Hvordan kommer vi spam til livs?

Sommerkonkurrence: Bill Gates lovede at spam som et problem ville være løst i 2006, men alligevel fyldes indbakker dagligt med uønskede reklame- og phishing-mails. Trumf Bill Gates og vind præmier i Version2's sommerkonkurrence.

Skriv dit bedste bud på, hvordan vi kommer spam til livs i debatten nedenunder. På baggrund af hvor innovative, kreative og fremsynede jeres indlæg er, udvælger redaktionen det bedste bud. I kan selvfølgelig også selv være med til at afgive jeres stemme i debatten om det bedste forslag ved at benytte afstemningsværktøjet på sitet.

Redaktionen udvælger hver uge det bedste forslag og belønner med et gavekort til Hjem-is.

Tips og korrekturforslag til denne historie sendes til tip@version2.dk
Kommentarer (57)
sortSortér kommentarer
  • Ældste først
  • Nyeste først
  • Bedste først
Kasper Tonsberg

Gør det til et krav, at al email bliver signeret med en digital signatur, ellers vil det blive nægtet modtagelse.
Signaturen skal selvfølgelig være gratis og administreret gennem ICANN el.lign. organisation.
På den måde ved man altid, hvem der har sendt den pågældende spam-mail, og det vil nok afskrække de fleste. Så har vi selvfølgelig bare problemet med orme, der sender via uskyldige menneskers e-mail konto, det må vi så løse ad anden vej :-)

  • 0
  • 0
Michael Nielsen

problemet med orme løses meget nemt ved brug af krypto tokens, og krav om fysisk aktioner.

Men En ordenligt digtal signatur lavet på den rigtige måde, og en lille tilføjelse af en header i emailen, som indeholder en header fingerprint, betyder man kan afvise mailen før den overhovedet modtages, dette vil spare megen båndbredde.

  • 0
  • 0
Jacob Christian Munch-Andersen

Først skal vi bruge et system som kan tjekke om en mail faktisk kommer fra det domæne som den påstår at komme fra, det kan ske ved at en mail server gemmer tidspunkt og hash sum for en sendt mail. Den modtagende mail sever kan så henvende sig med samme information for at få mailen verificeret.

Dertil kan der også indføres en officiel spamrapportering fra modtagerserver til afsenderserver, som sendes i fald brugeren rapporterer mailen som spam. Samt en formodet spam rapportering som sendes hvis mailen ryger direkte i spam boksen. Begge dele for at gøre det lettere for afsender serveren at finde frem til brugere som misbruger servicen.

I en overgangsperiode må de mailservere som udfører afsendertjek så bare finde sig i at de ikke kan verificere al post.

Herefter kan mailservere så begynde at spamfiltrere på afsenderdomænet.

Ikke verificerbare mails kan som straf få en lidt lavere spam tærskel end verificerbare mails.

  • 0
  • 0
Michael Nielsen

Jacob, det er allerede hvadd er gøres, men problemerne er der er så mange krav, og så mange latterlige ting der bliver indført at nettet's mail er begyndt at forsvinde, og ikke virke fordi alle de forskellige anti-spam systemer modarbejder hinanden.

Jeg har prøvet at sætte op en officiel mail server, det var et fuldtidsarbejde at spore hvorfor det ene domain ikke ville modtage mails, og hvorfor det andet bare lod mails forsvinde uden at rapportere hvorfor, selvom serveren havde akcepteret mailen for levering.

Den rigtige løsning er digtal signaturer.

  • 0
  • 0
Malte von Sehested

Lad det koste 1 cent (eller 1/10 cent) at sende en mail. Det er småpenge også for os mailjunkies der sender rigtig mange mails, men det er bestemt ikke småpenge for en spammer der sender millioner af mails... Og pengene kommer nok til at blive brændt af på administration og bureaukrati - men hellere det end de mange spammails... (selvom det ville være enormt cool hvis det ligefrem kunne betyde at der kom lidt penge ud af det som kunne bruges på at forbedre nettets infrastruktur, hjælpe 3. verdens lande med OLPCer eller hvad man nu kunne finde på).

  • 0
  • 0
Michael Coene

Lav i hvert email header en linje som viser sansyndeligheden at mailen indeholder spam. Tillad enhver server til at ændre den linje efter behov.
For eksempel: Jeg sender en email fra min GMAIL konto til en Hotmail konto. Gmail ved at jeg har været medlem i mere end 6 måneder og sender < 10 mails om dagen. Så de siger:"SPAMPROBABILITY=5%". Hotmail kan se på IP adressen at mailen faktisk kommer fra Gmail og Gmail står noteret som "at stole på". Men i mailen snakker jeg om min nye Rolex, så de beslutter sig at lægge 10 % til. Der står nu "SPAMPROBABILITY=15%". Endbrugeren læser sin mail via Outlook og han har et simpelt macro som siger "smidt alt over 85% ud, medmindre afsenderen står i min adressebog. Fidusen her er at bruge mere oplysninger: alle de oplysninger som afsenderens ISP / mailserver har, modtagerens heuristiske spam-scanner, og i sidste end modtagerens adressebog. Langsomt opbygger vi et "web of trust", uden at ødelægge kompatibiliteten med gamle software.

  • 0
  • 0
Jacob Christian Munch-Andersen

Det tætteste på beskrivelsen jeg sådan lige kan finde er rDNS check, men det er jo lidt kluntet.

