mercredi 01 juillet

Accueil :: Dépêches :: Entretiens :: Journaux :: Forums :: Sondages :: Suivi :: Statistiques :: Contact :: Plan

Articles précédents : Internet

Liens connexes

Journal à l'origine de la dépêche (2828 hits)
La position d'Apache (1765 hits)
La position de Debian (1119 hits)
La présentation du Sender ID sur Newsforge (1227 hits)
La présentation du Sender ID par Microsoft (985 hits)

Dépêche modérée par

pterjan

Dépêche éditée par

Nyco

Internet : Technique anti-spam basée sur le « Sender ID » rejetée par Apache et Debian

Posté par Pascal Terjan (Jabber id, page perso, ). Modéré le 05 septembre 2004.

Le groupe Apache et le projet Debian ont annoncé qu'ils rejetaient la spécification Sender ID de Microsoft censée permettre de lutter contre le spam (pourriel), pour peu que les serveurs de nom de domaine et de messagerie soient adaptés pour prendre en compte cette technique.

Le groupe Apache a publié les raisons de son rejet ainsi qu'une analyse de Lawrence Rosen, conseiller général de l'OSI (Open Source Initiative). Debian a suivi la position d'Apache, bien que leur annonce précise que la même position aurait été adopté indépendamment de celle de Apache.

Le groupe Apache et L. Rosen ont entamé des négociations avec Microsoft pour résoudre les points litigieux pour les logiciels OpenSource et la libre implémentation de cette spécification comme standard Internet indépendant d'une société (et d'un brevet). En vain, du moins à l'heure actuelle.

Journal à l'origine de la dépêche (2828 hits)
La position d'Apache (1765 hits)
La position de Debian (1119 hits)
La présentation du Sender ID sur Newsforge (1227 hits)
La présentation du Sender ID par Microsoft (985 hits)

> Lire les commentaires (43 commentaires, moyenne: 3,5).

Cette discussion est archivée, il n'est plus possible de laisser des commentaires.

Note : les commentaires appartiennent à ceux qui les ont postés. Nous n'en sommes pas responsables.

Deja inutile ?

Posté par tuan kuranes (page perso, ) le 06/09/2004 à 07:44. (lien). Évalué à 17.

Les spammers s'enregistrent dans les SPF et supportent SPF plus vite que tout le monde. (38 % plus vite que les mailers normaux.)

10 % du spams seraient "SPF compliant".

http://www.eweek.com/article2/0,1759,1642848,00.asp(...)

Tout ce que apporter des solutions de ce genre, c'est de sacrifier la liberté sur l'autel de la securité..

Comme je le disais dans le journal, je ne suis pas etonné... le probleme est politique, pas technologie. Quand la loi condanmera les Spammers...
Mais au vu du business engendre par le spam et l'anti-spam, c'est surtout dans les mains des electeurs/consomateurs, de faire entendre leurs voix

[^]Re: Deja inutile ?

Posté par elmax () le 06/09/2004 à 07:54. (lien). Évalué à 10.
Ne confondons pas tout. SPF n'a pas pour but d'empecher le spam, mais d'empecher le "phishing" (tu recois un mel soi-disant de ta banque, te demandant d'acceder a un site web par exemple, et c'est en fait un moyen de recuperer tes informations confidentielles).
Aussi, tu ne pourras plus recevoir de virus avec comme expediteur une personne que tu connais... moins de tentation de l'ouvrir donc.
Pour ceux qui debarquent : pour activer SPF, il faut publier un enregistrement TXT dans le DNS du domaine. Une liste (incomplète) des registrars et des services de DNS qui permettent celà est disponible ici : http://www.spf.idimo.com/(...)
- [^]Re: Deja inutile ?
  
  Posté par tuan kuranes (page perso, ) le 06/09/2004 à 08:16. (lien). Évalué à 4.
  " easier to identify spams, worms, and viruses"
  
  d'apres http://spf.pobox.com/(...)
  
  "Using the Sender ID Framework to help fight spam and phishing"
  
  http://www.anti-spamtools.org/SenderIDEmailPolicyTool/Default.aspx(...)
  
  M'est avis qu'il faudrait surtout un framework contre les "chevaux de troie" pour lutter contre le phishing...
  - [^]Re: Deja inutile ?
    
    Posté par elmax () le 06/09/2004 à 09:35. (lien). Évalué à 3.
    Je suis d'accord que la description sur le site de SPF est un peu trop enthousiaste pour etre honnete (note qu'il dit : "help fight spam" - dans ce cas, SPF sert a rendre fiables les whitelists/blacklists par domaine).
    Mais je regrette qu'on critique SPF pour ce qu'il ne fait pas (supprimer le spam) sans voir ce qu'il fait (empecher le spoofing d'adresse).
    - [^]Re: Deja inutile ?
      
