Journal Idée pour les FAI ?

Posté par  .
Étiquettes : aucune
0
3
août
2005
Salut mon cher journal !
Devant l'invasion quotidienne de ce que je n'appelle plus ma boîte mail mais ma boîte à spam, je me suis demandé la chose suivante.
Pourquoi les FAI ne s'associeraient-ils pas pour se créer et utiliser une bonne base de données propre à nourrir un (des) filtre(s) anti-spam ?
Peu importe le système utilisé pourvu qu'ils bloquent à la source les cochonneries que je nous recevons dans nos boîtes.
Y aurait-il un précédent légal sur la chose ? Après tout, ça leur économiserait de la bande passante, de l'espace disque, et sûrement d'autres choses encore (matériel ?).
Voilà, si quelqu'un a une idée plus précise sur la chose, qu'il n'hésite pas à faire partager. En particulier ceux qui bossent chez l'un d'entre eux, que ce soit le 9, free, wanadoo ou autre.
Ce qui m'a fait penser à ça, c'est que depuis peu, j'utilise le webmail de mon fournisseur, et j'ai quotidiennement une trentaine de messages que je classe comme indésirables. Pourquoi ne font-ils pas ça à la source, d'autant plus que je ne pense ni être le seul à recevoir ces merdes, ni être un génie avec mon idée finalement très simple.
Voilà, je vous laisse le clavier. A vous les studios.

  • # Certains le font...

    Posté par  (site web personnel) . Évalué à 6.

    Mais font payer l'option... De plus ce que tu décris existe déjà, ils ont le matos qui faut, reste l'envie de permettre à tout le monde d'y accéder par défaut.

    Et puis s'ils classent un truc important dans le spam par mégarde, qui c'est qui va se faire taper sur les doigts ?

    • [^] # Re: Certains le font...

      Posté par  . Évalué à 0.

      Quel est la probabilité que le même message envoyé à 50 personnes différentes soit important ?
      pour moi, elle est nulle.

      • [^] # Re: Certains le font...

        Posté par  . Évalué à 8.

        J'espère qu'aucune liste de diffusion n'a plus de 50 abonnés...
        J'espère qu'aucun fournisseur ne broadcast ses offres à plus de 50 personnes
        J'espère etc.

        • [^] # Re: Certains le font...

          Posté par  . Évalué à 3.

          Ouais, mais en même temps il doit y avoir peu de listes de diffusion ou de fournisseurs qui broadcast à leurs clients des « enlarge your p.e.n.i.s » :-)

        • [^] # Re: Certains le font...

          Posté par  . Évalué à 2.

          En même temps, un fournisseur qui envoie ses offres, pour moi, C'EST du spam !

          • [^] # Re: Certains le font...

            Posté par  . Évalué à 5.

            Non, non, le spam, c'est "non solicité".

            Moi je VEUX recevoir les offres de mes fournisseurs.

            Conclusion, on trouvera difficilement un truc pour contenter tout le monde...

    • [^] # Re: Certains le font...

      Posté par  . Évalué à 2.

      Je suis d'accord avec tout ce que tu indiques. Mais bon, il serait bon qu'ils utilisent, à la limite un genre de filtre paramétré par les utilisateurs.
      Genre, quand tu reçois un mais pour du Vi@gr4 ou d'un mec qui est le petit cousin du roi de petaouchnock qui veut te fourguer 15 M ¤ ... tout le monde classe comme spam => pas moyen d'avoir un "faux positif". Après, faudrait affiner le système. Genre, en plus de la boîte de réception, avoir un dossier pour les mails étant potentiellement du spam. Et le reste, même pas distribué. Tout le monde y gagnerait. Et eux, et nous.
      De cette façon, on aurait dans notre boîte aux lettres que de vrais mails.
      Enfin, il me semble. Je suis loin d'être un spécialiste dans le dommaine.

  • # Comment faites vous ?

    Posté par  . Évalué à 1.

    Bah oui, je me pose sérieusement la question.

    Comment faites vous pour recevoir autant de spam ? Il faut changer votre comportement.

    Depuis 5 ans que j'ai mon adresse email, je n'ai jamais reçu de spam !

    Une règles de base : ne pas donner son adresse sur tous les sites internet !
    Une autre règle de base : avoir une boite mail secondaire pour toutes les inscriptions douteuses

    Ex :
    linuxfr => pas douteux,
    s'incrire pour télécharger poseidon => douteux.

    Voilà, comme ça : jamais de problème.

    • [^] # Re: Comment faites vous ?

      Posté par  . Évalué à 6.

      Une autre règle de base : utiliser www.jetable.org , avec accessoirement l'extension Firefox kivabien.