Men det er jo nok først og fremmest standardisering der mangler.

Det verdensomspændende centrale digitale signatur register har vist ret lange udsigter. Og uden registrering er en signatur intet værd i kampen mod spam, for en signatur kan man jo bare lave selv.

  • 0
  • 0
Jacob Christian Munch-Andersen

Så skal du bare lige registrere IP for et par millioner mailservere og få dem til at registrere din IP når du sætter en mailserver op. Samt holde øje med hvilke af disse millioner servere som udsender spam. No problemo.

Men altså helt generelt så er problemet jo ikke i særligt høj grad mails sendt mellem Hotmail og Gmail, for de rydder begge to rimeligt pænt op i deres brugere. Problemet er at skille alle de små mailservere fra botnet mailere som sender spam.

  • 0
  • 0
Kasper Tonsberg

Det verdensomspændende centrale digitale signatur register har vist ret lange udsigter. Og uden registrering er en signatur intet værd i kampen mod spam, for en signatur kan man jo bare lave selv.

Det kræver kun, at nogle få af de store udbydere går sammen og indfører det, f.eks. Gmail, Hotmail og AOL - så skal de andre nok følge efter. Og med Microsoft bag MSN og Hotmail skal klient-siden nok også følge med. Det kræver bare, at man kan overbevise dem om at bruge en åben standard, som de ikke selv har kontrol over.

Det er klart, at der er et problem med at verificere identiteten på de personer, der opretter en digital signatur, især i lande uden den omfattende personregistrering, som vi har i Danmark. Men det kan vel løses ved at binde signaturen til en fysisk internetforbindelse.

  • 0
  • 0
Steen Thomassen

Efter har kigge på en del tekniker, så er ikke så meget tilbage end at analysere indholdet - ellers skal man spærre for seriøse udbydere. Hvis der skal gøres mere for at forhindre det, er det udbydere af email-konti som skal gøre mere.

Men signering af afenderes findes allerede som "Domain keys" og SPF er også en meget anvendelig teknik til tjekke om en afsender er valid. En teknik, som jeg har haft gode erfaringer med, er greylisting, som fanger mange spam-emails, der kommer fra zombie-maskiner.

Men når de metoder er brugt, så kommer der stadig spam fra hotmail, yahoo, gmail og masser af de mindre webmail-udbydere. De har som udgangspunkt en valid email-adresse. Eller de registre masser af domainer eller email-adresser på en webhotel og så går de bare i gang med deres masseudsendelser ... Og hvis mangler arbejdskraft oprettelse af email-adresser så hyres de i lande som Nigeria....

  • 0
  • 0
Maciej Szeliga

...at lave en SMTP v.X som kører krypteret (SSL) og indeholder verificering af afsenderen (både afsender adresse og serveradresse).

Hvof' det ikke er lavet ? Fordi nørderne ikke bliver plaget af spam fordi de selv kan filtrere det væk selv.

  • 0
  • 0
Jacob Christian Munch-Andersen

Kryptering gør jo ikke noget som helst, det kan spam afsenderne også lave.

Og verificering er ikke noget man bare putter i en mail, det skal jo altså laves således at kun den legitime afsender kan verificere sig, og modtageren kan verificere dette.

"Nørderne" har været i gang ganske længe, de kan bare ikke blive enige om en standard.

  • 0
  • 0
John Anker Corneliussen

Læs overskriften og tænk :)

Der er for mange halvstuderede løsninger som baserer sig på specialtilfælde.

RFC 2821 specificerer i udpræget detaljeringsgrad hvordan to mailerere udveksler mails.

Når folk så vælger at forlange reverse lookup laver man en opstramning i forhold til rfc - hvilket betyder at man hægter folk af som ikke kan kontrollere deres servers reversemap. altså tilfælde hvor dns host og udbyder er forskellige foretagener - noget den almindelige spam modtager intet ved noget om.

Til gengæld ses det ofte at selv større foretagender sjusker med deres "ehlo" statement hvor der skal stå et fqdn - som skal kunne slås op i FORWARD dns for at se at IP fra initiator MATCHER.

Strammes der op på mailere og systemadministratorers egne fortolkninger af rfc 2821 ville i omegnen af 80-90 procent af AL SPAM blive klippet på connection tidspunktet alene - alene på formen.

Der er imidlertid mail klienter der ikke overholder rfc 2821 og ikke afleverer fqdn i forbindelse med smtp transport - her kan for eksempel nævnes outlook - som i ehlo statement kun afleverer hostname - så her skal der osse pudses lidt.

og eftersom det for eksempel kan lade sig gøre at sende smtp mail med outlook har vi her et systematisk spam hul - som vil gøre at man ikke vil kunne bruge outlook som smtp agent uden at have en reduceret policy i henhold til rfc 2821 !

så LÆS RFC 2821 og græd over at den ikke anvendes fuldt ud.

  • 0
  • 0
Torben Mogensen Blogger

Spam eksisterer kun fordi det er en god forretning. Hvis ingen nogensinde købte noget, som de blev tilbudt i en spam-mail, eller fulgte reklamebetalte links på sider henvist fra spam, så ville spam forsvinde på grund af manglende forretningsgrundlag.

Men som P.T. Barnum (måske) sagde: "There is a sucker born every minute", så det kommer til at tage tid. Det sker nok først når alle brugere af Internettet er nogle, der har brugt det siden de var børn, og dermed lærer om nettets faldgruber, inden de kan bruge penge på det. De fleste, der ryger i spamfælder, er nok "noobs".

