Yahoo wil technologie wijzigen om spam te voorkomen

Yahoo wil een nieuwe verificatietechniek gaan toepassen bij e-mail om zo de verspreiding van spam tegen te gaan. Reuters schrijft dat het bedrijf volgend jaar zijn Domain Keys software gratis gaat verstrekken aan ontwikkelaars en inzet op een grootschalige acceptatie. Met de techniek kan een ontvangend systeem controleren of een bericht daadwerkelijk van het domein afkomstig is dat bij de afzender hoort. Een groot probleem met spam is nu dat de afzender vaak vals is en moeilijk te achterhalen, waardoor de bestrijding lastig wordt.

De verificatie is gebaseerd op cryptografie. Mailberichten worden digitaal ondertekend met behulp van een private key die hoort bij het domein van de afzender. Het ontvangende systeem controleert met de public key van het domein de echtheid van het bericht. Yahoo zegt dat het systeem alleen kan slagen wanneer het op grote schaal wordt toegepast. Het is nog maar de vraag of dit ook gebeurt, omdat voor veel organisaties het nut van het systeem niet duidelijk is.

Reacties (21)

[drm]

Ik vraag me af hoe dit gaat werken als ik een andere SMTP server gebruik dan het maildomein waarmee ik mail. Hier thuis bijvoorbeeld, gebruik ik voor alle mail gewoon de smtp server van xs4all. En ik heb toch wel wat meer adresjes dan alleen maar m'n xs4all adres. Hoe moet dat opgelost gaan worden? Wordt het dan verplicht om te mailen via je eigen domein? Dat zou ik een behoorlijke opgave vinden, er zijn tenslotte een hoop hostingbedrijven die de SMTP zoveel mogelijk bij de providers van de gebruikers legt...

Desalniettemin zou ik (ook op mijn werk) graag meewerken aan zo'n initiatief, ik vind het in het geheel niet slecht bedacht

[Change]

Precies, het moet niet zo zijn dat je alleen nog maar het e-mail adres kan gebruiken met hetzelfde domein als je SMTP adres.

Was het niet zo dat er ook ISP's zijn, waar je niet eens externe SMTP servers mag (kan) gebruiken? Dan ben je helemaal genaaid als je meerdere domeinen hebt...

[Roelant]

Yahoo heeft door dat SMTP (Wat natuurlijk niet voor iets "Simple Mail Transferr Protocoll" heet) door zijn eenvoud erg makkelijk te misbruiken is. Het hele systeem vertrouwt erop dat controle plaatsvindt bij de eerste SMTP server die het bericht aanneemt, vanaf daar vindt verder geen controle meer plaats op de geldigheid van de afzender. Als die eerste server niet te vertrouwen is (bijvoorbeeld omdat het een Open Relay-server is) kun je achteraf met blacklists en spamfilters nog wel het een en ander rechttrekken, maar dat is dweilen met de kraan open.

Er zal dus vroeg of laat een nieuwe technologie moeten komen die wereldwijd wordt geaccepteerd en doorgevoerd, om het spam-probleem te bestrijden. Die technologie zal gelden als vervanger of aanvulling op SMTP. En ik zeg niet dat dit dé oplossing is, maar ze leggen bij Yahoo in ieder geval de vinger op de zere plek. En in dat opzicht is dit zeker een stap in de goede richting.

Als je de gedachte achter het systeem van Yahoo algemener bekijkt dan domeinbreed, willen ze eigenlijk van het huidige blacklist systeem naar een soort whitelist toe, zonder daadwerkelijk voor iedere server een whitelist-entry bij te hoeven houden. Achilleshiel van de techniek zoals Yahoo hanteert is natuurlijk dat ook spammers een eigen domein hebben, en de mail dan dus valid kan zijn, ookal is die ongewenst. Natuurlijk is de spammer daarmee al beter te achterhalen, omdat je zeker weet dat de afzender en het domein kloppen, maar zolang er nog voldoende domeinnamen zijn geregistreerd (en geregistreerd kunnen worden) met malafide gegevens, verplaats je het probleem alleen maar.

Een whitelist idee is wel een interessante gedachte. Dan ga je dus controleren of een SMTP-server betrouwbaar is, waarbij je niet de onbetrouwbare server registreert, maar de betrouwbare. Dat is alleen wel ontzettend arbeidsintensief (veel administratie), maar iets dergelijks zou je dan kunnen decentraliseren. Demon doet dat bijvoorbeeld voor abonnees die er prijs op stellen zelf een SMTP-server te draaien.

Maargoed, zolang er providers zijn die abuse nog niet serieus nemen, en daarvan zijn er helaas nog genoeg, zal dit een oplosbaar probleem blijven. Zowel vanuit de huidige situatie (dat providers niet fatsoenlijk meewerken bij het achterhalen van een abuser, slecht of niet reageren, en abuse nauwelijks tegengaan tenzij het ze zelf geld kost of een rechtzaak op zou kunnen leveren) als vanuit een nieuwe situatie waarbij het wenselijk zou zijn het een en ander te decentraliseren.