      Le principe : tu donne ton adresse email (la vrai), le serveur de l'APINC te génère un alias temporaire (1, 2, 3, 8 jours), que tu peux utiliser pour acceders aux servicesàlacon ou forumalacon.

      L'essayer, c'est l'adopter

      • [^] # Re: Comment faites vous ?

        Posté par  (site web personnel) . Évalué à 2.

        Ou encore mieux, avec www.cjb.net je peux me fait une adresse mail par inscription.
        Par exemple un linuxfr@xxx.cjb.net pour ce merveilleux site. Je peux donc m'inscrire en toute sécurité à tous les sites, mailling ou autre que je veux.

        Si je reçois un spam je sais quel site a donné mon e-mail, et je peux rediriger ce mail vers la boîte poubelle, ou même effacer l'alias.

        Bref je n'ai que 3 vrais boîtes mails (une poubelle, 1 perso, 1 pro) et une vingtaine d'alias.

        Je trouve l'utilisation de ce système plus pratique que jetable.org (par exemple pour recevoir les mailling)

        • [^] # Re: Comment faites vous ?

          Posté par  (site web personnel) . Évalué à 2.

          Je ne connaissais pas celui là... j'utilise spamgourmet.
          Ça donnerait du linuxfr.10.xxxxx@spamgourmet.com pour recevoir 10 mails maximum sur cette adresse. Mais effectivement, le problème c'est que c'est plus dur à filer à des contacts professionnels, spamgourmet.com ça attire plus l'oeil que cjb.net...

    • [^] # Re: Comment faites vous ?

      Posté par  . Évalué à 9.

      > Comment faites vous pour recevoir autant de spam ? Il faut changer votre comportement.

      Tu as raison !

      Allez que tout les developpeurs ne mettent plus leur adresse, il ne faudrait surtout pas être joignable, de même pour les traducteurs et bugreporteurs. Ne postez surtout plus sur les listes de diffusion. Ne donnez pas non plus votre mail a des amis windowsiens. Quand vous ecrivez à un inconnu * creez vous un compte spécial et unique.

      Peut être que simplement les gens utilisent leur mail pour être joignable et ont besoin de rendre cette adresse publique. Mais effectivement si tu ne fais rien de tout ca et que as 4 contacts dans ton carnet d'adresses alors oui tu as une chance de ne pas recevoir de spam..

      * client, fournisseur, relation, connaissance lointaine, ami d'école, chien de la voisine

      • [^] # Re: Comment faites vous ?

        Posté par  (site web personnel) . Évalué à 4.

        Ne donnez pas non plus votre mail a des amis windowsiens.

        Alors, là je plussoie fortement.
        Je dois avoir 6 ou 7 adresses emails (pro, perso, @beer.com pour le fun, "locales" sur mon serveur, etc) toutes plus ou moins redirigées/relévées sur une machine. De manière générale, les adresses à mailing listes sont spammées à 50% (qq centaines de spam par jour). Mon adresse pro (@boulot) pourtant filtrée, pas utilisée pour des ML publiques ni rien se retrouve spammée par les autre personnes du boulot, sous windows, infectées par quelques virus qui aura pris soin de fouiller dans leur liste de contacts ...
        Par contre, mon adresse @gmail marche super bien, ça filtre nickel, etc. SAUF QUE c'est gmail et on connait tous les problèmes liés à la sécurité des données stockées sur gmail.

        • [^] # Re: Comment faites vous ?

          Posté par  (site web personnel) . Évalué à 4.

          Même sans virus, le nombre de personne qui clique sur "envoyer la page à un ami" ou qui relaie les chain-mails du genre "un petit garçona une chèvre malade, relayez ce mail pour lui permettre d'acheter de quoi la soigner" est impressionnant. Rien que ça, ça doit permettre de récupérer beaucoup d'acresses.

          • [^] # Re: Comment faites vous ?

            Posté par  (site web personnel) . Évalué à 6.

            Moi, perso, je décerne la palme à tous les boulays qui "forwardent" la dernière blague nulle à ch*er aux 200 personnes de leur carnet d'adresses mais en prenant bien soin de mettre tout le monde en "CC:" (parce que "BCC:" c'est pour les chienrs) pour bien que les 199 autres (dont on ne connait personne ou presque) aient bien connaissance de ton adresse e-mail !

      • [^] # Re: Comment faites vous ?

        Posté par  . Évalué à 3.