Men det vil også hjælpe en del med international lovgivning på området. Det er stort set umuligt at straffe en afsender fra udlandet, selv om spam er illegalt i det land, hvortil det bliver sendt. Og loven skal formuleres sådan, at man kan straffe firmaer, der kan påvises at have deres primære indtjening gennem spam, selv om man ikke kan vise, at det rent faktisk er dem, der har sendt det.

  • 0
  • 0
Anders Rosendal

17 kommentarer og alle prøver at løse det teknisk. Dette er indtil videre ikke gået specielt godt, så jeg tror ikke det er vejen frem. Jeg gider ihvertfald ikke sidde og løse en opgave for at sende en mail.

En løsning der virkede ret godt for mig: Spærre for kina. Jeg kender ikke nogen i kina og hvis jeg gør, må de jo bruge gmail eller noget andet.

Og generelt: Gøre det ulovligt at spamme(allerede i danmark) OG spærre for mails i lande som ikke gør noget ved spam.

Ja ja, jeg ved godt det er totalt dikatatur-metode, men det virker :-)

  • 0
  • 0
Kasper Tonsberg

Du mener vel ikke seriøst at man kun skal have mulighed for at sende mails fra en adresse?

Men hvem mener du skal registrere og verificere signaturer?

Og hvorfor er det smartere at skulle verificere en signatur hos signaturregistraren end at verificere en mail hos afsenderserveren?

Nej, jeg mener ikke at man kun må få lov til at sende fra een adresse. Man kan jo bruge den samme signatur på flere adresser, så længe signaturen er gyldig burde det ikke betyde noget.
Men signaturen behøver jo ikke at være udstedt af en central myndighed et eller andet sted, den kan også komme fra toplevel-administratoren eller endda fra domæne-registranten. Så skal man bare vedtage nogle sanktionsmuligheder for de signaturudbydere, som ikke varetager deres ansvar godt nok.

  • 0
  • 0
Kim Schulz

Alle mails bør sendes forbi Lene Espersen så hun kan screen dem for spam. Det er en total win-win situation for vi slipper for spam og Lene kommer til at lave noget hun kan finde ud af (en powershopper som hende kan med garanti skilne falsk reklame fra the-real-thing). Samtidigt så får hun så travlt at hun ikke har tid til at lave yderligere ulykker her i landet.

  • 0
  • 0
Patrick Christensen

"Generel IT- og internet kundskab" burde være et fag i folkeskolen. Jeg er ikke sikke på at det ville kunne løse problemet,men det ville nok reducere naiviteten der får folk til at åbne mail's med subjects der kunne lyde noget i retning af: Vi#ag?a

  • 0
  • 0
Jens Fallesen

Normalt er jeg ikke tilhænger af dødsstraf, men her er jeg villig til at gøre en undtagelse. Og det er jo nemt at finde bagmanden – bare følg pengene.

Naturligvis giver det en risiko for, at man kan komme af med sine fjender ved at starte en spamkampagne, der vil gave dem økonomisk, men det må man kunne finde en løsning på.

Hvad sagde I? Skulle det være seriøse indlæg? :-)

  • 0
  • 0
Søren Løvborg

Problemet med at løse spamproblemet minder på sin vis meget om problemet med at indføre IPv6. Vi har en eksisterende standard, der ikke længere er tilstrækkelig, men der mangler momentum for at komme over på en ny standard.

I begge tilfælde vil folk ikke skifte til den nye standard netop fordi kun få bruger den, en noget rekursiv problemstilling.

Nogen nævner en "digitale signatur". Konkrete implementationer af denne løsningsmodel er SPF og DomainKeys, begge systemer til at forhindre spoofede afsenderadresser.

SPF har den store fordel at det kan indføres uden at lave ændringer i mail-softwaren (undtagen spamfiltrene, som selvfølgelig skal checke SPF; men det gør de i vid udstræking allerede), mens DomainKeys kræver at afsenderen eller dennes ISP signerer alle e-mails. SPF giver tilgengæld problemer med SMTP forwarding.

Fejlkonfiguerede systemer er også med til at hæmme udbredelsen af fx SPF.

Jeg har selv udsendt mails til omtrent 500 mennesker på en mailingliste, hvor een mail blev fanget i et spamfilter, pga. en SPF fejlkonfiguration fra min side. De resterende mails gik igennem. Havde den 500'ne e-mail-adresse ikke været på listen, ville min SPF konfiguration sandsynligvis have indeholdt fejl den dag idag.

Det er på grund af folk som mig at store internetudbydere ikke tør benytte SPF til at filtrere mails. :-)

Men hvis vi nu antog at SPF blev indført globalt, og al ikke-SPF-verificeret mail blev smidt væk. Vi ved nu at vores spam kommer fra evil.example.com, og et hurtigt check afslører at dette domæne er amerikansk-ejet. Hvad nu? USA har sin CAN-SPAM lov, men hvor går du, som dansker, hen med din klage?

Hvad hvis domænet er kinesisk-ejet?

Det nytter ikke at blokke .cn-domæner, hvis afsenderen har et .com-domæne. Man kunne argumentere for at .com er underlagt amerikansk ret, og burde kunne lukkes, hvis brugen strider med CAN-SPAM, men domæners retsstillinger er en hel anden, og ganske betændt debat.

