Эксперты обсудили проблему аутентификации

Федеральная торговая комиссия (FTC) и Национальный институт стандартов и технологий (NIST) США провели саммит, посвященный проблеме аутентификации отправителей электронных сообщений.

Аутентификация может помочь в борьбе со спамом и фишингом, однако необходим единый, открытый стандарт, не контролируемый ни одной из компаний. Об этом говорили эксперты-участники встречи. Судя по сообщениям, споры на саммите разгорелись достаточно жаркие.

Говоря о технологии Sender ID, адвокаты open-source выразили сомнения в необходимости внедрения стандарта, патентованного Microsoft, в структуру Интернета, где традиционно доминируют открытые программы.

Однако некоторые участники встречи заявили, что их не волнует, какой из стандартов будет принят, лишь бы он обеспечивал разделение спама и легитимной почты. Очевидно, такая позиция обусловлена серьезностью проблемы. Фальшивые адреса активно используются при проведении спамерских рассылок и фишинг-атак. По данным Microsoft, 81% писем, приходящих на адреса Hotmail, отправлены с поддельными адресами.

Среди тех, кто горячо заинтересован в разделении спама и нормальной почты, — представители компаний, занимающихся легитимными рекламными рассылками и интернет-бизнесом. Они особенно страдают от спама. С одной стороны, теряется доверие пользователей к Интернету и электронной почте. С другой, рассылки компаний попадают в к провайдерам в списки запрещенных из-за жалоб получателей, забывших о том, что они подписались на рассылку. Таких случаев немало — по результатам исследования почтового провайдера Return Path Inc., 10 ведущих интернет-провайдеров блокируют 18% легитимных сообщений.

Компании малого бизнеса и электронной коммерции возлагают большие надежды на аутентификацию отправителя, которая позволит отделить их рассылки от спама. «Мы хотим быть уверенны в том, что наши парни имеют возможность коммуникаций с их клиентами», — сказал представитель Direct Marketing Association Луис Мастриа (Louis Mastria).

Microsoft, Yahoo! и Cisco Systems разработали технологии, позволяющие проверять подлинность адреса отправителя. Накануне встречи ряд интернет-компаний и организаций направили открытое письмо в адрес FTC с призывом ускорить использование аутентификации и поэтапным планом внедрения этих технологий.

Элизабет Боувелс (Elizabeth Bowles), президент ISP Aristotle.Net Inc., отметила, что в настоящее время предложено, по меньшей мере, шесть технологий аутентификации. Однако разные решения требуют публикации интернет-провайдерами и владельцами доменов различных типов DNS-записей. Небольшие ISP не могут конфигурировать почту в соответствии с требованиями сразу нескольких стандартов аутентификации. Боувелс подчеркнула, что принятый стандарт должен быть легким в применении и подходить для нужд ISP.

Участники встречи разделились во мнениях относительно возможности использования схем аутентификации с DNS-правилами, которые позволяют получать почту только от проверенных отправителей. Такие схемы базировались бы на системе списков, аналогичных так называемым спискам разрешенных, в которых письма, присылаемые с определенных доменов, отмечены как легитимные. Сомнения в жизнеспособности таких схем у некоторых экспертов вызывает тот факт, что репутационных списков может быть создано множество — разными компаниями и организациями. Сторонники же репутационных списков утверждают, что проблема легко решается: в большинстве случаев, домены согласуют их между собой и пользователям не придется иметь дело со множеством схем аутентификации.

Еще одна проблема, поднятая на встрече, — «дыры» в DNS, которые могут использовать спамеры для ввода фальшивой информации по аутентифкации. Скотт Часин (Scott Chasin), старший технолог MX Logic Inc., призвал к широкому использованию DNS Security Extensions (DNSSEC) — проекту по безопасности, недавно одобренному IETF. «Аутентификация — не панацея от спама и фишинга», — подчеркнул Часин.

В теории система аутентификации не позволит спамерам «прятать концы в воду» и даст возможность блокировать их рассылки и привлекать спамеров к ответственности. Но большая часть спама в настоящее время рассылается с «зомби»-машин, контролируемых спамерами. Письма, рассылаемые с таких машин, выглядят, как пришедшие из легитимных источников, — и, по сути, таковыми и являются, так как владелец инфицированной машины даже не подозревает о ее использовании для рассылки спама. По данным компании Symantec, в первой половине этого года в среднем 30000 компьютеров ежедневно превращались в послушных «зомби».

«Мы будем счастливы, если с помощью аутентификации отправителя решим проблему [спама] хотя бы наполовину», — сказал Павни Дайванджи (Pavni Diwanji), президент MailFrontier Inc.

Источник: Reuters
Источник: CNET News.com
Источник: InfoWorld
Источник: washingtonpost.com