• ICRI: Interdisciplinary Centre for Law & ICT   (links)
• CRID
• cert.belnet.be
• NIST
• SANS
• Security Focus
• insecure.org
• Technical security information: books
• Belgian Privacy Commission

Spam

Description du problème

Le spam n'est pas toujours d'origine commercial; pour le ellections de 1999 en 2000 il y avaient aussi quelques politiques qui le faisaient.

Mesures de prévention à l'intention de l'utilisateur final

• Veillez à ce que votre adresse e-mail ne soit pas enregistrée dans des banques de données appartenant à des spammeurs. La base du spamming consiste dans le fait que le spammeur dispose d'une banque de données composée d'adresses e-mail. L'utilisation de différents services sur internet augmente le risque de se voir intégré dans une de ces banques de données. Vous aurez donc à décider pour vous-mêmes si oui ou non vous souhaitez utiliser certains services sur internet qui présentent le risque de vous enregistrer dans une banque de données appartenant à un spammeur.
  Quelques exemples de moyens qu'utilisent les spammeurs afin de construire une banque de données composée d'adresses e-mail:
  • Le scanning d'adresses e-mail dans le netnews (usenet) des groupes de nouvelles.
    Vous pouvez éventuellement modifier votre adresse e-mail au moment de l'envoyer à un groupe de nouvelles (p.e. en passant de avant.derrière@domaine.nom à avant.nospam.derrière@domaine.nom) de telle façon qu'on ne puisse pas déduire automatiquement votre adresse e-mail de la ligne From d'un article de presse.
  • De soi-disants services ou concours qui vous permettent de gagner ou recevoir certaines choses, et qui vous demandent de donner votre adresse e-mail ( le plus souvent en l'introduisant à l'aide de formulaires à remplir sur le net). Soyez donc sur vos gardes en ce qui concerne ce genre de services ou de concours; vérifiez s'ils sont bel et bien l'initiative d'une personne ou d'une entreprise digne de confiance.
    Comme exemple d'un tel 'service' il y a les cartes de voeux sur internet; de cette façon les entreprises de spamming s'emparent de 2 adresses e-mail à chaque voeux.
    La même vigilance est de mise pour ce qui est des services de pages blanches; ces services essayent de construire un répertoire mondial d'adresses e-mail ( la plupart des services de pages blanches sont honnêtes, ce qui n'exclut pas la possibilitée qu'un des employées de cette entreprise qui serve les bases de données va en abuser).
  • Le scanning d'adresses e-mail des membres dans des listes de diffusion: des listes qui se trouvent sur des gestionnaires de listes de diffusion bien gérées peuvent être protégées de telle manière que la liste des membres puisse exclusivement être interrogée par le propriétaire de cette liste, ou par les membres de la liste.
  • Des robots du Net qui scannent les liens mailto venant de documents html.
  • ... tout service auquel vous avez donné votre adresse e-mail.
• L'emploi de filtres: certains programmes e-mail permettent de bloquer le passage d'un mail ou de le détruire immédiatement. Ceci peut se produire au niveau de l'utilisateur (mail reader=mail user agent) ou au niveau du mailer (mail transfer agent).

  Ces filtres ne peuvent pas protéger contre tous les spams; ils ne filtrent qu'une partie des spams. Le problème des filtres peut aussi se poser au niveau du filtrage de mails 'normaux', vu qu'il n'y a aucun mécanisme exact qui permette de déterminer ce qu'est précisément un spam et ce qui ne l'est pas.

• Prenez eventuellement un adresse e-mail chez un des plusieurs furnisseurs d'e-mail gratuit et utilisez-le sur des places soupçonnables. Lorsque vous y recevez trop de spams, abandonnez-le et prenez un nouvel.

Solutions à l'intention de l'utilisateur final

Dans le cas où le spam contiendrait des instructions permettant de ne plus recevoir ce genre de mails à l'avenir, il vaut mieux ne pas les suivre. Très peu de spammeurs sont sérieux sur ce point, il ne s'agit bien souvent que de simples ruses pour obtenir de nouvelles adresses e-mail.

