Re: TPSA władcą internetu (blokada portu 25) - moja korekta

Dnia Sun, 6 Dec 2009 19:01:51 +0100, Sylwester Zarębski napisał(a):
> Dnia Sun, 6 Dec 2009 13:08:16 +0000 (UTC), Jacek Osiecki napisał(a):
>> Dnia Sun, 6 Dec 2009 10:45:43 +0100, Sylwester Zarębski napisał(a):
>>> "Skąd Ci biedni ludzie mają wiedzieć?" - cytat
>> Wystarczy że nie będą ignorowali zawiadomień od swojego operatora poczty /
>> internetu.
> Dla Ciebie to ignorowanie, dla mnie niezrozumienie przekazu. Jeśli dla
> Ciebie to jest to samo, gratuluję. Jesteś większym ignorantem niż oni.

Co trudnego jest do zrozumienia w przekazie który zacytowałem? Ludzie go
zignorują nie dlatego że nie potrafią go zrozumieć (bo wtedy by zadzwonili
pełni niepokoju do kolegi/syna/wnuczka), tylko dlatego że z góry uznają
wszystkie wiadomości od operatorów za nieisotne. Fakt, tu wina samych
operatorów że spamują klientów ulotkami i mailingami...

>> Ciekawe, że nawet moja babcia potrafiła sobie przekonfigurować konto po tym
>> jak dostała informację od dostawcy poczty - elegancko wyjaśnione krok po
>> kroku co należy zrobić, screenshoty z popularnych programów. Co innego jak
> Z całym szacunkiem dla Twojej babci, ale to jest circa 0.00% przekroju
> społeczeństwa.

Wystarczyło że przeczytała, to naprawdę było przystępnie opisane. Inna osoba
z rodziny nie miała pewności o co chodzi więc po prostu do mnie zadzwoniła.

>> Co technicznego jest w prostym tekście "jeśli wysyłasz pocztę przy użyciu
>> programu (np. outlook, thunderbird, the bat! ...) to od 1. grudnia musisz
>> zmienić konfigurację programu"?
> To, że dla niektórych osób Internet to ikonka na pulpicie.

I jak tacy otrzymują niepokojącego maila/zawiadomienie z tpsa, po prostu
zadzwonią do syna czy wnuka.

>>> Bzzt, wrong. Dzwonią do osoby, która im pocztę konfigurowała z
>>> informacją, że 'Internet nie działa'.
>> I jeśli ta osoba ma olej w głowie to od razu im powie co mają zmienić w
>> programie by zaczęło znowu działać.
> Skoro Ty nie masz tyle oleju, by zrozumieć, że ktoś może nie wiedzieć,
> to skąd oni mają mieć?

Bo jeśli ta osoba im konfigurowała pocztę to albo już wie od dawna że TPSA
będzie blokowało porty, albo się dowie gdy kolejny człowiek zadzwoni pytając
się o identyczny problem.

>>> zadzwoni do dostawcy poczty, szczególnie jak cała ich wiedza opiera się
>>> na znajomości swojego adresu email.
>> Jakoś do mnie dzwonili.
> I to dowód na to, że nie dzwonią wcześniej do innych osób?

Nie, nie dowodzi to niczego bo to akurat moi klienci. Ale jak komuś nie
działa wysyłanie poczty, to jest spora szansa że wejdzie na webmaila i
kliknie w link "kontakt".

>>> Dla mnie jako administratora serwera poza 'chwilowym' zmniejszeniem
>>> ilości spamu nie zmieniło się nic. A w tym tygodniu spadek był tak
>>> nieznaczny, że trudno w ogóle mówić, iż to wpływ blokady TP. Zobaczymy
>>> za kwartał.
>> Nie samą neostradą spamerzy żyją. Do tego niektóre matołki sobie wyłączą
>> ograniczenie portu 25 i potem nadal radośnie będą spamować :(
> Pisałem o ruchach pozorowanych, prawda?

Dlatego twierdzę że błędem jest pozwalanie na zdejmowanie tego ograniczenia :>

>> ten spam lata gdzie chce, mnie to nie obchodzi". Nie potrafisz zrozumieć, że
>> twórcom botnetów w ogóle nie będzie się opłacało wykradanie haseł? Już kilka
>> razy padł tu argument o greylistingu, którego żaden spamer nie próbuje
>> omijać mimo że jest to banalnie proste...
> Nie rozumiesz, że się będzie opłacało. Jak już również wspominałem, że
> głupoty piszesz o greylistingu, bo ok. 20% botów obchodzi go bez
> problemu.

Skoro greylisting omija zdecydowana mniejszość botów (IMHO jest tego
znacznie mniej niż 20%, ale to już kwestia co do kogo trafia), to nie widzę
powodu by wszystkie nagle zaczęły implementować mechanizmy nieporównanie
bardziej skomplikowane.