        Allez que tout les developpeurs ne mettent plus leur adresse

        En même temps j'ai quelques doutes sur l'utilité d'écrire directement à un développeur. Combien Linus reçoit-il d'email par jour ? Peut-il techniquement les lire tous ? J'en doute. Un système de communication "push" ne peut fonctionner que sur un nombre de contacts réduits. Au delà le rapport signal/bruit est catastrophique. Seule solution : Changer de mode de communication et utiliser des outils adaptés. Inutile de poluer directement un développeur : S'il s'agit d'un bug utilisez le système de gestion de bug (Bugzilla ou autre), si c'est pour une question "comment je fais tsoin-tsoin" allez sur les forums d'aide dédiés. Bref, ciblez votre demande au lieu d'"arroser" et de laisser le destinataire faire le tri dans la masse de courrier.

        Ne postez surtout plus sur les listes de diffusion

        Pour ma part, ce système de communication me semble inutilisable aujourd'hui. C'était valable aux origines du net mais à présent un système dans lequel tous les abonnés reçoivent tous les messages me parait mal adapté à de gros volumes. Cf plus haut, il faut remplacer ce système de "push" par du "pull" : Chacun publie le message qu'il a à faire passer et va chercher dans le tas ce qui peut potentiellement l'intéresser (via un outil adapté).

        Ne donnez pas non plus votre mail a des amis windowsiens

        J'utilise une adresse différente pour ceux qui utilisent Outlook Express et qui ont tendance à "cliquer partout". Ceux qui utilisent un client mail sérieux ont droit à une autre adresse. Ca marche plutot bien.

        • [^] # Re: Comment faites vous ?

          Posté par  . Évalué à 3.

          > En même temps j'ai quelques doutes sur l'utilité d'écrire directement à un développeur. Combien Linus reçoit-il d'email par jour ?

          Tu es au courant qu'il doit y avoir 1000 fois plus de petits developpeurs que les 100 grands gourous du libre (*) ? Des petits projets avec un à trois developpeurs c'est le vivier du libre, il y a très peu de projets qui passent les 10 développeurs et je te jure que ces gens là peuvent être content de recevoir des mails...

          Et évidement si tu rapportes un bug alors qu'il y a un système adapté tu fais une erreur. Par contre si tu as une question sur un bout de code ou une remarque le plus rapide c'est de regarder sur le gestionnaire de revision ou le (c) qui a écrit et de lui demander directement. Tu tombes souvent sur des gens très gentils qui n'ont pas 8000 mails à lire par jour.

          Il n'y a pas que des bugreports froids et aseptisés dans la vie.

          Et pour ce qui est des mailing lists si elles sont monstrueuses c'est qu'elles sont mal gérées et qu'il faut les découper, lkml en est l'exemple typique.

          (*) de plus je ne considère pas linus comme un developpeur mais comme un manager.

    • [^] # Re: Comment faites vous ?

      Posté par  . Évalué à 2.

      Le pire, c'est que je n'ai pas souvenir d'avoir fourni mon adresse mail à qui que ce soit (en dehors de mes contacts, évidemment). J'ai une boîte sur caramail pour toutes les inscriptions qui nécessitent une adresse mail, et celle-ci ne reçoit pas un spam (ou si peu...). Par contre, j'ai utilisé mon adresse perso quelques fois pour écrire sur des forums de développeurs, comme php-france chez linusquefr point org, ou la liste des bugs de KDE ou de postgres. Bref, des trucs qui semblent sérieux. (Merci de ne pas mal comprendre ce qui est écrit ci-dessus).
      Malheureusement (heureusement, même), ces listes sont parfois archivées avec l'adresse mail des expéditeurs en brut dans les pages d'archives, avec parfois même un lien mailto. Quoi de plus simple pour récupérer une adresse mail à innonder de merdasse ?
      Et puis, à partir de là, tu es spammé une fois, c'est foutu. Il se peut qu'il y ait des échanges de listes entre spammeurs. Et puis même, qu'est-ce qui interdit à nos chers FAI de vendre une liste d'adresse.......
      Enfin, je ne veux pas être parano non plus, et je n'évoque cette dernière possibilité que pour la réthorique.

      • [^] # Re: Comment faites vous ?

        Posté par  . Évalué à 2.

        ces listes sont parfois archivées avec l'adresse mail des expéditeurs en brut dans les pages d'archives
        C'est vrai que ç'est génant mais je dois avoir de la chance. J'ai fais une petite recherche avec le début de mon adresse email, elle est archivée correctement, sous la forme : login serveur com. (ni points, ni arobas)

      • [^] # Re: Comment faites vous ?

        Posté par  (site web personnel) . Évalué à 1.

        IL Y A des échanges de listes entre spammeurs. Certains CD-Rom, avec des millions d'adresses, coûtent même très cher, quand les adresses qui sont dedans sont garanties et qualifées (adresses d'idiots qui répondent ou qui demandent à se désinscrire (la bonne blague !), de mecs qui ont déjà acheté à des services de spammeurs, qui lisent les images distantes régulièrement, adresses professionnelle non filtrées, etc...).