Mesures de prévention à l'intention de l'administrateur

• abus comme spam relay: les spammeurs tentent le plus souvent de se cacher, ou ils essayent d'éviter les filtres de spam. Une technique fort utilisée est le relay d'e-mail: lorsque A (spammeur) envoie un message à B (destinataire du spam) ce mail sera transmis via C (relay) de sorte que dans B le mail semble venir de C. Quand, dans B, une personne ne connaissant pas bien le fonctionnement des mailers, examine le message spam, elle pourrait déduire, à tort, que ce message spam vient de C. C recevra par la suite un certain nombre de plaintes, en partie non fondées, ou il pourrait même se retrouver dans les filtres spam ce qui fait que les mails de C pour le monde extérieur seront bloqués.

  En tant qu'administrateur d'un mailer, et en tant qu'administrateur d'un nom de domaine, vous devez prendre des dispositions afin de ne pas être utilisé comme spam-relay. Des dispositions contre le spam-relay sont le plus souvent basées sur quelques simples règles: si M est le mailer pour le domaine domaine.be, M n'acceptera par exemple pas de mail venant de l'extérieur du domaine domaine.be, et qui a comme destinataire une adresse à l'extérieur du domaine domaine.be.
  Il existent des services sur internet qui parcourent régulièrement tous les mailers, et qui examinent si le mailer permet le mail relay. Les mailers qui permettent le relay sont regroupés dans une banque de données, et cette banque de données est mise à la disposition de sites qui désirent filtrer ceux-ci. Si votre mailer est donc exposé au mail relay, le mail de votre domaine peut être bloqué dans certains sites, même si votre mailer n'a jamais été utilisé comme relay.
  ORBL (Open Relay Black List) est un service connu. Si vous désirez utiliser ces services pour filtrer des messages, vous devez tenir compte du fait qu'en faisant cela vous filtrez aussi des sites n'ayant pas de mauvaises intentions, mais qui pour l'une ou l'autre raison, technique ou pas (p.e. un manque de personnel bien informé), permettent le mail relay.

  Via le Net vous pouvez faire tester un mailer pour voir s'il peut être utilisé comme mail relay:http://www.abuse.net/relay.html

  Des versions récentes de mailers sont normalement pourvues de dispositifs anti-relay; mais si le cas se présentait d'avoir un mailer n'ayant pas ces dispositions, et que pour des raisons pratiques ce mailer ne peut pas être remplacé, on peut entreprendre les démarches suivantes:

  1. Mettez dans DNS un MX record à haute priorité (= numéro bas) qui renvoie à votre mailer. p.e.xyz.domaine.be MX 10 badmailer.domaine.be. Prévoyez un ou plusieurs mailers qui sont pourvus de dispositifs anti-relay ayant des numéros MX plus élevés, p.e. xyz.domaine.be MX 20 goodmailer.domaine.be.
  2. Dans le routeur ou le garde-barrière entre votre mailer et le monde extérieur, faites bloquer IP trafic vers la porte 25 de badmailer.domaine.be; de cette façon le mail peut arriver sur le mailer sans dispositifs anti-relay, ceci en faisant un détour par le mailer avec des dispositifs anti-relay.
• Des adresses e-mail locales font l'objet d'abus de la part des spammeurs: un spammeur tente généralement de cacher son identité;parfois il le fait en falsifiant la ligne From par une adresse, existante ou pas, de votre nom de domaine. Cette adresse e-mail recevra une grande quantité de courrier, et des administrateurs peu attentifs commenceront à filtrer par accident les messages venant de votre domaine. Techniquement vous ne pouvez rien faire contre ce genre de pratiques, vu que ces mails n'ont pas été envoyés par vos mailers.
• Vous pouvez prendre des dispositions; afin que vos utilisateurs reçoivent moins de spam, utilisez des filtres spam. Ces filtres peuvent être créés au niveau de l'utilisateur, ou au niveau du mailer. Le filtrage au niveau de l'utilisateur présente les inconvénients suivants:
  • Le mail a déjà pénétré votre domaine local ou système d'ordinateur; si le filtre renvoie un mail à une adresse falsifiée, ce mail peut se retrouver dans une boucle et ainsi surcharger le système.
  • Les utilisateurs doivent chacun séparément faire intervenir leurs filtres, ce qui est une tâche difficile pour un utilisateur final habituel.
  • Schaalbaarheid.
  Au niveau du mailer vous pouvez faire intervenir différents filtres, en fonction du mailer:
  • Refusez des messages venant de domaines qui ne se trouvent pas dans le serveur de noms. Le filtrage de ces messages ne pose pas de problèmes puisque une réponse à ces messages n'arrivera quand même pas à la destination.
  • Utilisez sur internet des listes de domaines disponibles et/ou des adresses IP desquels vous ne souhaitez pas recevoir de messages. Un exemple connu est http://mail-abuse.org/rbl/usage.html. Ce système distribue (via le serveur de noms d'internet) une liste d'adresses IP depuis lesquelles on avait envoyé des messages spam dans le passé. L'inconvénient de ce système est qu'on suit une procédure très longue et stricte avant qu'un spammeur entre dans cette liste; certains spammeurs évitent ceci par le changement régulier d'adresse IP et de nom de domaine.
  • Utilisez vos propres filtres. Le filtrage peut être basé sur le nom de domaine ou sur l'adresse IP de l'ordinateur depuis lequel le message est envoyé; le filtrage peut être basé sur l'enveloppe MAIL FROM et les adresses RCPT TO; parfois les filtres peuvent s'appuyer sur le contenu du message ( header From, sujet, éventuellement le contenu du mail,...). Le problème que posent les filtres est que ou bien les règles ne sont pas assez sévères et que par conséquent encore trop de spam passe, ou bien que vous durcissez trop les règles ce qui fait qu'aussi des utilisateurs 'normaux' seront filtrés.
    Ce qui pose des problèmes, ce sont par exemple les divers services qui vous proposent une adresse e-mail gratuite et anonyme; ces services font souvent l'objet d'abus de la part des spammeurs, mais le filtrage de tels sites a pour conséquence le filtrage d'utilisateurs de messagerie normaux.
    La forme la plus poussée de filtrage est de refuser tous les messages, sauf ceux venant de quelques adresses que vous aurez explicitement définies auparavant.
• Utilisez un mailer avec des fichiers log de bonne qualité, qui place de l'information suffisante dans les lignes Received. Des mailers plus datés mettent uniquement le nom de serveur qui arrive dans la ligne Received via l'initialisation SMTP(HELO). Ce nom de serveur peut facilement être falsifié. Afin d'obtenir de l'information correcte dans les lignes Received, des mailers modernes placent également l'adresse IP du site qui garantit la communication dans la ligne Received, avec le nom de domaine qui est relié à cette adresse IP( via reverse DNS lookup). De cette façon on obtient dans la plupart des cas des informations suffisantes pour découvrir à partir de quell site un spam a été envoyé.
  Comme il est également possible en tant que spammeur de falsifier le mappage (mapping) de l'adresse IP vers le nom de domaine, il est parfois indiqué, en tant que contrôle supplémentaire, d'encore remapper aussi le nom de domaine vers l'adresse IP, pour voir si ça correspond. Ceci ne se fait pas à l'aide de mailers, mais est indiqué quand on rassemble des pièces à conviction dans le cas où on porterait plainte contre le spammeur.
• En tant qu'administrateur de listes de diffusion il vaut mieux prendre ses précautions contre l'abus d'une liste de diffusion.
  • Faites en sorte que la liste des membres sur les listes de diffusion ne puisse pas être consultée par des personnes externes. Pour de grandes listes, faites en sorte que personne (excepté le propriétaire de la liste) ne puisse consulter la liste des membres. Pour de petites listes vous pouvez éventuellement autoriser que les membres de la liste seulement peuvent voir qui est inscrit sur la liste de diffusion.
  • Protégez la liste, afin que des personnes externes ne puissent pas gratuitement envoyer des messages vers la liste. Le spam envoyé par voie d'une liste de diffusion atteint tous les membres de la liste.
  • Prévenez qu'une personne externe puisse inscrire une autre personne sur la liste.
  • Aussi bien le serveur de listes(listserv) que majordomo peuvent être configurés à souhait.
• En tant qu'administrateur d'un répertoire (directory ou dispositif servant à rechercher des adresses e-mail), il vaut mieux prendre les mesures suivantes:
  • Faites en sorte qu'on ne puisse pas copier facilement un répertoire entier, p.e. en prévoyant au cours de missions de recherche à l'aide de caractères génériques une restriction sur le nombre d'articles (records) montrés, et en exigeant au moins un nombre de caractères génériques dans une interrogation (query).
  • Gardez un fichier qui mentionne qui a recherché quoi.
  • Des répertoires conçus eux-mêmes sur le Net sont plus difficiles à copier que des répertoires standards tels que LDAP, whois, CSO,...; dans le premier cas, en effet, il faut élaborer par répertoire un programme de copiage différent.
• Des remarques concernant le spam sont le plus souvent envoyées à une adresse e-mail abuse@votre.domaine.nom; faites en sorte que cette adresse e-mail soit accessible pour votre nom de domaine.