      Posté par tuan kuranes (page perso, ) le 06/09/2004 à 10:18. (lien). Évalué à 10.
      Pour le phishing non plus, je ne suis pas convaincu.
      
      Le sender-id se base sur authentification IP et les DNS, deux technologies maintes fois critiquees et sujet a de nombreuse attaques : spoofing IP (par ex :man-in-the-middle), DNS redirection hijack, DNS denial, etc). Ce qui me fait peur, c'est de rajouter encore plus d'oeuf dans le paniers des techno DNS/IP...
      
      Tout ca en ne resolvant pas grand chose, vu que le phishing peut se faire tres facilement rien q'avec des chevaux de troie.
      
      Une bonne analyse ici des divers problemes du SENDER ID: http://www.esecurityplanet.com/views/article.php/3398431(...)
      
      si il faut vraiment une solution technique, je suis plutot pour des solutions du cote du cryptage/signature.
      
      Pour les Mails persos :, avec clef prive dans une puce sur carte a puce, que tu utilises pour signer avec un boitier externe au PC (clef privee inexpugnable depuis le PC).
      
      Pour les mails massif d'entreprise, pas de message critiques en mail, mais des liens vers un site securises, etc...
      Reste les mailing-listes...
      
      Pour memoire, la derniere affaire en date en france s'est faite comme par cheval de troie :
      
      "PC windows infectes par un cheval de troie et acces au compte bancaire en ligne pour le pirate."
      cf : http://www.01net.com/article/249528.html(...)
      - [^]Re: Deja inutile ?
        
        Posté par Alexandre Dulaunoy (page perso, ) le 06/09/2004 à 10:37. (lien). Évalué à 4.
        de : http://www.esecurityplanet.com/views/article.php/3398431(...)
        
        "Proponents of cryptographic solutions believe that, while IP addresses may be easy to spoof, cryptographic signatures aren't."
        
        Il est assez amusant de voir que les solutions miracles existent toujours. L'approche cryptographique peut aider mais en rien cela ne va éviter le spam. De plus toutes les attaques de "spoofing" sont aussi valables pour la majorité des crypto-systèmes et des méthodes de signature cryptographique.
      - [^]Re: Deja inutile ?
        
        Posté par Cédric Blancher (page perso, ) le 06/09/2004 à 12:52. (lien). Évalué à 5.
        Le sender-id se base sur authentification IP et les DNS, deux technologies maintes fois critiquees et sujet a de nombreuse attaques
        
        Et vue la lenteur à laquelle DNSSEC s'implante, on rsique d'en avoir pour longtemps... Il me semble un peu optimiste de lancer des technos comme SPF, au vu de l'impact qu'elles peuvent avoir sur le fonctionnement de la messagerie (cf. forwarding et mailing lists par exemple), alors qu'elles reposent sur des technos qui ne sont pas sûres.
        
        --
        http://sid.rstack.org/
        PGP KeyID: 157E98EE FingerPrint: FA62226DA9E72FA8AECAA240008B480E157E98EE
        >> Hi! I'm your friendly neighbourhood signature virus.
        >> Copy me to your signature file and help m
      - [^]Re: Deja inutile ?
        
        Posté par Stephane Bortzmeyer (page perso, ) le 14/09/2004 à 09:12. (lien). Évalué à 1.
        >Le sender-id se base sur authentification IP et les DNS, deux technologies >maintes fois critiquees et sujet a de nombreuse attaques
        ...
        > Une bonne analyse ici des divers problemes du SENDER ID:
        > http://www.esecurityplanet.com/views/article.php/3398431(...)
        
        N'exagérons rien : il n'y a rien de commun entre la facilité d'une usurpation d'identité via le protocole SMTP et la facilité d'usurpation d'une adresse IP ou même d'une réponse DNS.
        
        Dans le premier cas, c'est trivial et déjà largement mis en oeuvre.
        
        Dans le deuxième, c'est d'un autre ordre de grandeur ! Les gens qui, comme l'auteur de l'article cité disent que c'est trivial n'ont manifestement jamais essayé.(Certaines bogues qui rendaient ces attaques possibles ont été bouchées depuis longtemps, les noyaux Unix ont des numéros de séquence TCP difficiles à deviner, BIND n'accepte plus les réponses martiennes, etc.)
        
        > si il faut vraiment une solution technique, je suis plutot pour des solutions du > cote du cryptage/signature.
        
        Ces solutions sont spécifiées et implémentées depuis dix ou quinze ans. Pourquoi ne sont-elles toujours pas déployées si elles sont si miraculeuses ?

[^]Re: Deja inutile ?

Posté par rvco () le 06/09/2004 à 07:57. (lien). Évalué à 2.
c clair que les spammeurs ont toujours été les plus rapide a supporté toutes ses techno,
on ne peut strictement rien y faire, ttes ses améliorations ne sont que feu de paille,
ce n'est pas viable pour la lutte anti spam

[^]Re: Deja inutile ?

