Спам-2004: Внедрение стандартов аутентификации пользователя

В 2004 году началось широкое продвижение и внедрение стандартов верификации отправителя письма. Аутентификация отправителя как средство борьбы со спамом предполагает проверку соответствия того домена, который "заявлен" в заголовках сообщения, и реального физического IP-адреса отправителя.

Что же это – готовая панацея от спама или очередная ложная надежда?

Стандарты SPF/Sender ID от Microsoft

Наибольшую известность получили технологии SPF (Sender Policy Framework, разработчик pobox.com), Caller ID (Microsoft) и Sender ID (объединение SPF и Caller ID), продвигаемые альянсом, в котором главную роль играет корпорация Microsoft.

В течение весны-лета 2004 года многие публичные почтовые сервисы, провайдеры доступа (ISP), производители программного обеспечения объявляли о поддержке SPF (а затем – Caller ID), причем основная направленность этих объявлений была примерно такой: "ну вот теперь мы быстро покончим со спамом".

Действительность оказалась куда сложнее. В конце лета – начале осени произошло сразу несколько событий:

проект стандарта Sender ID был отклонен IETF;
рабочая группа MARID, разрабатывавшая стандарт Sender ID, была распущена как не сумевшая достичь цели (существенный вклад в то, что члены рабочей группы переругались и не смогли продуктивно работать, внес Ричард Столлмен – идеолог открытого программного обеспечения, поднявший шум по поводу частных технологий Microsoft внутри предлагаемого стандарта);
о неподдержке Sender ID объявили крупные разработчики открытого ПО (самого популярного в мире веб-сервера Apache и популярного дистрибутива Linux – Debian Linux);
выяснилось, что спамеры осваивают новые технологии куда быстрее, чем "обычные" системные администраторы, и им ничего не стоит поддержать SPF/Sender ID в своих рассылках. В результате, согласно отчету CipherTrust, осенью 2004 года спам-сообщение имело втрое большие шансы быть пропущенным "чистым" SPF-фильтром, чем обычная почта.

Другими словами, активность вокруг SPF оказалась скорее PR-технологиями: первые компании, объявившие о поддержке, надеялись, вероятно, на PR-машину Microsoft, а остальным компаниям не оставалось ничего, кроме как соответствовать правилам, вроде бы складывающимся в индустрии.

До сих пор не решенная проблема с пересылкой почты также не улучшает ситуацию с распространением данного стандарта. В то же время, по нашим данным, в последние месяцы 2004 года стандарт SPF был поддержан примерно 10-12% отправителей.

Стандарт DomainKeys от Yahoo

Отдельно следует остановиться на альтернативной технологии Yahoo DomainKeys (разработчик – yahoo.com). Эта технология основана на электронной подписи всего сообщения (текста и заголовков) и лишена ряда недостатков SPF, в частности, пересылки (forward) почты не нарушают валидности письма.

Первым из крупных игроков рынка эту технологию внедрил Google (на почте Gmail), в настоящее время тестовая эксплуатация происходит на Yahoo, о тестировании технологии объявил Earthlink.

Как и в случае SPF, спамерам не составит большой проблемы подписывать свои сообщения.

В ближайшее время ожидать какого-либо значимого эффекта от подключения подобных технологий не следует, потому что потребуется их массовое внедрение, причем с перенастройкой или переустановкой программного обеспечения (почтовых серверов), что не очень реально.

По материалам аналитического отчета "СПАМ-2004" ЗАО "Ашманов и Партнеры".