychmiast zwolnił admina, który takie coś wprowadza. A to dlatego, że tym sposobem uniemozliwiłby mi zapisanie się do jakiegokolwiek forum internetowego, do większości list dyskusyjnych, prawdopodobnie uniemozliwiłby mi zrobienie zakupów przez internet i skorzystanie z online banking. Czyli mamy bezpieczeństwo kosztem tego wszystkiego do czego dziś internet służy... krótko mówiąc wylewanie dziecka z kąpielą, już lepiej wyciągnąć wtyczkę z gniazdka, przynajmniej prądu nie będzie taki serwer zużywać...

Krótkie wyjasnienie - rejestrując się na jakimkolwiek forum dostajemy email z linkiem do aktywacji konta - ponieważ to nie my rozpoczęliśmy komunikację taki email nie dojdzie - zostanie odrzucony przez nasz super bezpieczny serwer. Nie możemy ręcznie dodac do białej listy takiego adresu, bo zazwyczaj nie wiemy jaki on jest.
Podobnie z listami dyskusyjnymi - zapisujemy się wysyłając maila na jakieś konto, a mail aktywujący jest wysyłany z automatu mającego zazwyczaj inny adres. Dodatkowo w zależności od konfiguracji listy dyskusyjnej maile moga przychdzić zarówno z adresu listy jak i z adresów zarejestrowanych użytkowników. I co do każdego nowo zapisanego uzytkownika będziemy wysyłac email?
Zakupy online - to samo co w przypadku rejestracji na forum.
Online banking - tu już w ogóle jest dupa blada - bo jak korespondowac z automatem wysyłającym wyciągi lub potwierdzenia transakcji? Banki zazwyczaj zastrzegają w emailach żeby nie odpisywac na ten adres bo to automat...

O koledze z wojska, który dostał nasz email od innego kolegi nie wspomnę...

Przekombinowałeś... może najpierw warto by się chwilę zastanowić jak co działa...

_________________
Mis'
___________________________________
"Real Men Use Telnet on port 80" (el bid)

Miś, może cię rozczaruję, ale tak się jakoś składa, że wiem, jak działają fora (typu phpbb na przykład, których sam kilka postawiłem). Wiem też, czym będzie skutkowało zaproponowane przeze mnie rozwiązanie.

Ale spróbuj spojrzeć na to z innej strony. Np. prezes firmy X ma prawo decydować do jakich zastosowań będzie przeznaczony firmowe konto e-mail, a rodzic pozwalać (lub nie) na rejestrację na takim, lub innym forum. Rejestracja na forum rzeczywiście nie będzie możliwa, do póki adres automatu nie zostanie dodany na białą listę.

Ja nie twierdzę, że moja propozycja jest doskonała, nawet nie twierdzę, że (w obecnej formie) jest dobra. Co najwyżej wydaje mi się, z pewnych względów atrakcyjna, i prawdopodobnie, gdyby tę myśl dopracować (posiadając odpowiednią wiedzę i umiejętności) mogłoby z tego wyjść coś całkiem pożytecznego. I tylko dlatego staram się nie przekreślać tego pomysłu.

Okopałeś się na straconych pozycjach. Zgadzam się z Misiem, że przekombinowałeś.
Weźmy dla przykładu właśnie firmę, firma musi mieć kontakty, nikt nie napisze do firmy wcześniej, zanim pracownik do niego nie napisze? Bezsens.
Poza tym, taki filtr jest możliwy do zrobienia, ale poziomie MTA to byłby horror. Owszem nawet w prostym eximie byłaby możliwość zrobienia whitelist, choć nie wiem czy na konkretne adresy. Zresztą nie wiem czy białe listy w jakimkolwiek MTA są możliwie na poziomie adresów. Ale wyobraź sobie sytuację, że ja piszę do kogoś i ten ktoś mi natychmiast odpowiada. Zatrudniamy specjalnego extra admina do natychmiastowego dodawania do białej listy? A może oskryptujemy MTA, żeby po każdym wysłaniu maila dodawał adresata do whitelisty i restartował się? A co będzie jeśli naraz zrobi to 20 użytkowników?
Można to zrobić na poziomie użytkownika za pomocą procmaila, ale to raczej może dotyczyć wyłącznie poczty przychodzącej. Byłoby bardzo skmplikowaną sprawą oskryptowanie tego tak, aby adresat był dodawany automatycznie do .procmailrc użytkownika. Coś by musiało nasłuchiwać non stop w poszukiwaniu wysyłanych maili. A to z kolei oznacza obciążenie system i podejrzewam dość sporo przy wielu użytkownikach.
W przypadku zastosowań poczty szkolnych i podobnych również to nie ma sensu. Należy zastosować proxy do poczty z filtrem antyspamowym i antywirusowym i to z powodzeniem ochroni przed mailami z "enlarge your penis". Przykro to mówić, ale moim skromnym zdaniem, jesteś dogłębnie skażony myśleniem windowsowym. "Trzeba zabronić wszystkiego co tylko możliwe i dla każdej pojedynczej czynności robić indywidualne wyjątki".
Propozycję uważam za wyjątkowo złą, a wręcz szkodliwą.