Posté par a_jr () le 06/09/2004 à 08:20. (lien). Évalué à 14.
le probleme est politique, pas technologie. Quand la loi condanmera les Spammers...

Le probleme est technologique. Imaginons un instant que la loi soit bien faite, les gens arretes, etc.
Imaginons en plus que pas mal de pays fonctionnent avec cette loi. Tiens, revons un peu, que tous les pays sauf un ou deux fonctionnent avec cette loi. Resultat: les un ou deux pays restants vendraient une tonne de bande passante aux spammeurs.
Facile : il suffit de bloquer le trafic venant de ces un ou deux pays. Ca s'appelle du boycott. Bah oui, c'est politique. Mais ca reste technoloque puisque bloquer du trafic est une mesure technologique.

On recommence avec d'autres arguments. Imaginons que ce soit politique. On vote les bonnes lois. Euh, on les vote ou, les bonnes loi ? En France, en Europe. Revons un peu, on les vote meme aux etats-unis d'amerique (dans chaque etat, parce que c'est federal, c'est comme dans les etats unis d'europe ou chaque etat europeen a ses propres lois). Comment allez-vous appliquer la loi en Coree d'ou viendra tous ceux qui iront virtuellement s'y refugier pour envoyer des spams. Vous leur declarez la guerre ? Bush n'a pas ose :) Un embargo ? Comment faire cela alors que les responsables sont etrangers et que les locaux n'y sont pour rien ? C'est trop injuste (c) Calimero

C'est un probleme technologique, et la loi, comme partout, ne devrait servir qu'a encadrer les mesures technologiques, pas a les imposer ou les interdire.

Le bonjour chez vous,
Yves
- [+] [^]Re: Deja inutile ?
  
  Posté par garfield () le 06/09/2004 à 08:30. (lien). Évalué à -10.
  Bonjours,
  
  J'apprécie beaucoup vos arguments, mais je regrette votre anti-américanisme.
  -1
- [^]Re: Deja inutile ?
  
  Posté par tuan kuranes (page perso, ) le 06/09/2004 à 08:41. (lien). Évalué à 6.
  > tous ceux qui iront virtuellement s'y refugier
  > pour envoyer des spams
  
  On peut condamner des gens pour des activites qu'ils ont dans d'autre pays, et c'est le moyen de combattre la pedophilie par exemple. Et c'est une bonne chose.
  
  Du coup faut se refugier physiquement.
  
  > Ca s'appelle du boycott.
  
  Les pressions diplomatiques, economiques sont la pour eviter d'en arriver la.
  
  > C'est un probleme technologique, et la loi,
  > comme partout, ne devrait servir qu'a
  > encadrer les mesures technologiques
  
  J'avoue ne pas saisir.
  Je vois plutot la loi comme est LE cadre.
  La technologie peut aider la loi, mais pas le contraire.
  
  Cela dit, si on trouve une solution technologique, je ne suis pas contre. J'ai juste l'impression que toutes ces solutions vont couter plus aux utilisateurs qu'au spammeurs. Et ne finalement pas servir a grand chose... comme c'est deja le cas ici.
  - [^]Re: Deja inutile ?
    
    Posté par a_jr () le 06/09/2004 à 09:02. (lien). Évalué à 4.
    On peut condamner des gens pour des activites qu'ils ont dans d'autre pays
    
    C'est a mon avis le premier outil juridique de repression. Il doit etre mis en place. Mais je pense qu'il est inapplicable sauf en de rares exceptions. C'est pour ces exceptions qu'il doit etre mis en place.
    Et c'est un outil de repression, qui ne marche pour la prevention qu'a condition que la peur de ce genre de repression se repande et fasse office de prevention comme c'est, je pense, le cas du tourisme sexuel.
    Sauf qu'un touriste sexuel, les autorites vont se rendre compte rapidement qu'il va souvent dans des pays connus comme tel, et peut-etre lui poser quelques questions...
    Comment se rendre compte qu'un spammeur de nationalite A se logue sur une machine se trouvant dans un etat B, pour spammer des gens dans un etat C ? Sachant qu'il n'existe aucune loi contre le spam dans l'etat C, empechant la victime de faire quoi que ce soit ? Et si l'admin de la machine de l'etat B verrouille sa machine, le spammeur va rapidement trouver une machine dans un etat D !
    Comment identifier le spammeur qui, du fond de sa caverne, ne voyage jamais ?
    
    > la loi, comme partout, ne devrait servir qu'a encadrer les mesures technologiques
    Je vois plutot la loi comme est LE cadre.
    
    Pour etre sur d'avoir ete bien compris (on n'est jamais trop clair), je precise qu'on est entierement d'accord sur ce point.
    
    J'ai juste l'impression que toutes ces solutions vont couter plus aux utilisateurs qu'au spammeurs
    
    Comme dans toute attaque (et une attaque de spams n'y echappe pas), cela coute de se defendre. Esperons que le prix a payer sera celui de la defense et qu'il n'y aura pas trop, comme c'est trop souvent le cas en informatique, des arnaques supplementaires.
    