        • [^] # Re: Comment faites vous ?

          Posté par  . Évalué à 2.

          Faudrait rendre criminel l'échange de toute quantité de plus de 500 Mo d'adresses mail ;)))

        • [^] # Re: Comment faites vous ?

          Posté par  . Évalué à 2.

          adresses d'idiots qui répondent ou qui demandent à se désinscrire

          Ça, c'est le cran au dessus. Pour certifier un email, il suffit de lui écrire et de ne pas recevoir en retour un message d'erreur.

          Si, en plus, quelqu'un répond, ça signifie que quelqu'un lit tous les mails derrière...

    • [^] # Re: Comment faites vous ?

      Posté par  . Évalué à 3.

      Facile :
      - s'abonner à une liste archivée sur le web et qui ne cache pas les adresses (p.ex. debian*) ;
      - avoir une adresse « officielle » (boulot, fac...) publiée sur le site web de l'organisme (ainsi que sur le site de diverses conf. et des éditeurs associés) ; etc.

      Tout le monde ne peut pas avoir une adresse privée privée...
      (Même si on peut en avoir plusieurs, une suffit.)

  • # en faites...

    Posté par  (site web personnel) . Évalué à -3.

    si on donne trop de largesse à l'utilisateur
    en lui donnant un moyen d'alimenter les filtres antispam lui meme, en signalant certains courriers comme spam

    ca peut aussi créer des situations où tu retouverais du non spam classés en spam, genre je donne un exemple au pif mais si *@wanadoo.fr est blacklisté ca peut faire mal... bon c un exemple extreme.

    L'utilisation que pourrait faire des personnes mal attentionnées de ce système pourrait décrédibiliser tout le système.
    Bon après il existe des solutions mais c'est pas si simple je pense

  • # Je suis pas sur que ce soit une bonne idée

    Posté par  . Évalué à 10.

    Méfie toi.

    <ma_vie>
    techniquement :
    Je possède mon propre DNS.
    Avant j'étais héberger chez nfrance + dns chez gandi.
    Mes courriels étaient de simple redirections vers une boite chez free.
    J'étais super fier de n'avoir pas de Spam sans n'avoir jamais rien fais pour (genre MOI je ne vais pas sur les sites de cul trallalala).

    Un jour un ami m'appel car depuis qu'il est à l'étranger, je ne répond plus à ces courriels. Il me dit reçevoir un courriel de non distribution et s'inquiète que j'ai pu changer d'adresse sans le prévenir.
    Renseignemment pris, le courriel de non distribution est un message en Anglais (mon ami est nul en anglais donc il ne le lisait pas) envoyé par Spamcop.
    nfrance avait décidé unilatérallement de filtrer MES courriels sans me prévenir. J'ai mis pas mal de temps à comprendre que c'était leur filtre antispam qui m'empêchait de reçevoir certains courriels d'amis.

    Je contacre les admin pour désactiver l'otpion et j'apprend que c'est impossible => je quitte nfrance (cétait la seule solution).

    Aujourd'hui ma boite est pourrie par les Spam mais tous mes amis peuvent me joindrent. Mon client courriel filtre les Spam et c'est très bien comme ça.
    </ma_vie>
    Veuillez m'excuser si je ne sais pas être conçis.

    Ce que je veux dire avec cette histoire c'est que je pense être le seul à pouvoir déterminer quels courriels sont indésirables.

    Je préfère que le filtre antispam soit en local car ainsi il peut être couplé avec mon carnet d'adresses, notamment via les règles de filtrage de mes courriels qui sont appliquées avant l'antispam.

    L'idée que les FAI puissent décider, à ma place, de quels messages sont bon pour moi me fait froid dans le dos
    Brrr.

    • [^] # Re: Je suis pas sur que ce soit une bonne idée

      Posté par  . Évalué à 2.

      J'ai oublié le liens vers spamcop
      http://www.spamcop.net/(...)

      Cette solution m'a vraiment agacée car elle était toute en anglais.
      Plein de gens avec qui je communique ne parlent pas anglais et ne sont donc pas capable de comprendre le message renvoyé.

    • [^] # Re: Je suis pas sur que ce soit une bonne idée

      Posté par  . Évalué à 2.

      Ce que tu dis est fort juste.
      Je ne voulais pas parler d'un système classant systématiquement TOUS les spams comme tels, mais d'un système qui évite de distribuer ce qui est classifié par tous comme du spam.
      Et je me rend bien compte que ce ne serait pas une solution simple, du moins si elle devait être gérée de manière purement automatique.
      D'où mon idée. Après tout, les pubs pour le viagr@, cialissofttabs ou autres cochonneries, ça ne trompe personne, ça part directos à la poubelle, non ?
      Alors pourquoi se faire ch... à distribuer ces machins.
      D'autant plus que ce sont souvent des mails "types" qui sont envoyés à plusieurs millions d'adresses d'un coup. Donc, il y a moyen de filtrer à la source, à mon avis.
      Après, pour faire la nique aux listes de diffusions, il me semble que le header d'un spam ou celui d'une liste de diffusion doit différer, non (j'avoue n'avoir jamais regardé les détails.) ?

