Аутентификация плюс репутация

Сегодня любой интернет-умелец может посылать письма от имени любого пользователя. Проблема в том, что SMTP-протокол, разработанный для доставки электронных писем от сервера к серверу, изначально был системой, основанной на доверии. Однако спам и фишинг доверие к электронной почте серьезно подорвали.

В течение года посвященные члены интернет-сообщества активно обсуждали различные системы аутентификации, но окончательное решение, какую из них выбрать в качестве стандарта, так и не было принято. В конечном итоге к финишу пришли две технологии: Sender ID Framework (SIDF), объединившая Caller ID Microsoft и SPF Мена Вонга, и технология DomainKeys Identified Mail (DKIM). Последняя является плодом совместной работы Yahoo и Cisco.

Sender ID основана на проверке IP-адреса, DKIM предполагает наличие цифровых подписей в отправляемых сообщениях и их проверку получающей стороной. Многие эксперты считают DKIM более перспективным решением, однако его внедрение потребует времени.

Как бы то ни было, все сходятся на том, что стандарт аутентификации необходим. 35 компаний подписали письмо FTC, в котором настаивали на том, чтобы аутентификация вводилась в два этапа. Сначала (сейчас) Sender ID, потом DKIM. Обе технологии комплементарны и могут использоваться повсеместно. Sender ID и DomainKeys уже поддерживаются многими почтовыми серверами. (Yahoo использует DomainKeys на собственных серверах и, по информации компании, получает в день более 350 миллионов писем с подписями DomainKeys, так что поддерживает DomainKeys не только Yahoo.)

К несчастью, технологии аутентификации быстро осваивают и спамеры. Хотя эту новость можно рассматривать не только как плохую, потому как спамеров, использующих технологии аутентификации, будет легче выследить и привлечь к ответу, подав иск в суд, или хотя бы просто прикрыть их лавочку.

Однако, независимо от того, какая из технологий выиграет войну за SMTP-аутентификацию, эта победа еще не будет означать победу над спамом. Самой по себе аутентификации не достаточно. Аутентификация только подтвердит подлинность отправителя сообщения, но не даст информацию о том, стоит ли читать его письмо.

Поэтому эксперты заговорили о необходимости сервисов репутации. Идея состоит в том, что, при наличии стандарта аутентификации, получив письмо от незнакомого отправителя, можно будет запросить его «репутацию» на специальном сервисе.

Например, вы запрашиваете информацию о неизвестном вам отправителе Х и получаете ответ, что с вероятностью Y% он является легитимным пользователем, а с вероятностью Z% — спамером. После чего вы уже сами будете решать, как поступись с письмом от X.

Кроме того, вы можете узнать число жалоб, которое было получено сервисом на пользователя Х в течение последней недели или дня, и поинтересоваться, каковы источники информации о данном пользователе, которой располагает сервис. Репутацию отправителей, письма которых не прошли проверку на аутентификацию, тоже можно будет получить, но в этом случае это будет «репутация» IP-адреса отправителя.

В комбинации с другими политиками безопасности эта модель может быть эффективной — по крайней мере, есть шанс осложнить жизнь спамерам.

PS. «Отец» SPF Мен Вонг уже работает над созданием своего сервиса репутации пользователей, который будет носить многозначительное имя «Karma».