    Le bonjour chez vous,
    Yves
  - [^]Re: Deja inutile ?
    
    Posté par gabuzo () le 06/09/2004 à 09:50. (lien). Évalué à 2.
    > Ca s'appelle du boycott.
    
    Les pressions diplomatiques, economiques sont la pour eviter d'en arriver la.
    
    Ne pas oublier que les pressions économiques & diplomatiques marchent dans les deux sens. Si un pays "A" est devenu un refuge pour les spammers (ou un leader dans les technologies du marketting direct pour les dépliants touristiques). Supposons que la France fasse partie d'une coalition contre le spam, le pays A peut toujours dire si vous continuez à militer contre le spam nous achetetons l'ICE de Siemens plutôt que le TGV d'Alsthom ou des F16 plutôt que des Mirages 2000, etc.
    
    Pour s'en convaincre il suffit de voir la situation de la contrefaçon en Chine (ou plus généralement en Asie du sud-est).
  - [^]Re: Deja inutile ?
    
    Posté par gabuzo () le 06/09/2004 à 10:03. (lien). Évalué à 2.
    On peut condamner des gens pour des activites qu'ils ont dans d'autre pays, et c'est le moyen de combattre la pedophilie par exemple. Et c'est une bonne chose.
    
    Du coup faut se refugier physiquement.
    
    Je doute malgré tout que ce soit aussi facile dans le cas du spam. Prennons le cas d'un entrepreneur qui désire utiliser le spam pour promouvoir son activité (légale bien sûr). Cet entrepreneur étant dans un pays qui condamne le spam il va passer par un prestataire qui lui jurera la main sur le coeur que le publi-emailing sera 100% conforme avec la législation promesse qu'il ne tiendra bien sûr pas puisque son siège social est à Spamland.
    
    S'il faut maintenant condamné quelqu'un ça va être difficile car l'expéditeur étant à Spamland il ne peut pas être poursuivit pour le spam, et le vendeur lui même ne pourra non plus être poursuivit car il aura le contrat avec le prestataire qui garantira sa bonne foi. Reste effectivement le mensonge sur le contrat mais ce contrat étant entre le vendeur & le prestataire, une victime ne pourra probablement pas s'en servir pour attaquer le prestataire.
- [^]Re: Deja inutile ?
  
  Posté par Valéry Beaud (page perso, ) le 06/09/2004 à 09:45. (lien). Évalué à 5.
  Attention à l'amalgame des 2 Corées: c'est la Corée du Sud qui est le 2e "exportateur" de spams dans le monde - loin derrière les Etats-Unis, pourtant seul pays à s'être doté de lois contre :-). Un article sur ce sujet en vogue:
  
  http://www.linternaute.com/afp/depeche/hightech/040825155818.7sv1l0(...)
  
  Mais c'est la Corée du Nord, terrible dictature qui détiendrait l'arme nucléaire, que G.W. Bush menace, mais n'ose pas attaquer. Les gens y meurent pourtant de faim par millions, mais y'a pas de pétrole là-bas...
  
  --
  Valery Beaud - GNU/Linux user
  vbeaud@free.fr - http://vbeaud.free.fr/
  TTFN - Total for now!
  - [^]Re: Deja inutile ?
    
    Posté par Éric (Jabber id, page perso, ) le 06/09/2004 à 17:20. (lien). Évalué à 1.
    En meme temps si on rapporte ça à leur superficie géographique ou même à leur population ... je crains que la corée soit au contraire loin devant.
- [^]Re: Deja inutile ?
  
  Posté par gnap gnap (page perso, ) le 09/09/2004 à 12:30. (lien). Évalué à 0.
  « Bah oui, c'est politique. Mais ca reste technoloque puisque bloquer du trafic est une mesure technologique. »
  
  Une décision politique peut s'incarner de différentes manières : économie, technologie... Cela ne change pas la nature de la décision.
  Bloquer un tel traffic, c'est une sanction économique motivée par des questions politiques...

[^]Re: Deja inutile ?

Posté par Dolmen () le 06/09/2004 à 10:29. (lien). Évalué à 7.
le probleme est politique, pas technologie. Quand la loi condanmera les Spammers...

Le crois-tu vraiment ?
Beaucoup de choses sont réprimées par la loi. Cela ne t'empêche pas :
- d'avoir une serrure sur ta porte
- d'avoir un code secret pour ta carte bancaire
...

La loi c'est bien, mais cela ne suffit pas pour prévenir les délits. Et, à moins d'avoir l'arme nucléaire (et encore), la dissuasion, ça ne marche pas.
- [^]Re: Deja inutile ?
  
  Posté par grafit () le 06/09/2004 à 13:33. (lien). Évalué à 4.
  ca reste un problème politique (légal) : des gens utilisent, et de facon abusive, ta boite aux lettres. La liberté des uns s'arrête là où celle des autres commence.
  