      • [^] # Re: Je suis pas sur que ce soit une bonne idée

        Posté par  . Évalué à 2.

        Je ne voulais pas parler d'un système classant systématiquement TOUS les spams comme tels, mais d'un système qui évite de distribuer ce qui est classifié par tous comme du spam.

        que 1veux -tu dire ?:
        1- Que le filtre du "client courriel" ne soit pas seulement éduqué pas l'utilisateur mais aussi par les autres utilisateurs du même client ??
        ou
        2- Que le FAI décide tout seul.

        • [^] # Re: Je suis pas sur que ce soit une bonne idée

          Posté par  . Évalué à 3.

          Que le filtre du fai soit "éduqué" par les utilisateurs.
          Quitte à être validé par le FAI par la suite (cas du Enl@rge y.o.u.r. pen1s, par exemple).
          J'espère que c'est plus clair... ;-) !

          • [^] # Re: Je suis pas sur que ce soit une bonne idée

            Posté par  . Évalué à 1.

            Oui mais ça ça existe déjà. Il y a des systemes ou les utilisateurs peuvent rapporter les spams et les clients anti-spams peuvent se servir de cette liste de spam automatiquement

          • [^] # Re: Je suis pas sur que ce soit une bonne idée

            Posté par  (site web personnel) . Évalué à 3.

            Pour qu'il y ai un control du FAI. Il faudrais que celui-ci lise mes mails.
            Et moi (même si aujourd'hui je n'ai aucun control qui ne le fais pas déjà), je ne suis pas d'accord qu'une personne autre que le destinataire lise mes mails.

            Autre, je ne voudrais pas que des vrais mails (de mes amis ou boulot, ....) ne me sois pas remis.
            Vu le nombre de spam que je recois par jour. Je prefère filtrer moi même mes spams. Et jeter un coup d'oeuil de temps à autre dans mon courrier indésirable, pour voir s'il n'y a pas eu une erreur de filtre, ca se vois rapidement).

            De plus le spam permet de mesurer sa popularité. Plus de personne possède ton email, et plus tu recois du spam et des virus (ca ne m'inquiete pas, je n'ai jamais eu de virus).

      • [^] # Re: Je suis pas sur que ce soit une bonne idée

        Posté par  . Évalué à 1.

        Malheuresement, il ne suffit pas de jeter à la poubelle tous les mails qui contiennent le mot « Viagra », sinon ton message tombe dedans (et le mien aussi)

      • [^] # Re: Je suis pas sur que ce soit une bonne idée

        Posté par  . Évalué à 2.

        Accessoirement, certains médecins, par exemple, pourraient éventuellement envoyer/recevoir des courriels contenant le mot viagra qui ne seraient pas du spam.

        • [^] # Re: Je suis pas sur que ce soit une bonne idée

          Posté par  (site web personnel) . Évalué à 2.

          Mais je doute fortement qu'ils s'amusent à l'écrire V.1agr4 avec des 3nL4r.gE y0ur p3n1s

          • [^] # Re: Je suis pas sur que ce soit une bonne idée

            Posté par  . Évalué à 1.

            C'est vrai qu'il disent plus que probablement
            Principe actif: sildénafil sous forme de sildénafil citrate.
            Excipients: cellulosum microcristallinum, calcii hydrogenophosphas anhydricus, carmellosum natricum conexum, magnesii stearas, hypromellosum, lactosum, triacetinum, color: titanii dioxidum (E171), lacca cum indigotinum I (indigocarminum, E132)-aluminium.

            vu que c'est beaucoup plus parlant :). Je ne lit pas spécialement les spams, et je ne pense pas en avoir recu avec spécifiquement de référence au Viagra, mais je ne suis pas sur qu'ils écrivent "3nL4r.gE y0ur p3n1s" parce que ce genre de truc n'est pas compris par leur cible de base. (Le g33k 1337 n'a pas besoin d'enlarger son penis, il n'a pas de copine, il a un pc)

  • # Bande passante...

    Posté par  (site web personnel) . Évalué à 2.

    En réception ça n'économise pas de bande passante vu que le mail est déjà arrivé...
    En émission à la limite ça leur permet de filtrer les spammeurs chez eux avant que les mails sortent de leur réseau.
    Enfin j'imagine que l'infrastructure pour filtrer les mails d'un FAI doit coûter très cher (y a qu'à voir les usines à gaz que sont certains filtres)... et la bande passante consommée est sûrement beaucoup moins chère !