Misschien is een centrale whitelist (met een zelfde vertakking als DNS-servers vanaf de root-servers) dan toch een van de weinige "waterdichte" oplossingen.

[Aetje]

Achilleshiel van de techniek zoals Yahoo hanteert is natuurlijk dat ook spammers een eigen domein hebben, en de mail dan dus valid kan zijn, ookal is die ongewenst. Natuurlijk is de spammer daarmee al beter te achterhalen, omdat je zeker weet dat de afzender en het domein kloppen, maar zolang er nog voldoende domeinnamen zijn geregistreerd (en geregistreerd kunnen worden) met malafide gegevens, verplaats je het probleem alleen maar.

Maar van die domeinen is snel bekend dat het spammers zijn. Een blacklist zoals huidige spamblockers hebben, bied daar uitkomst.

[memphis]

Is nieuw technologie nodig

Zolang er open relay servers bestaan is er een mogelijkheid voor spammer om zijn mail massaal te verzenden.

Misschien moet er net als bij Hotmail een verplichte zendlimiet per mailbox komen en open relay verbieden.

[Molybdenum]

hoe zit dan dan met mailforwarding? mijn mail wordt via demon (mn provider) verstuurd, maar binnenkomende mail gaat via mn adres bij een eigen domein en die forward het naar demon.

[Roland684]

Het stomme is dat mail verzenden en ontvangen twee afzonderlijke processen zijn, net als bij gewone post.
Bij gewone post kan je ook iedere gewenste afzender vermelden, maar dat betekent niet dat de afzender niet juist is als je het bericht toevallig vanaf een ander adres verstuurd.

Als iemand vanaf zijn werk/opleiding een prive-mail stuurt (met als afzender het prive adres) dan zou dat dus aangemerkt gaan worden als spam?
Dat zou net zo krom zijn als dat KPN-post gaat verplichten dat je je post in de dichstbijzijnde rode brievenbus stopt.

[Olaf van der Spek]

Je zou natuurlijk de mail kunnen versturen via de mailserver die je normaal voor prive-mail gebruikt.

[Roland684]

Nee, dat kan niet, want die relayen niet ivm spam.

[Verwijderd]

Mooi dat ze er iets aan gaan doen, want ik heb één gratis webbased mail account (mail.com), waar vreselijk veel spam binnenkomt, 90% hiervan komt via Yahoo, niet via Hotmail zoals je zou verwachten.

[FlotterPower]

Klopt Memphis,
als bedrijven als hotmail.com, mail.com ea. simpelweg een mailliemiet in zouden stellen zou er ws. veel spam afnemen.
Mensen met een email adres van hun provider zijn lang niet zo gek om daar vandaan te spammen, immers een mailtje naar de abuse afdeling van de provider is genoeg om de spammer te laten stoppen.


Máár toch zie ik dit niet gebeuren.
Hotmail is zo commercieel als wat en ze zullen pakketjes aanbieden, zoals ze dat nu ook al doen met extra opslagruimte. Pakketjes die je toestaat meer mailtjes te verzenden, of het limiet zelfs helemaal weghalen.

Blacklists zullen imo ook niet werken aangezien er steeds wel weer nieuwe servers komen, al dan niet vol met pop-ups.

Al met al lijkt het mij een goed initiatief, immers, teveel research bestaat niet

[Roland684]

Een heel bijzonder systeem dat niet gaat werken..
Zowiezo zit er een foutje in het verhaal, private keys houd je private en ga je dus nooit meesturen, ook niet encrypted, maar laat ik dat maar even houden op een typfout.
Het vereist dat iedereen een andere mailserver gaat gebruiken, nl eentje die in de mailheaders op een waterdichte manier opneemt wie hij (de server) zelf is. De ontvangende server kan dan in de database van yahoo nakijken of de verzendende server ook echt is wie hij zegt te zijn.

Maar als die header ontbreekt dan zal de mail ook geaccepteerd moeten worden, dus het systeem is alleen waterdicht als iedereen mee doet.
Yahoo beweert wel dat als er maar een paar providers mee doen er iig iets is verbeterd, maar dat is erg flauw, als 10% van de servers die software gaat draaien, dan komt 10% van de spam niet meer aan bij 10% van de ontvangers, een verbetering van slechts 1%.

En denkt iemand serieus dat een spammer die software zal installeren op zijn server? Nee, en dus wordt die spam niet geblocked. Ik denk dat er meer mail ten onrechte door geblocked zal worden dan dat het spam stopt.

[miw]

Een heel bijzonder systeem dat niet gaat werken.