Se fx http://thespamdiaries.blogspot.com/2008/03/dont-register-or-host-your-do...

Det støreste problem er i virkeligheden at der mangler international lovgivining på området. Der er bl.a. stor uenighed om hvad spam er: Amerikansk ret tillader opt-out mailing-lister, dansk ret tillader kun opt-in.

  • 0
  • 0
Magnus Dreyer

Dødstraf er en udmærket ide. Men lad være med at straffe senderen. Straf de idioter som klikker på linksne, køber viagraen eller sender pengene til Nigeria. Så vil man hurtigt få fjernet kundegrundlaget for spam, og det vil forsvinde.

  • 0
  • 0
Jens Madsen

Hos mange udbydere (blandt andet TDC), kan opsættes sorteringsregler, således alt post, der ikke indeholder en speciel kode, går til spam.

Kun dem, der har koden, der skal angives i mail'en, kan komme i kontakt med en. Alt andet, slettes som spam.

  • 0
  • 0
Peter Makholm

De forskellige former for afsendertjek der er foreslået (SPF, DomainKeys, signature) kræver alle at vi har en god ide om hvad lovlige afsendere er.

At ophæve SPF til løsningen definerer lovlige afsendere som 'folk der har et domæne og adgang til DNS'. Den definition tror jeg ikke holder en meter, specielt ikke hvis trenden med at det bliver lettere at få adgang til domæner fortsætter. Spam med 'korrekte' afsender er lige så generende som spam med spoofede afsendere, hvis afsenderen reelt bare er et domæne.

En digital signering har samme problem, men flytter selvfølgelig problemet fra den eksisterende 'registrer et domænenavn' til en ny struktur. Enten vil udstedelsespolitikken være for begrænset så det bliver for besværligt at opfylde alle krav til flere identiteter eller også bliver det for løst og så er vi ingen vejne i forhold til DNS.

At nærlæse RFC 2821 og RFC 2822 vil ikke hjælpe en disse og en opdatering af SMTP vil hellerikke hjælpe meget. En stor del af den tekniske problematik vedrørende spam komemr sig nemlig af en grundlæggende designelement i SMTP: [b]Simple[/b] Mail Transfer Protocol.

Jeg tror ikke på modellerne med at lade det koste resurser at sende mail. De økonomiske modeller vil tage for meget bureaukrati, hvilket ikke er en løsning på noget som helst. Væk med de ideer.

Uddannelse af brugerne er en god ting. Dels mindsker det indtjeningsgrundlaget for spammerne og dels fjerner det resurserne fra de virkelige hårde spammere der anvender sig af botnets. Men ærlig talt, det er ikke en særlig original ide - har vi ikke netop skreget på fornuftige brugere i lange tider?

At stoppe den bagvedliggeende pengestrøm tror jeg ikke er let. Hvis det bare var noget man gjorde, hvorfor kontrolerer man så ikke narkopengestrømmene på samme måde (don't say it, det gør man allerede ...).

Jeg tror ikke at en bedre international lovgivning vil hjælpe meget. Den slags hjælper kun mod folk der i forvejen har besluttet sig for at spille gode. Men derudover kan jeg godt leve med et kompromis der baserer sig på opt-out, bare det er let at lave en generel opt-out.

At slukke for internettet er selvfølgelig en sikker løsning. Tillykke, I er lige så kloge som en 25 år gammel film-AI.

Jeg tror ikke på filtrering, men jeg tror endnu mindre på alle de andre muligheder. Mit bedste forslag er derfor at mail-udbyderne øger konkurrencen på at levere et spam-frit mailfeed. Som tillægsydelse kan man vælge mere og mere fascistoide løsninger med - men tilvalg tak!

Men men men, hvem gider at skifte email-adresse bare fordi en anden mail-udbyder yder en bedre produkt? Så vi skal øge portabiliteten af email-adresser. Man skal simpelthen kunen tage sin adresse og hele sin mailboks med sig når man skifter udbyder.

Teknisk umuligt og utopi, hører jeg? Nej, I skal bare læse 'domæne' istedet for email-adresse. Folk må lære at de skal have et personligt domæne, der kan flyttes og udbyderne skal ikke oprette brugere under deres egne domæner som gmail.com, hotmail.com eller mail.dk.

  • 0
  • 0
Jens Madsen

Jeg tror ikke på modellerne med at lade det koste resurser at sende mail. De økonomiske modeller vil tage for meget bureaukrati, hvilket ikke er en løsning på noget som helst. Væk med de ideer.

Hvis det koster at bruge computeren, til Internet, til mail, eller til andet, er der stor risiko for utilfredse kunder. Virus, vil kunne misbruge mailkontoen, til at udsende spam mails, og tilfældige uskyldige, kan komme til at betale million regninger, efter få minutter på en hurtig linie. Det vil kun motivere til, at spam spredes via inficerede PC'er, fremfor direkte fra en afsender. Og dermed, sendes de i uskyldige personers navn, som måske har fået virus på PC'en.

At tage penge for mails, er derfor en meget dårlig løsning, der kun fører til ændret metode, og langt større problemer, for de uskyldige der har fået virus. Hensigten, for virus, bliver måske at tømme modtagerens bankkonto.