  Si une solution technique résoud le problème légal, bien.
  Mais le problème reste légal à la base.
  
  Le fait que les individus concernés puissent être dans des pays différents et leurs outils encore dans d'autres pays rends le problème *difficile* (voire limite impossible pour un état seul) mais n'en change pas sa nature.
  
  Le SPAM est AMHA "l'application qui tue" de ce début de siècle. Et sans vouloir dramatiser, je vois pour conséquences éventuelles, "au choix"
  - aucune conséquence, rien ne bouge, tout le monde s'abitue :/
  - technologies d'identification, fin de l'anonyma sur internet :(
  - création/renforcement d'une entité légale universelle \o/

[+] [^]Re: Deja inutile ?

Posté par Ph Husson (Jabber id, ) le 06/09/2004 à 18:11. (lien). Évalué à -1.
Ben on bloque tous les mail contenant un champ Sender ID et hop le tour est joué :D
-2

--
Ce messages est crypté par le système 42-rot13 pour plus de sécurité.

[^]Re: Deja inutile ?

Posté par Stephane Bortzmeyer (page perso, ) le 14/09/2004 à 09:06. (lien). Évalué à 1.
> http://www.eweek.com/article2/0,1759,1642848,00.asp(...)

L'article en question est entièrement bâti sur une "étude" de MXlogic, une boîte qui... vend des solutions anti-spam et qui a donc tout intérêt à débiner ses concurrents.

Les chiffres donnés ne correspondent pas à ce que l'on mesure, par exemple sur le banc de test SPF de l'AFNIC.

Explication

Posté par nunenthal () le 06/09/2004 à 08:48. (lien). Évalué à 10.

comme ça n'a pas l'air clair pour tout le monde, je vais essayer d'expliquer succintement le spf.

Le spf s'implémente du côté dns et du côté serveur mail.

Un serveur mail comme le mien qui est équipé spf va faire la vérification suivante :
Chercher dans l'enregistrement dns de l'émetteur du mail, comprendre la zone du domaine contenu dans le from, un enregsitrement de type txt: commençant par spf1.

Si l'enregistrement n'est pas trouvé, le mail est traité de façon normal.

Si l'enregistrement est trouvé, alors le champs spf est annalysé. Celui-ci défini qu'elle sont les serveurs qui ont le droits d'envoyer des mails pour tel domaine. Par exemple il est tout à fait possible de décider que les mails du domaine toto.fr peuvent être envoyer par le serveur smtp mail.toto.fr et smtp.wanadoo.fr
Si la vérification est mauvaise le mail est traité comme du spam.

L'avantage du système c'est que pour qu'un domaine soit traité il faut que le possesseur du domaine est fait un enregistrement de type spf, sinon le mail est traité de façon habituelle.

L'inconvénients du système c'est que ça oblige l'utilisation su serveur smtp défini dans la zone du domaine. Mais comme c'est relativement souple il y a moyen de s'adapter.

Pour les problèmes de roaming et des fai qui bloque le port 25, mon serveur à un port spécial d'ouvert qui permet uniquement les connections par auth.

Actuelement plus de la moitié du trafic enregistré sur mon serveur est du spam (plus de 20000 mail arrété par jour), alors toute les techniques pour limiter leur diffusion est bonne à prendre. J'espère maintenant que microsoft va modifier la licence.

[^]Re: Explication

Posté par elmax () le 06/09/2004 à 09:03. (lien). Évalué à 2.
Notons que SPF n'est pas couvert par la license MS. C'est de SenderID qu'il s'agit dans la news, une version un peu plus complexe au niveau de la determination du domaine d'origine du mail, developpee un peu a la va-vite par M$ pour etre present sur ce terrain. Donc on peut adopter SPF sans crainte !

[^]Re: Explication

Posté par philz () le 06/09/2004 à 13:29. (lien). Évalué à 2.
L'inconvénients du système c'est que ça oblige l'utilisation su serveur smtp défini dans la zone du domaine. Mais comme c'est relativement souple il y a moyen de s'adapter.

Il y a certains cas ou c'est impossible. Par exemple une simple redirection de mail :

- je possède un domaine toto.com et j'ai un email titi@toto.com,
- pour des raisons de commodités, je redirige le mail pour titi@toto.com vers titi.toto@gmail.com,
- turlu.net, toto.com et gmail.com implémentent et vérifient le SPF.

Quand turlu@tutu.net veut m'envoyer un mail, toto.com l'accepte normalement et essaie de le renvoyer vers gmail.com, mais gmail.com vérifie si le MX de toto.com est autorisé a envoyer du mail de turlu.net, ce qui a de grandes chances de ne pas être le cas.