Nou dat is wel tamelijk sterk geformuleerd. Het kan namelijk wel degelijk. Het Yahoo voorstel wil een email van een certificaat kan voorzien waaraan je kan zien dat het van een deelnemende partij is (die dus ergens bekend is). Voor de ontvanger betekend dat een mogelijkheid om alleen maar dergelijke gecertificeerde emails te ontvangen. Alle andere emails krijgen een mededeling dat dit emailaccount alleen fatsoenlijk gecertificeerde emails accepteerd. De spam lui moeten dan op een of andere manier een certificaat zien te verwerven. En zodra ze die misbruiken kan je een rechtzaak aanspannen en het certificaat intrekken, zodat emails met een dergelijk certificaat dezelfde status krijgen als niet gecertificeerde emails. Simpel en effectief, mits je voldoende partijen mee weet te krijgen.

[Roland684]

Ga je gang, maar dat betekent dat je vanaf morgen alleen nog maar mail kunt ontvangen vanaf je eigen provider.
Voordat je mail kunt gaan weigeren zal elke server ter wereld die software moeten draaien. En ik denk dat er heel wat landen zijn die niets zien in een systeem dat Amerika de macht geeft wereldwijd te beslissen over e-mail.

[miw]

Het betekend hooguit dat je een (extra) account kan opzetten, waar spam echt aangepakt wordt. Inderdaad betekend dat ook dat niet iedereen je mail kan sturen naar dat adres. Het betekend ook dat je dat adres gewoon kan publiceren, want spam komt er toch niet binnen. Je kan natuurlijk een aantal mailadressen tegelijk aanhouden, zodat dje niet cold turkey over moet.
Trouwens, de controle hoeft natuurlijk niet centraal te liggen. Je kan meerdere instanties hebben die dit soort certificaten afgeven. Trouwens, er zijn genoeg integere instanties in de VS.

[Verwijderd]

Natuurlijk zijn de spammers de hoofdschuldigen en natuurlijk zou het fijn zijn als er ooit een uitvoerbare technische oplossing komt voor spam. Maar ik wil graag aandacht voor een andere groep idi*t*n die net zo schuldig zijn aan de verspreiding van spam. Dat zijn namelijk de o.n.b.e.n.u.l.l.e.n die reageren op spam en iets kopen bij een spammer. Als de response op spam gewoon 0,0000000000 % zou zijn, was het snel over. Maar nee hoor, er bestaan blijkbaar echt idioten die hun creditcardnummer geven aan een vaag bedrijf dat p***svergrotende pilletjes verkoopt!!. Daar wordt ik nou gefrustreerd van. Van dat er echt zulke domme mensen bestaan. De enige wetgeving die helpt tegen spam, is volgens mij om spammers te verplichten alleen dodelijk giftige pillen te verkopen. Dat ruimt lekker op.

[Verwijderd]

Gepost door SlimNewRatSkin - zondag 7 december 2003 - 09:28 - Score: 2 (Behulpzaam)

Natuurlijk zijn de spammers de hoofdschuldigen en natuurlijk zou het fijn zijn als er ooit een uitvoerbare technische oplossing komt voor spam. Maar ik wil graag aandacht voor een andere groep idi*t*n die net zo schuldig zijn aan de verspreiding van spam. Dat zijn namelijk de o.n.b.e.n.u.l.l.e.n die reageren op spam en iets kopen bij een spammer. Als de response op spam gewoon 0,0000000000 % zou zijn, was het snel over. Maar nee hoor, er bestaan blijkbaar echt idioten die hun creditcardnummer geven aan een vaag bedrijf dat p***svergrotende pilletjes verkoopt!!. Daar wordt ik nou gefrustreerd van. Van dat er echt zulke domme mensen bestaan. De enige wetgeving die helpt tegen spam, is volgens mij om spammers te verplichten alleen dodelijk giftige pillen te verkopen. Dat ruimt lekker op.

op zich heb je wel een punt hier in, maar ik vind het wel erg dat er mensen zijn die de onderste regel behulpzaam (moderatie) vinden

[arjenk|IA]

Het is hoog tijd dat er iets aan spam gedaan gaat worden. Goed initiatief!

[Tranquility]

Zoals eerder gezegd, het enige dat echt helpt is het aktief bestrijden van open relays en het verplichten van providers door alleen eigen klanten/abbonee's van hun mailserver gebruik te laten maken. Een ook het instellen van een soort "rem" op het achter elkaar versturen van mail kan een idee zijn. Zo zou de mailserver bijvoorbeeld ingesteld kunnen worden dat er niet meer dan vijf mailtjes per keer (in een tijdsbestek van zeg eens 10 minuten) verzonden kunnen worden per gebruiker. Zo heeft het voor bulkmailers (lees spammers) weinig zin meer.