  • 0
  • 0
John Anker Corneliussen

Dem der har en postfix stående og køre esmtp kunne jo for sjov skyld lige droppe en linie i deres mail log med reject_warning hvor man strammer policy op mod rfc 2821 handshake og prøve at kigge på sammenhængen. Der var - da jeg lavede øvelsen på vores front mailserver var der naturligvis en hel del mail fra kendte foretagender som vi ved en strict 2821 handshake ikke ville have fået - synd for dem der ikke kan sætte deres udgående trafik korrekt op - men det mønster jeg ser er at de der er interesseret i at have korrekt handshake naturligvis kan få det - når det bliver opdaget - har for eksempel set eksempler på handshake med interne servernavne osv.

Hvor om alting er at mængden af reject warnings ligger væsentligt meget højere på spam end på ønsket mail - og at al ønsket mail vil kunne komme igennem under antagelse af at ønsket mail afsendes via en korrekt 2821/821 snakkende host.

Men hvad så med mail fra en korrekt opsat backup-mx - det vil så kunne snige sig ind - hvorfor malformed connect check skulle propageres derud.

I forvejen er det ved at være standard med blokkeret udgående tcp:25 trafik, hvorfor brugere af outlook osv der ikke kan overholde rfc connect i princippet altid skal videre sende via en host der stoler på den pågældende connection.

Så her vindes ikke ret meget mod en automated anvandelse af en mailer på en arbejdsstation - selv ikke med autenticering og alt det fine.

Men mine observationer på maillog og reject warnings antyder at 80-90 procent af al det spam min virksomhed modtager ville kunne klippes af maileren før der overhovedet bliver brugt båndbredde på spam data - og således osse før der bliver brugt cpu cykler på spam detektering ved at kigge indhold i spamassassin, barracuda eller hvilken arkitektur man nu vælger til guidet væksmidning.

  • 0
  • 0
Peter Makholm

Jeg er helt bekendt med hvor meget mail man kan slippe for ved at droppe forbindelser der ikkeoverholder standarden. Men hvis nok gør som du foreslår er det bare et spørgsmål om tid før spammerne bundler en postfix med det resterende botnet-software.

For den enkelte vil det være en (midlertidig) løsning på spamproblematikken, men ikke for de fleste.

  • 0
  • 0
Peter Makholm

Jeg tror ikke at jeg overser noget. Hvis det bliver for let at lave formålsspeciikke adresser/identifikationer i forhold til afsenderidentifikation, så har vi intet vundet. Så kan vi ikke bruge denne identifikation til at afgøre om mail er legalt.

Formålsspecifikke adresser til at modtage mail på letter kun sorteringen, det fjerner ikke spam hvis man ønsker at alle skal kunne kontakte en uopfordret. I bedste fald bliver det bare en kamp mod adressehøsterne, med alle folks rigtige adressebøger som collateral damage.

  • 0
  • 0
Jesper Kleis

For mig at se - er hovedårsagen til spamproblemet, at man kan sende så godt som anonyme mails. Enten gennem hotmail, gmail eller sin egen mailserver.

Jeg så jeg gerne en ikke anonym statslig mailløsning på spamproblemet. Dvs. hver person i danmark+statslige enheder+virksomheder har et unikt navn - og beskeder samt navn er selvfølgelig er krypteret. Mail kan kun modtages hvis man er en del af dette netværk. Det kræver selvfølgelig også et internationalt samarbejde hvis metoden skal få success.

Hver mail adresse skal indeholde en grad af fleksibilitet, så f.eks en person har mulighed for at splitte sin mail op - f.eks. arbejdsmail, fritidsmail eller evt. en gruppemail for spamramte forældre.

Ovenstående giver så vidt jeg kan se en mulig løsning på spamproblemet - da ingen kan være anonyme og afsenderen altid kan findes. Med yderligere kryptering af indholdet, giver det også statslige institutioner, samt firmaer mulighed for sikkert at afsende almindelige breve til kunder/brugere, så man slipper for papirbrevene. Ja, eboks findes allerede, men den er ikke lige så tilgængelig som ens almindelige postkasse - de fleste ville jo heller ikke få sine rudekuverter hvis man skulle åbne en særskilt postkasse med en speciel nøgle for at finde dem.

Ja - ovenstående løsning vil næppe være gratis - men hvis den kan kobles sammen med den nye digitale signatur, så er der en chance for at begge bliver brugt og at den nye signatur ikke blot bliver noget man bander over når man skal finde den frem engang om måneden (det kan selvfølgelig gå hen og blive noget man bander over hver dag i stedet)

  • 0
  • 0
Maciej Szeliga

@Jacob

Det er derfor jeg skriver at protokollen skal omarbejdes, det er mailserverne som skal kontrollere om afsenderen findes i det domæne han sender fra og om serveren han sender fra rent faktisk er hans server. Det er to simple opslag som ville blokere ca. 70% af al spam men de kræver at det er indarbejdet i serverne, det er en simpel verificering af mail-headeren.

Krypteringen er blevet en nødvendighed men ja det er rigtigt at det er spammeren vil kunne køre SSL. og btw. ja jeg ved at der allerede nu findes en smtp over ssl.

  • 0
  • 0
Rasmus Schultz

Spam filtre, mikrobetaling, verificering, lovgivning og alle mulige andre kendte forslag til forbedring af email infrastrukturen, er lappeløsninger - vi har hørt om dem allesammen, og ingen af dem holder.