Résultat, le mail de tutu.net est refusé abusivement.
- [^]Re: Explication
  
  Posté par Lucas () le 06/09/2004 à 13:38. (lien). Évalué à 3.
  Quand turlu@tutu.net veut m'envoyer un mail, toto.com l'accepte normalement et essaie de le renvoyer vers gmail.com, mais gmail.com vérifie si le MX de toto.com est autorisé a envoyer du mail de turlu.net, ce qui a de grandes chances de ne pas être le cas.
  
  Pas du tout. Pour ces technologies, on parle du From de l'enveloppe, pas du From contenu dans les données du mail.
  
  Dans ton cas, pour le premier mail, le From de l'enveloppe est turlu@tutu.net et celui du mail est turlu@tutu.net. (c'est le même) Mais dans le deuxieme mail, comme il s'agit d'une redirection, le from de l'enveloppe est titi@toto.com, pas turlu@tutu.net (même si turlu@tutu.net est bien le From contenu dans le "DATA" du mail).
  
  Certains MTA ajoutent des champs au mail permettant de savoir quel était le From de l'enveloppe. Avec Postfix, il semble que ce soit la premiere ligne des en-tetes :
  "From titi@toto.com Mon Sep 6 15:10:22 2004" par exemple.
  
  Pour un système anti-spam, analyser les en-tetes du mail est beaucoup trop cher, c'est pourquoi c'est le From de l'enveloppe qui est utilisé.
  - [^]Re: Explication
    
    Posté par philz () le 06/09/2004 à 14:13. (lien). Évalué à 1.
    Dans ton cas, pour le premier mail, le From de l'enveloppe est turlu@tutu.net et celui du mail est turlu@tutu.net. (c'est le même) Mais dans le deuxieme mail, comme il s'agit d'une redirection, le from de l'enveloppe est titi@toto.com, pas turlu@tutu.net (même si turlu@tutu.net est bien le From contenu dans le "DATA" du mail).
    
    En théorie, peut-être ; en pratique : non.
    
    En tout cas dans mon cas (domaine hebergé chez 0nline.net, email forwardé vers une adresse gmail) ce n'est pas le cas : le FROM de l'enveloppe est inchangé.
  - [^]Re: Explication
    
    Posté par Ph Husson (Jabber id, ) le 06/09/2004 à 18:30. (lien). Évalué à 0.
    Oui mais non (j'adore dire ca :D)
    Si le champs Form ne change pas ben les clients mail seront toujours "dupés"!
    Donc ca ne sert à rien...
    Donc soit le champs Form est changé et dasn ce cas le bordel pour les redirections
    Soit c'est pas changé et dans ce cas c'est toujours aussi facil de falsifier le bordel donc bon....... Qui a dit on tourne en rond?
    
    --
    Ce messages est crypté par le système 42-rot13 pour plus de sécurité.
  - [^]Re: Explication
    
    Posté par Stephane Bortzmeyer (page perso, ) le 14/09/2004 à 09:18. (lien). Évalué à 1.
    > Certains MTA ajoutent des champs au mail permettant de savoir quel
    > était le From de l'enveloppe. Avec Postfix, il semble que ce soit la
    > premiere ligne des en-tetes :
    > "From titi@toto.com Mon Sep 6 15:10:22 2004" par exemple.
    
    Non, ce From sans : à la fin est spécifique au format "mbox" et dépend donc du MDA (procmail, local, deliver, etc), pas du MTA (Postfix, sendmail, etc). Si vous utilisez le format Maildir, vous ne l'aurez pas.
    
    Quant cette information est mise dans un en-tête, c'est Return-Path:.
    
    > Pour un système anti-spam, analyser les en-tetes du mail est
    > beaucoup trop cher,
    
    Ce n'est pas du tout une question de coût (SpamAssassin fait des analyses bien plus complexes), c'est simplement que le FROM de l'enveloppe n'a pas les mêmes propriétés que le From: des en-têtes. Il existe plusieurs identités dans le courrier et les différents protocoles ne vérifient pas les mêmes. Le SenderID actuellement en cours de discussion offrira le choix de l'identité à tester.

Qui est le plus fort ?

Posté par Pierre Jarillon (page perso, ) le 06/09/2004 à 08:50. (lien). Évalué à 1.

Il y a bien longtemps que Microsoft n'avait pas essuyé un tel refus.
Il faut remarquer que dans le domaine des serveurs web, le géant est Apache et que Microsoft est le petit. Intéressant... Serait-ce le début de la chute de l'empire ? Car tous les empires se sont effondrés bien plus vite qu'ils ne se sont construits.

[^]Re: Qui est le plus fort ?

Posté par a_jr () le 06/09/2004 à 09:10. (lien). Évalué à 2.
Car tous les empires se sont effondrés bien plus vite qu'ils ne se sont construits.

L'empire romain a tout de meme mis plus d'un millenaire a s'effondrer, en commencant en 395 a gauche sur la carte, et en finissant en 1453 a droite :)

(http://fr.wikipedia.org/wiki/Empire_romain_d%27Orient(...))