    • [^] # Re: Bande passante...

      Posté par  (site web personnel) . Évalué à 2.

      Un solution antispam/antivus super efficace basé sur postfix/mailscanner/spamassassin/clamav + RBL est extrémement couteux en CPU.

      Un Xeon 2,4 Ghz 1go RAM n'est pas capable de traiter plus de 1 mail à la seconde !
      Imaginez le matos qu'il faut déployer pour un gros fai qui recois énormement de mails!

  • # Signature GPG

    Posté par  . Évalué à 1.

    Je me demande si mon idée est possible :
    On généralise l'usage des clés GPG (faisons comme si ça ne posait pas de problème, même à des utilisateurs non-avancés). Tout le monde fait enregistrer sa clé sur un système de gestion de mail. On aurait des serveurs semblable à des serveurs de clés, mais qui associeraient une clé à la confiance accordée par les autres. Il y aurait un réseau public de serveurs qu'on pourrait appeller "Système de confiance".

    À partir de là on créerait un réseau de confiance (parallèle à celui de GPG car ce n'est pas la même chose de garantir l'identité de quelqu'un, que de rendre compte du fait qu'il n'est pas un spammeur). Pour chaque personne avec qui on correspond, on note si on lui accorde ou non notre confiance pour recevoir des mails de sa part. Après, c'est le principe classique du réseau de confiance : tous ceux qui me font confiance font aussi confiance à ceux à qui je fais confiance (les amis de mes amis sont mes amis).

    Le problème, c'est que tant qu'une clé n'est pas notée (confiance / spammeur), on ne peut pas faire la différence entre un spammeur et un être humain. Il faudrait rendre plus difficile l'intégration de la clé au système de confiance.

    Que pensez-vous d'un tel système ? Faisable ? Comment ne pas permettre facilement l'enregistrement de sa clé ?

    • [^] # Re: Signature GPG

      Posté par  . Évalué à 3.

      Le spammeur prendra la clé de quelqu'un noté comme non spammeur et fera un usage unique de la clé en arosant tout le monde.

      Sans compter le fait que ce n'est pas possible car les notions de réseau de confiance sont beaucoup trop complexes pour les gens utilisant le mail [1] [2]. Au final tout le monde accepte tout le monde et on revient a la case départ mais avec un système lourdingue en plus.

      Comme déjà débattu des centaines de fois le problème n'est pas technique il est législatif. Lorsque spammer coutera trop cher ou sera trop dangereux pour le gain retiré alors le problème se résoudra de lui même. Ne pas oublier que le mail est fait pour que n'importe qui puisse rentrer en contact avec n'importe qui. Accepteriez vous que france telecom décide unilatéralement que le démarchage téléphonique ne doit pas vous parvenir (et au passage quelques autres coups de téléphone) ? Moi je prefere raccrocher moi même...

      [1] Renommer un .bmp en .jpg ne le compresse pas
      [2] Quand un serveur indique que le certificat SSL est moisi il ne faut pas cliquer sur OK

      • [^] # Re: Signature GPG

        Posté par  . Évalué à 1.


        Le spammeur prendra la clé de quelqu'un noté comme non spammeur et fera un usage unique de la clé en arosant tout le monde.


        Ouh là non non. Ca ce n'est pas possible, justement.
        Quand on envoie un mail signé par GPG, seul le détenteur de la clé privée pourra envoyer le mail. Par contre, tous ses contacts qui disposent de sa clé publique pourront vérifier que c'est bien un mail authentique et non usurpé.
        On ne peut pas "prendre la clé de quelqu'un".
        Pour ce qui est du lourdingue, thunderbird + enigmail marche très bien (cryptage, signature activés d'un clic), et à l'arrivée un symbole s'affiche si la signature est correctement vérifiée.

        • [^] # Re: Signature GPG

          Posté par  . Évalué à 3.

          On ne peut pas "prendre la clé de quelqu'un".

          Bien sur que si on peut, il suffit d'aller chez lui et de la prendre. Le problème du système c'est que dès que quelqu'un se fait corrompre sa machine, sa clé est corrompue aussi et tout le système s'effondre.

          • [^] # Re: Signature GPG

            Posté par  (site web personnel) . Évalué à 1.

            A priori, quelqu'un peu aller sur mon ordi, écrire un mail, vouloir signer avec ma clé *privée* (en qui on a confiance), et là on lui demande un... mot de passe ?
            Je me trompe ?

            • [^] # Re: Signature GPG

              Posté par  . Évalué à 3.