Problemet ligger i selve email systemets grundlæggende design - det er indrettet sådan, at omkostningerne for levering af post ligger hos brugerne, og/eller brugernes udbydere.

Der er brug for en helt ny arkitektur, der kan erstatte det eksisterende system, og reduktion af spam i sig selv, burde være nok til at overbevise brugerne om at skifte. Den nye arkitektur skal designes således, at omkostningerne for lagring eller afsendelse af spam, naturligt rammer afsenderne, ikke modtagerne.

Se f.eks. et gammelt kendt forslag til en ny arkitektur her:

http://en.wikipedia.org/wiki/Internet_Mail_2000

Systemet har nogen problemer, men faktisk ikke i nærheden af ligeså mange grundlæggende problemer som den eksisterende email infrastruktur...

  • 0
  • 0
Peter Makholm

Jeg tror ikke på IM2000.

Det er korrekt at den flytter lidt på resurseforbruget, men jeg tror ikek at det er nok til af afskrække spammerne. Jeg tror faktisk at de har rigeligt med internet-resurser.

Muligvis vil IM2000 fjerne en del af backscather-problematikken og gøre det "lettere" at identificere afsender i og med at man har en mere præcis angivelse af afsender-serveren.

Jeg tror ikke at denne 'afsenderidentifikation' er brugbar eller hjælper til af afskrække den hårde gruppe af spammere.

Men den helt store bonus ved IM2000 er at den for afsenderen har et indbygget tjek for om en adresse bliver brugt. IM2000 vil dermed helt gøre rådet om aldrig at besvare spammails eller klikke på links i spammail. Byrden med at opdrage brugerene bliver derfor en hel del lettere ved IM2000.

  • 0
  • 0
Martin Hoffmann

Jeg tror ikke der kan gøres meget andet end at forbedre spamfiltrene.
Hvis spam ikke kommer frem, så er der heller ikke nogen der kan falde for det og holde forretningen profitabel.
Jeg ved godt at det er lettere sagt end gjort, for det er jo ikke andet end et våbenkapløb mellem spammere og spamfightere.

Jeg læste for noget tid siden om en spamfighter metode, som jeg synes ser nærmest ufejlbarlig ud:
Opret to konti og brug dem af hjertens lyst. Tilmeld dem begge til de mest tvivlsomme hjemmesider man kan finde, og besvar så meget af spammailen som muligt fra begge adresser.
Den ene af adresserne er din primære adresse, som du giver til venner og forretningsforbindelser. Den anden er en spambank.
Sæt derefter et program til at sammenligne de to konti. Hvis der er dubletter, slettes mailen fra begge konti, så kun mails sendt alene til din primære konto, kommer igennem.

Er der nogen der kan se hvordan den kan fejle?

Min største drøm er dog stadig at tage orlov i seks måneder og så rejse rundt med en laptop og et boldtræ.
Det kunne være jeg skulle skrive til Stan Lee om det. Det er da et oplagt forslag til en superhelt! :)

  • 0
  • 0
Keld Simonsen

SPAM er da ikke noget problem længere, med mindre man bruger utidssvarende programmel. Hvis man fx har en postkasse hos gmail eller TDC får man så godt som aldrig spam.

Så for at forhindre spam kan man vel bare bruge de samme eller lignende løsninger som gmail, TDC m.fl.

En enklere løsning er blot at benytte de gratis email tjenester der findes som hos gmail, eller den tjeneste der evt. følger med hos ens internetudbyder.

  • 0
  • 0
Kjeld Flarup Christensen

Min mail går faktisk igennem TDC's mx-backup server og jeg har bemærket at der de sidste måneder er kommet væsentligt mindre spam i mit filter.

Ellers findes der den ultimative løsning. Sæt et filter op som kun accepterer mails fra kendte mail adresser. Ukendte får en mail med en webside hvor de kan sende en besked og derefter blive lukket ind.

  • 0
  • 0
Peter Makholm

Det du kalder den ultimative løsning går også under navnet TMDA, og netop challenge/response ideen er [b]meget[/b] kontroversiel. Basalt set flytter den problemet fra din mailbox til den hvis mailadresse er blevet misbrugt som afsender adresse. TMDA øger dermed backscather-problematikken.

Iøvrigt har jeg ingen moralske skrupler ved at trykke 'jada, selvfølgelig har jeg sendt en mail'. Hvis du vælger at eksportere problemet til mig, så må du acceptere at jeg sender det tilbage.

  • 0
  • 0
Thomas Riedel

Ide til Google/anden stor netaktør:
Sælg frimærker, - som digitale unika, der sikrer at afsenderen har ofret et frimærke på sin post.
Man kan så sætte en mingrænse for at modtage post, som er f.eks 0.1 eurocent eller mere eller mindre.
(Over en periode, selvfølgelig). Vigtig post kunne man sætte et 10 cent frimærke på etc.
Hvad skal Google/anden stor aktør så bruge alle de penge til, de får ind, - til at hjælpe 3. verdens lande med, selvfølgelig! Det skal være et nonprofit system, uden rabatordninger, storkundefordele eller lignende.
Private kan sende mails for måske 1-10 € om året, store virksomheder vil bruge større summer, men der vil være en reklameværdi i at frankere ordentligt, så man kan vise, at man tænker socialt.

  • 0
  • 0
Søren Løvborg
  • Identifikation af afsenderen (digital signatur, SPF, mv.)