Bon, c'est critiquable.
- [^]Re: Qui est le plus fort ?
  
  Posté par gnap gnap (page perso, ) le 09/09/2004 à 12:37. (lien). Évalué à 2.
  Tu parles de l'Empire romain d'Orient. Celui d'Occident est mort bien plus tôt. Ceci dit, je ne connais aucun exemple d'empire ayant authentiquement disparu... en général, ils changent de forme.

[^]Re: Qui est le plus fort ?

Posté par gabuzo () le 06/09/2004 à 10:32. (lien). Évalué à 3.
Il y a bien longtemps que Microsoft n'avait pas essuyé un tel refus.

Peut être mais y voir le début de la fin de l'empire Microsoft est assez audacieux. De mémoire Microsoft a essuyé pas mal d'échecs (MSN à l'origine devait être un réseau propriétaire payant à l'image de Compuserve, comme tu le dis, Apache est toujours leader dans le domaine des serveurs web, la tentative de s'imposer sur les marchés des Set Top Box pour la télévision numérique a été un fiasco total, etc.) sans que cela ne mette sérieusement en péril le reste de la société qui reste profitable, bien gérée et avec d'importantes réserves de liquidités.

[^]Re: Qui est le plus fort ?

Posté par pasBill pasGates () le 06/09/2004 à 10:50. (lien). Évalué à 3.
Ah oui tiens, des supporters du libre disent non a une idee de MS, c'etait jamais arrive avant !

Je me demandes, tu n'as pas decouvert les LL aujourd'hui ou bien ? :+)

Enfin, perso je me dis que tu prends simplement tes reves pour des realites.

Place d'apache sur les seveurs mails ?

Posté par Jllc () le 06/09/2004 à 11:48. (lien). Évalué à 3.

Je lis : Le groupe Apache et le projet Debian ont annoncé qu'ils rejetaient la spécification Sender ID de Microsoft ...

Comme serveur web (httpd), je vois bien l'impact d'une décision de la fondaton Apache, vu que leur serveur représente quand même 2 serveurs web sur 3.

Mais pour les serveurs mails ? J'ai du aller voir sur le site apache.org pour apprendre qu'ils développaient aussi un serveur mail. Il me semble que les principaux serveurs tournent sous Sendmail,Qmail, Postfix ...

J'ai l'impression que cette décision n'aura pas d'impact très fort, vu la place d'Apache sur ce "marché"? Ou je me trompe ?

[^]Re: Place d'apache sur les seveurs mails ?

Posté par Matthieu Moy (page perso, ) le 06/09/2004 à 12:06. (lien). Évalué à 5.
spamassassin est maintenant un projet apache.

Normal, donc, qu'ils prennent position (même si ils auront un impact moins grand que si ça avait été pour modifier le protocole HTTP ...)

[^]Re: Place d'apache sur les seveurs mails ?

Posté par Cédric Blancher (page perso, ) le 06/09/2004 à 12:48. (lien). Évalué à 8.
Mais pour les serveurs mails ? J'ai du aller voir sur le site apache.org pour apprendre qu'ils développaient aussi un serveur mail. Il me semble que les principaux serveurs tournent sous Sendmail,Qmail, Postfix ...

Si tu lis l'annonce Debian, tu verras que les mainteneurs de Postfix, Exim et Courrier sont du même avis. Pour ce qui est de Qmail, je ne vois pas pourquoi il irait dans ce sens, et pour Sendmail, on sait déjà que Sendmail Inc. (entité commerciale distincte de sendmail.org) soutient SPF.

Pour ce qui est des serveurs de mail, si plus de distributions suivent le mouvement, il y aura un impact non négligeable dans la mesure où tu pourras installer un package Sendmail, Postfix ou whatever, il n'y aura pas la fonctionnalité SPF dedans (ce qui au passage va poser un gros problème de maintenance amha)...

--
http://sid.rstack.org/
PGP KeyID: 157E98EE FingerPrint: FA62226DA9E72FA8AECAA240008B480E157E98EE
>> Hi! I'm your friendly neighbourhood signature virus.
>> Copy me to your signature file and help m

[+] J'aime bien

Posté par ǝsɐʃdoıx∀ ıɥs∀ (page perso, ) le 06/09/2004 à 12:04. (lien). Évalué à -3.

J aime bien la l'explication du mot spam pour ceux qui ne savent pas ce que c'est :)

Bon, apres ca... Ca change quoi qu Apache et Debian aient refusé? Micromou a-t-il toujours demandé son avis au libre et si oui, l'a-t-il suivi?

C'est un peu de l'anti news... On apprend qu'il ne s est rien passé quoi... Je ne cherche pas a attaquer celui qui a posté ca, mais a ce rythme, on aura bientot des news sur les patchs qui ont été refusés...
Mais peut etre est-ce pour palier la relativement lente activité de DLFP en ce début de rentrée...