_________________
Belfer.one.PL
Audio Cafe

fora to niestety nie wszystko...



mam wrażenie, że nie do końca. Czy na przykład zdajesz sobie sprawę, że jeśli we współpracującej z Twoją firmie zmieni sie pracownik to przestaniesz dostawać od nich maile bo nie maja obowiązku Cię o tym informować żebyś poprawił whitelist?... Regularnie dostaję miesięczny newsletter od jednej firmy... w ciągu trzech lat zmieniło się już chyba 5 nadawców... Oczywiście mógłbym do nich napisac żeby stworzyli specjalne konto z którego bedą wysyłać newsletter... tylko co zrobię jak mnie oleją lub odpiszą, ze takie konto nie zgadza się z ich polityka frmową? A ja tych newsletterów potrzebuję...

A jak sobie poradzisz z emailami z eBay? Tam każdy kawałek serwisu ma swój email którego nie masz szans poznać póki nie dostaniesz emaila. Jak chcesz dodawać do whitelist adresy których nie znasz? Bo jak poznasz to już jest niestety za późno przynajmniej jeden email został odrzucony - zgodnie z prawem Murphiego to był ten najważniejszy, a brak reakcji spowoduję, ze nastęny juz nie przyjdzie...

Gdybyś jeszcze mówił o domenach a nie całych adresach to można by to rozważyć. Ale takie blokowanie nic nie załatwia ponieważ nagłówki w emailu bardzo łatwo zmienić. Na cokolwiek. Czasem dostaję propozycje przedłużenia od... samego siebie...



ale tego adresu oczywiście nie znasz... i nie poznasz póki nie wyśle do ciebie maila.



gdyby to było takie proste to nie powstałoby tyle różnych sposobów walki ze spamem. Póki co jednego idealnego rozwiązania nie ma i możesz być pewny, że Twój (tak naprawdę to wcale nie Twój, bo czyż nie jest to jakaś wariacja greylistingu połączonego z RBLami?) pomysł nie okaże się tym jedynym. Zaimplementowanie, pewnie samo w sobie nie najłatwiejsze, tego przyniesie więcej złego niż dobrego.

_________________
Mis'
___________________________________
"Real Men Use Telnet on port 80" (el bid)

Na wstępie klauzura, żeby nie było: nie chcę się upierać przy swoim, rozwiązanie / pomysł traktuję jako ciekawostkę (teoretyzuję). Przyjmuję do wiadomości wszystkie minusy takiego rozwiązania, których jak widać, jest mnóstwo, i z których (przynajmniej częściowo) zdaję sobie sprawę.


Przy założeniu, że wszyscy użytkownicy będą korzystać z wiewiórki, wystarczy prawdopodobnie kilka machnięć w php, żeby zapisywał do pliku adresy na które wysyłamy maile (automatycznie tworzona biała lista). A czy będą potrzebne restarty, tego nie wiem, bo tutaj brakuje mi wiedzy. Wiem że nie wszystkie zmiany na plikach wymagają restartu, np. dodanie aliasu polega na aktualizacji pliku tekstowego, przy czym żaden restart nie jest w takim przypadku potrzebny. Alias zaczyna funkcjonować natychmiast po zapisaniu pliku. Ale to oczywiście, jeśli chodzi o aliasy.