Problemet er her, at spammere godt kan leve med at blive identificeret, sålænge det ikke har nogen yderligere konsekvenser.

  • Bedre lovgivning (dødsstraf, mv.)

Problemet er her, at lovgivningen skal gælde alle steder, hvor e-mail benyttes... det vil sige hele kloden. Umiddelbart kan jeg ikke tænke på en eneste international lov eller aftale, som gælder alle de lande, hvor der er internet.

International lovgivning af denne art må betegnes urealistisk.

  • Overvågning og kontrol (statskontrolleret e-mail)

Dette forslag er vel en kombination af afsender-identifikation og bedre lovgivning, og har de samme problemer. Iøvrigt synes jeg den danske (og nu også den svenske) stat snager rigeligt i mine e-mails i forvejen.

  • Mikrobetalinger

Det er endnu ikke lykkedes at indføre et rent dansk mikrobetalingssystem, på trods af ihærdige forsøg fra TDC og bankerne. At indføre et international mikrobetalingssystem er urealistisk, medmindre man vil acceptere central styring... men det strider mod grundtanken i både e-mail-systemet og internettet generelt.

  • Protokolændringer (IM2000, mv.)
    IM2000 er interessant af en række årsager, men vil ikke i sig selv løse spamproblemet.

  • Bedre filtrering (greylisting, krav til standardoverholdelse, mv.)

Det er så der, hvor vi er nu...

@Rasmus Kaae: "Brug f.eks. brevpost, telefax, telex eller måske endda telefonen."

Med brevpost reduceres mængden af spam pga. omkostningerne, men jeg modtager da stadig uønsket post i min postkasse (og det på trods af et fint "Reklamer, nej tak" skilt).

I USA døjer de mig bekendt med telefon-spam (på trods af "Do not call" registre mv.)

  • 0
  • 0
Michael Nielsen

Man kan se at mange ikke rigtig forstår hvad digitale signaturer er, og hvordan de kan bruges i Chains of Trust..

En digital signature, bøt være bekræftet af en CA, nøjagtigt som SSL certifikater på servere er, faktisk er SSL certikater på server ikke væsentlig forskellig fra en digital signatur. En usigneret certifikat, (hjemme strikket) bør aldrig give adgang, fordi den er ikke bekræftet.

Derfor får man et certifikat udstet af en CA (Certifying authority), og man kan få fat i blacklists fra den samme CA, som indikere certifikater som er misbrugt. En CA der ikke overholder reglerne og ofte tillader spammere, bliver selv blacklistet, og taber forretningen.

Certifikater kan bindes op imod kredit kort m.v.

Hvad en digital signatur i mail konteksten giver er at man kan bekræfte at den person der sender mailen er den som personen udgiver sig for (eller har det valide certifikat), altså kan en spammer ikke bruge min email addresse til at sende spam ud fra (ja jeg og mange andre har oplevet det).

SPF og Domain keys, bekræfter at post har været igennem den officielle post servere for domænet, og derfor ikke kommer fra et botnet, eller lign.

Så kombinere man domain Keys, og Digital signature i headere, vil man gøre det langt mere besværligt for en spammer at operer, fordi et digital signatur kan anmeldes som værdene spam afsender, og medføre en blokering inden for få minutter verden over.

Benytter man kun trusted CA'er, som kræver en engangs betaling for et certifikat, har man ret godt styr på hvem der sender hvad. Det er så individet's opgave at sikre deres signatur ikke bliver kompromiteret - best via krypto tokens.

Derfor ville der findes 2 måder at sikre sig mod spam..

  1. Kom mailen via en officiel mail gateway, som hører til domænet - altså verificeret af ISPen. (SPF/domain keys)

  2. Kom mailen fra den brugere der ejer email addressen. (Digital signatur)

Self kan spammere skifte kredikort konstant, når de køber certifikater, men det kan spores til en bank, og derefter evt. En person.

Det betyder også at anonyme emails nu er væk, som er en pris for at komme af med spam, men der er måder at kunne forsætte med anonymisering.

Desværre medfører det at alle skal købe sådan et certifikat, fra en CA, som koster nogle penge. Server certifikater er vanvittige dyre, så det skal helst laves billigt, få 100 dkr/5 år.

Evt. kan CA'er binde folk op på at hvis deres certifikat misbruges, skal de betale en væsentlig bod, men det er ofte problematisk.

Den eneste måde at sende spam ud på nu er at bruge en person's maskine, hvor der er fri adgang til den digitale signatur. Sidder den på et krypto token, er det ret svært at bruge certifikatet, fra en bot.

Så misbrug af email addresser, og botnet er pluslig blevet flere grader vanskligt..

Den nuværdene situation med SPF og domain keys, er at et botnet, kan sende ud valide spam mails fra hijacket maskiner, uden nogen form for specielt arbejde med at få adgang til krypto tokens. men da mailen kommer fra den rigtige maskine i det rigtige net, med den rigtige email addresse, virker alene brugen af domainkeys og SPF ikke.

  • 0
  • 0
Anonym

Siden ingen vil se logsik på spam problemet, så vil jeg da gerne byde ind igen.

årsagen til spam er at det er nemt for andre at sende mail til identificerede personer/adresser uden de kan beskytte sig - fordi enhver kan sende til mailadressen. Dictionary attacks er blot et subset heraf.