--
J'aime la liberté.
J'aime BSD.

[^]Re: J'aime bien

Posté par theblatte () le 06/09/2004 à 12:43. (lien). Évalué à 6.
Moi je trouve ça intéressant de savoir qu'il y a eu des négociations d'ouvertes entre microsoft et apache, et aussi de savoir qu'elle n'ont rien donné pour l'instant... Ca montre au moins que la communauté apache essaie de résoudre le problème avec microsoft, même si ce problème ne le concerne qu'au travers de son serveur mail et de spamassassin, qui ne sont pas ses (son ;) ?) logiciels phares.
En plus, je ne connaissais pas ce fameux "Sender ID" et ça a permis de lancer le débat (même s'il ne concerne pas directement "linux et les logiciels libres").

cordialement

[+] J'ai comme un petit doute.

Posté par Tutur () le 06/09/2004 à 19:08. (lien). Évalué à -2.

Apache c'est un serveur web, pas un serveur mail.
Par contre sendmail, postfix, exim (et j'en oublie) sont des serveurs mails.
Le sender ID concerne bien les mails pas les pages web.
Si quelqu'un pouvait m'eclairer sur ces points.

--
\_°< C01N C01N ! >°_/

[^]Re: J'ai comme un petit doute.

Posté par Jllc () le 06/09/2004 à 19:32. (lien). Évalué à 4.
La fondation apache gère aujourd'hui d'autres projets : http://apache.org/(...) Parmi eux, SpamAssassin ou James (Java Apache Mail Enterprise Server), qui concernent justement les mails.

Je crois savoir que certains projets (comme SpmaAssasin) ont été développés indépemdament à l'origine, mais se sont associés à la fondation Apache depuis peu. Je ne sais pas comment, je ne sais pas si les dévoppeurs sont parfois les mêmes, mais ça explique pourquoi cette fondation (à l'origine d'un serveur web) s'intéresse aux mails.

Introduction et transparents sur SPF et SenderID

Posté par Stephane Bortzmeyer (page perso, ) le 14/09/2004 à 09:03. (lien). Évalué à 3.

La discussion ayant montré beaucoup d'ignorance sur les techniques SPF et SenderID et "l'ignorance ne pouvant pas être pardonnée, seulement guérie" (Confucius), j'oublie toute modestie et j'attire l'attention sur mes documents : un article d'introduction à SPF et SenderID , visant un public non-technique et des transparents d'un cours plus technique.

http://www.generic-nic.net/formation/lmap/(...)

Sender ID rejeté par AOL et l`IETF.

Posté par Marc Perron (page perso, ) le 17/09/2004 à 18:17. (lien). Évalué à 1.

ZDNet rapporte qu'AOL a décider de rejeter la technologie Sender ID citant un manque de support de l'industrie. De plus, l'IETF a rejeter la technologie puisqu'elle est breveter par Microsoft ce qui serait inacceptable pour un standard.

Voiçi la news: http://news.zdnet.com/2100-3513_22-5369915.html(...)

--
La pizza et le vin ne font pas épicurien.

Revenir en haut de page

Articles précédents : Internet

Liens connexes

Dépêche modérée par

Dépêche éditée par

Internet : Technique anti-spam basée sur le « Sender ID » rejetée par Apache et Debian

Deja inutile ?

[^]Re: Deja inutile ?

[^]Re: Deja inutile ?

[^]Re: Deja inutile ?

[^]Re: Deja inutile ?

[^]Re: Deja inutile ?

[^]Re: Deja inutile ?

[^]Re: Deja inutile ?

[^]Re: Deja inutile ?

[^]Re: Deja inutile ?

[+] [^]Re: Deja inutile ?

[^]Re: Deja inutile ?

[^]Re: Deja inutile ?

[^]Re: Deja inutile ?

[^]Re: Deja inutile ?

[^]Re: Deja inutile ?

[^]Re: Deja inutile ?

[^]Re: Deja inutile ?

[^]Re: Deja inutile ?

[^]Re: Deja inutile ?

[+] [^]Re: Deja inutile ?

[^]Re: Deja inutile ?

Explication

[^]Re: Explication

[^]Re: Explication

[^]Re: Explication

[^]Re: Explication

[^]Re: Explication

[^]Re: Explication

Qui est le plus fort ?

[^]Re: Qui est le plus fort ?

[^]Re: Qui est le plus fort ?

[^]Re: Qui est le plus fort ?

[^]Re: Qui est le plus fort ?

Place d'apache sur les seveurs mails ?

[^]Re: Place d'apache sur les seveurs mails ?

[^]Re: Place d'apache sur les seveurs mails ?

[+] J'aime bien

[^]Re: J'aime bien

[+] J'ai comme un petit doute.

[^]Re: J'ai comme un petit doute.

Introduction et transparents sur SPF et SenderID

Sender ID rejeté par AOL et l`IETF.