Empêcher que des utilisateurs locaux envoient des spams

Partie juridique sur le spam

Références

• http://www.euro.cauce.org/ European CAUCE
• Stopping Spam
• http://www.econ.ucl.ac.be/Dupriez/courriernonsollicite.html Courrier électronique non sollicité
• http://www.imaginet.fr/ime/spam.htm La lutte anti-spam
• http://www.politik-digital.de/spam/en/ Gestion
• http://www.mids.org/nospam/
• http://www.suespammers.org/
• http://www.cauce.org/ Coaltion Against Unsolicited Commercial E-mail
• http://www.orbl.org/ (Open Relay Black List)
• http://www.junkemail.org/
• http://www.sendmail.org/antispam.html/ regles anti-spam du logiciel sendmail
• http://mail-abuse.org
• http://www.spamkiller.com/ SpamKiller, logiciel qui efface les spam au niveau de l'utilisateur
• http://www.spam.com
• http://www.brightlight.com/ Calcul du cout de spam
• http://www.msg.net/nospam/
• http://www.abuse.net/
• http://www.cypango.net/~spam/ Combattez le Spamming sur Internet
• Mailinglist anti-spam-wg@ripe.net (inscription via majordomo@ripe.net)
• RFC 2635: A Set of Guidelines for Mass Unsolicited Mailings and Postings (spam*)
• IMC (Internet Mail Consortium) spam information
• Oostenrijkse anti-spam voorstel van wet (commercial or bulk e-mail will require opt-in, with fines of up to 500000 ATS (approx. 36300 EUR) for UCE/UBE)
• Virginia anti-spam law
• How to complain against spam?
• https://www.ftc.gov/ftc/complaint.htm
• uce@ftc.gov E-mail address
• http://www.cdt.org/spam/ Federal Trade Commission (USA) Report on UCE
• http://www.junkemail.org/lawsuits/ Précédents juridiques
• petemoss list of spam complaint addresses
• www.bdma.be Belgisch Direct Marketing Verbond (pas d'information sur le spam disponnible en ce moment)
• www.fedma.org (Federation of European Direct Marketing)
• http://www.politik-digital.de/spam/ Vote against SPAM
• http://spam.abuse.net/ Fight Spam on the Internet!
• http://combat.uxn.com/ UXN spam combat
• http://www.elsop.com/wrc/nospam.htm Spam: How to Fight it - Elsop's Anti-Spam Page
• Search for new pages (max 3 months old) about this subject with google!

Livres

• Search for books on this subject at Amazon.com

The PISA-project is financed by the OSTC, Belgian Federal Office for Scientific, Technical and Cultural Affairs (DWTC - SSTC). Project description of PISA

URL: http://pisa.belnet.be/pisa/pisa.htm