Peter siger så

Jeg tror ikke at jeg overser noget. Hvis det bliver for let at lave formålsspeciikke adresser/identifikationer i forhold til afsenderidentifikation, så har vi intet vundet. Så kan vi ikke bruge denne identifikation til at afgøre om mail er legalt.

Du skal ikke bruge addressen til at afgøre om mail er legalt. Det er noget af den sædvanlige overvågningshysteri. Der bør tværtimod ske en 100% dekobling af transportlaget og den logiske sikkerhed på det semantiske lag, f.eks. med signering.

Formålsspecifikke adresser til at modtage mail på letter kun sorteringen, det fjerner ikke spam hvis man ønsker at alle skal kunne kontakte en uopfordret.

Hvem siger man ønsker det? I hvert fald ikke på din reelle address. Du kan altid sætte en frontend op hertil.

I bedste fald bliver det bare en kamp mod adressehøsterne, med alle folks rigtige adressebøger som collateral damage.

Niks - fordi addressehøsterne kommer ingen vegne. De kan ikke bruge en addresse til noget.

  • 0
  • 0
Anonym

Virtualisering - ikke anonymisering fordi vi taler trustworthy for alle - bliver en helt uundgåelig del af fremtidige digitale sikkerhedsstrukturer selvom mange slet ikke har erkendt dette endnu.

I diskussionen af Spam skal man huske på at den lethed hvormed managers af email services går ind for - skal vi kalde det - overvågningsmodeller som løsningsmodel skyldes at de ikke selv mærker problemerne herved og måske endda ØNSKER at svække sikkerheden for at etablere mere kontrol.

F.eks. Spamfighter ØNSKER at komme ind i transaktionen fordi de dermed kan spamme modtagere om netop Spamfighter ;-)

Men der er langt tungere sikkerhedsspørgsmål involveret.

Sikring af specielt svage enheder såsom mennesker, hustande og ressource-constrained devices, men også selv store enheder mod DOSS-attacks, er reelt en guerilla-krig, dvs. de skal skjule angrebspunkterne - addresserne - ved at skifte disse.

Samtidig har man et enormt og hastigt stigende problem med sikkerhedsmodellerne i den digitale integrerede verden fordi perimetersikkerheden hastigt forsvinder uden sikkerhedsmodeller på plads til at tage pladsen.

For at løse BEGGE hensyn, dvs. bekæmpe spam og forbedre sikkerheden, er man nødt til at dekoble selve transportlaget fra den faktiske kommunikation (de oprindelige tanker i tcp/ip) og SAMTIDIG styrke den semantiske sikkerhed for endpoints i selve kommunikationen efter package in package princippet.

Semantisk sikkerhed kan først valideres på endpoint, dvs. IKKE hos ISP, fordi den selvfølgelig er end-to-end krypteret.

Det betyder eksplicit at du ikke må designe med eller forvente at man på envelope-niveau har eller kan få nogen viden om de faktiske endpoints.

Det rejser så spørgsmålene - hvad går vi så.

I princippet meget enkelt - vi isolerer den mulige viden til det mindst nødvendige for at løse det specifikke problem i det semantiske rum. For anti-spam skelner vi således mellem på forhånd white-listede formålsspecifikke addresser uden informations om endpoints og alle andre hvorunder håndtering af nye forbindelser er et særtilfælde.

Ja - det er ikke en hurtig nem løsning, men det er den eneste holdbare hvis anti-spam ikke skal undergrave sikkerheden ved intravenøs overvågning og åbne bagdøre til al kommunikation.

Sporbarhed og ansvarlighed i de tilfælde hvor f.eks. kriminelle kommunikerer indbyrdes er lidt mere problematisk. Dette kalder for semantiske sikkerhedsbehov på envelope-niveau, fordi det involverer "samfundets" interesser i privat kommunikation mellem 2 parter.

Og der begynder diskussionen at blive mere kompleks og ikke have noget som helst med spam at gøre.

Essensen er at man skal sikre at anti-spam ikke bliver intravenøs overvågning i infrastrukturen eller forudsætter skjulte bagdøre til at aflytte kommunikationen. Anti-spam leverandører og mailservices managers ser selvfølgelig ikke den slags fordi de antager at de er "trusted".

Dette er på ingen måde teori uden praktik - problemstillingerne er analoge med RFID, hvor RFIDsec (www.rfidsec.com) netop arbejder med sådanne principper indlejret i selve teknologien.

RFID har ikke engang spam-problemer - men uden sikkerhedsmekanismer indlejrer de address-targetting og intravenøs overvågning. SPAM er en følge af dårlige sikkerhedsdesign, ikke et problem som kan håndteres med mere end det som muliggør SPAM.

Problemet er at debatten her går kun på at ødelægge den opridnelige sunde struktur i den grundliggende arkitektur. Istedet for at addressere det semantiske lag.

  • 0
  • 0
Julie M. Callesen

Tak for jeres mange gode bud og den livlige debat.

Redaktionen har udvalgt Michael Nielsens indlæg "Digital signatur løsning" fra 3. juli 14:17 som det bedste og mest sammenhængende bud på en løsning.

Version2 kontakter Michael Nielsen, som har vundet et gavekort til Hjem-IS.

Næste runde af sommerkonkurrencen begynder på mandag, hvor du kan komme med dit bud på, hvordan vi undslipper det omsiggribende password-tyranni.

Mvh Julie M. Callesen, community builder, Version2

  • 0
  • 0
Log ind eller Opret konto for at kommentere