              C'est vrai mais pas forcément. Et ensuite faire de la force brute sur un mot de passe est déjà _beaucoup_ plus accessible que casser RSA. Et il ne s'agit pas d'envoyer des emails de ta machine il s'agit juste de la pénétrer, de prendre le fichier de la clé privée et de casser le mot le passe tranquillement chez soi. Une fois que ta clé est chez un spammeur ton réseau de confiance inclus désormais des gens qui vendent du viagra, des fils de dictateur...

              Donc pour marcher ton réseau de confiance tu ne doit accepter _que_ des gens qui protègent très bien leur machine et qui savent qu'il ne faut pas prendre la date de naissance de son chien comme mot de passe pour une clé.

              Ne recevoir des mails _que_ de ces gens là me fait froid dans le dos. :-)

            • [^] # Re: Signature GPG

              Posté par  . Évalué à 3.

              > A priori, quelqu'un peu aller sur mon ordi, écrire un mail, vouloir signer avec ma clé *privée* (en qui on a confiance), et là on lui demande un... mot de passe ?
              > Je me trompe ?

              Oui.

              Ca montre parfaitement que la solution n'est pas adaptée puisque ni toi ni l'auteur original n'a pu saisir le problème dans sa globalité.

              Une fois que le méchant virus a infecté ta machine il va prendre la clé privé et le mot de passe. Pas difficile il a les mêmes privilèges que l'utilisateur y'a qu'a attendre que l'utilisateur saisisse sont mot de passe [1].

              Il n'y a pas de technologie "saint graal" en sécurité. Et en l'occurence pour GPG les conditions nécéssaires sont beaucoup trop fortes pour être utilisable à grande échelle (la clé doit être en sécurité, ne pas s'en servir sur des machines non sures, établir un réseau de confiance fort, et un gros problème d'usabilité exemple envoyer un mail, impossibilité d'envoyer un mail automatique). Bref sur la totalité des machines ayant à envoyer un mail ces conditions sont irréalistes et même si ca demande une clé par minutes il suffit de regarder les stats sur les botnet pour voir que ca ne possera pas de problèmes...

              [1] Même pas puisque aucun utilisateur n'accepterait de saisir 46 fois le même mot de passe dans la journée il va le mettre en cache y'a plus qu'à aller le lire sur le disque ou dans la mémoire.

              • [^] # Re: Signature GPG

                Posté par  (site web personnel) . Évalué à 1.

                Perso je suis d'accord que GPG n'est pas une solution. Trop complexe. Donc la dessus on est d'accord, comme avec olosta d'ailleurs.
                Par contre que le virus puisse prendre la clé et le mot de passe, là je m'interroge. Je ne connais pas de font en comble le système de GPG mais je crois que le mot de passe est uniquement dans ma tête. A moins de casse GPG, ou une attaque par dictionnaire, il n'est pas possible d'avoir le mot de passe, le fichier de la clé secrète est cryptée, avec comme clé (encore) le mot de passe uniquement présent dans ma tête.

                Voila en fait ma remarque était uniquement technique, je suis d'accord que GPG n'est pas adapté (d'ailleurs il est de plus en plus admit que sécurité=>complexité, simplicité=>passoire, et les gens trouvent l'informatique suffisament complexe pour l'instant). Comme dit plus haut, finalement la solution est peut être plus légale que technique.

                • [^] # Re: Signature GPG

                  Posté par  . Évalué à 3.

                  ben le mot de passe de ta clef, si tu veux t'en servir, il faut bien que tu le tappes sur ton clavier, quand meme, non ? Donc il suffit de monitorer ce qui se passe sur le clavier, logger tout ce que tu tappes, il finira par y avoir ton mot de passe dans le lot. et voila comment le virus recupere clef et mot de passe. Perdu :(

        • [^] # Re: Signature GPG

          Posté par  . Évalué à 2.

          > tenteur de la clé privée

          Combien de machines vérollées dans le monde ou il va y avoir au moins deux possésseurs pour une même clé privée ?

          > On ne peut pas "prendre la clé de quelqu'un".

          Évidement que si. GPG suppose la clé en sécurité et la passphrase tappée uniquement sur des machines sures. Dans tout les cas GPG t'assures uniquement que celui qui a signer le message disposait du couple passphrase/clé privée. Savoir QUI detient ce couple est en dehors de la problématique de GPG...

          > Pour ce qui est du lourdingue, thunderbird + enigmail marche très bien (cryptage, signature activés d'un clic)

          - Recuperer les cles publiques qui t'interesse
          - Avoir un reseau de confiance fiable et suffisament dense
          - Activé la signature
          - Tapper le mot de passe a chaque fois (le mettre en cache renforce mon point 2)
          - Verifier que c'est bon

          C'est typiquement ce que j'appele lourdingue. T'as envie de passer 15 minutes rien que pour envoyer un mail a un type que tu ne connais pas ? Moi pas

  • # Faut passer par l'éducation.