>>> Jeśli chodzi o plusy, to do tej chwili można było zrobić sobie regułkę
>>> taką jak:
>> I potem jedyne co można robić to tłumaczyć "wie pan, bo to jest tak że albo
>> będzie dużo spamu i wszystkie normalne wiadomości, albo mało spamu i czasami
>> zginą ważne wiadomości".
> A tak będą ginąć, bo 'miał pan kiedyś wirusa, a mi serwer przez to wpadł
> w RBLa, więc żadnej poczty Pan nie wyśle przez tydzień'. Gratuluję.
Nie. "ktoś ukradł hasło do pańskiego maila, proszę kliknąć tutaj i przepisać
numer z obrazka by potwierdzić że tak jednak nie jest". I nic nie zginie, bo
to będzie dropowane na samym początku drogi - tak, że MUA od razu się wydrze
o odrzuconej przesyłce jeszcze w trakcie wysyłania.

> Tak, do RBLa można wpaść przypadkiem, ale jeśli botnety zaczną używać
> serwer+user+pass, to w zasadzie nigdy nie wypadnie.

Gdy mało kto będzie mógł wysyłać na port 25, to przede wszystkim botnety nie
będą mogły sobie pozwolić na tak masową wysyłkę jak teraz. Każda próba
większej akcji spamowej zaoowocuje zablokowaniem konta (choćby tymczasowym).

>> Owszem, tyle że na nieco innych zasadach. W dodatku będzie sporo innych
>> przesłanek sugerujących że spamer dorwał się do takiego konta. I, koniec
>> końców, jedna blokada konta zablokuje tego spamera.
> Tak? A ja sądziłem, że w RBLach są tylko IP. Bez kont pocztowych
> nadawcy. Myślisz, że ktoś ze świata będzie patrzyć, że to dokładnie
> jedno czy dwa konta ślą spam? Nie, więc nie pisz o innych zasadach, bo
> nie ma żadnych 'innych zasad'.

Gdy normą będzie kradzież kont pocztowych, to zarówno RBLe będą do tego
nieco inaczej podchodziły - a jeśli nie, to administratorzy serwerów
przestaną ufać RBLom. Bo na co komu informacja że z poczta.onet.pl mogą
przychodzić spamy? Owszem, mogą i będą bo łatwiej ukraść hasło do jednego
z miliona kont przeciętnych Kowalskich niż jedno z 10 kont na małym serwerze
dla krewnych i znajomych królika.

>> wszystkich enduserów spamerzy będą bez szans. Namierzenie spamera
>> wysyłającego z wielu zombiaków przy użyciu jednego konta albo wysyłającego
>> setki maili za pomocą danego konta jest dużo prostsze. Nie mówiąc już o tym,
>> że można np. zablokować możliwość zestawienia więcej niż jednej sesji SMTP
>> dla danego usera - i spamerzy idą gryźć piach, bo wysyłanie wiadomości po
>> kolei nijak się im nie opłaca.
> Że jak? Zombie będzie słał jak dotąd, tylko przez serwery z kolejnej
> bazy z użytkownikami z tej bazy.

A ponieważ administratorom serwerów dużo łatwiej będzie wykryć że to spamer
wysyła z użyciem czyjegoś konta, to spamerzy będą musieli znacznie
zredukować tempo wysyłania spamu.

> Spamerom bardziej się opłaca modyfikacja softu, bo botnet nadal działa

... rozsyłając spam bez porównania wolniej niż dotychczas.

> i jest aktywny, a nie to co powinno być wykonane - likwidacja botnetu
> sztuka po sztuce.

Nie da się zlikwidować takiego botnetu sztuka po sztuce - bo cały czas
pojawiają się nowe ofiary do zostania zombiakami.

>>>> Tepsę najwyraźniej ktoś przydusił, skoro wykonała ten ruch. I bardzo dobrze
>>>> że taki - wolałbyś np. proxowanie ruchu SMTP z wymuszonym greylistingiem? :)
>>> Nie, wcale nie dobrze. Wolałbym poważne zajęcie się skrzynką
>>> abuse@tpnet.pl.
>> I co niby by to miało dać? Niby jak spamerom miałoby zaszkodzić ubijanie
>> zombies kilka tygodni po tym jak rozpoczęły wysyłkę?
> Po tym, że zombie nie znika po jednej wysyłce, a służy latami, jak mu na
> to pozwolić. Ubicie w kilka tygodni 10% botnetu Neo to byłby wielki
> sukces.

Zamiast ubić 10% ubito niemal 100%, a teraz z neo mogą wysyłać jedynie boty
o znacznie niższej skuteczności.

>>> P.P.S. Zastanawiam się nad celowością wątku, ja mam swoje zdanie, Ty
>>> masz swoje. Ja swoje argumenty przedstawiłem. Przedstaw swoje, ale
>>> konkrety proszę.
>> Przedstawiłem, czegoś nie zrozumiałeś?
> 'Wszelkie inne' jak rozumiem? Na tym poziomie nie znajdziemy
> porozumienia. Prosiłem o konkrety. Sądzę, że EOT.

Napisałem że blokada portu 25 jest najlepszą metodą. Ty pytasz od czego
lepszą - to chyba nie ja powinienem wymyślać? :) Ale IMHO lepsza od
puszczania wszystkiego co leci i reagowania z wielkim opóźnieniem na
zgłoszenia o spamie.

Pozdrawiam,

-- 
Jacek Osiecki joshua@ceti.pl GG:3828944
I don't want something I need. I want something I want.