    Posté par  (site web personnel) . Évalué à 9.

    Les FAI pourrait surtout rédiger (pourquoi pas en commun ?) un texte a remettre à chaque nouvel abonné pour lui expliquer le problème.

    La seule façon de ne plus recevoir de spam, c'est que ça ne soit plus rentable d'en envoyer. Plutôt que de rendre difficile la circulation des mails, il faudrait que plus personne ne se fasse arnaquer (sans les fausses pilules, les héritiers Gabonnais devant faire un transfert de fond et les gens qui tentent de me vendre des logiciels piratés, ma boite mail serait déjà bien plus légère)

    Je reste aussi un partisant de la voie répressive. (10 jours de prison avec comme seule nourriture des Mars planqués dans une benne remplie de crottes de chien emballées comme des mars... Ça me parrait suffisant)

  • # ma vie et le spam....

    Posté par  . Évalué à 3.

    Je reçois du spam uniquement sur une de mes boites aux lettres dont j'ai utilisé l'adresse pour ma recherche d'un nouveau boulot. MAis là n'est pas la question....


    Ce que je trouve bizarre, c'est que je retrouve du spam adressé à des adresses proches de la mienne MAIS QUI NE ME SONT PAS DESTINES?

    ex : Mon adresse serait totoestbienmarrantetcool@free.fr et le destinataire du mail que je recoit est en fait totoestbienmarrant@free.fr

    Le compte mail est chez free. Quelqu'un rencontre-t-il ce problème?

    • [^] # Re: ma vie et le spam....

      Posté par  . Évalué à 2.

      Oui, j'ai le même problème, mais je ne me suis jamais penché sur la question. Je reçois des messages destinés à david.bourgeois, par exemple (c'est celui qui revient le plus souvent), mais aussi adressés à "undisclosed recipients", et plein d'autres.
      Probablement un décodage de headers mal fait. Je ne les regarde jamais. Je ne connais pas l'expéditeur, et il m'écrit dans une autre langue que la mienne : poubelle, direct.

    • [^] # Re: ma vie et le spam....

      Posté par  (site web personnel) . Évalué à 2.

      C'est très simple, le champ To: comprend une autre adresse que la tienne, mais le serveur peut avoir reçu une liste de destinataires soit affichée (Cc:, comme on en voit souvent dans les spams), soit cachée (il me semble que le header n'est tout simplement pas recopié dans les mails sortants du SMTP, champ Bcc:).

      Voila, j'espère que ça t'aide à comprendre :)

    • [^] # Re: ma vie et le spam....

      Posté par  . Évalué à 1.

      Tu peux gérer l'output du mail en rajoutant les "From:" et "To:" dans le DATA.
      Si aucun "From" ou "To" n'est précisé dans le contenu du mail, alors ce sont les informations provenant de "MAIL FROM" qui seront pris en compte.

  • # PC Zombies et FAI qui ne font rien

    Posté par  . Évalué à 3.

    A mon avis, il faudrait commencer par faire quelquechose par là

    Outre le spam, les botnets sont aussi responsables des attaques DDOS, et tout ce qui peut aller avec un botnet.

    Sans être zombie voilà un exemple de spam fr qui tombe sur le mail en @neuf.fr que je n'utilise jamais (jamais diffusé même):
    http://www.spam-rbl.com/ipstat.cgi?ip=84.14.4.133(...)

    94 plaintes chez colt sur cette IP depuis janvier, toutes ont eu une reponse automatique mais rien n'est fait, je continue à recevoir les même spams...

    il faudrait un peu plus d'action de ce côté là aussi... les abuse c'est pas censé être un bot "vacation", de temps en temps chez wanadoo ils reussisse à envoyer un mail d'avertissement ou à couper la connexion des plus génants... mais à mon avis si ils avertissaient/coupaient tout ceux infectés sans le savoir, il y aurait une certaine chute dans les stats d'abonnements haut débits...

  • # La seul solution contre le SPAM

    Posté par  . Évalué à 2.

    http://www.informationweek.com/blog/main/archives/2005/07/russian_s(...)
    ;)

  • # la poste

    Posté par  (site web personnel) . Évalué à 1.

    la poste n'est plus FAI mais elle le fait.

    Le problème, c'est qu'ils suppriment d'office ce qu'ils ont classées comme spams et tu peux même pas vérifier que le filtre ne s'est pas planté ... c'est bien pour les neuneus mais pour les autres c'est moyen , non ?

Suivre le flux des commentaires

Note : les commentaires appartiennent à celles et ceux qui les ont postés. Nous n’en sommes pas responsables.