Spam can`t be beaten

Internet Internet Sicherheit
1

Hallo,

ich hab hier mal so einiges zum Thema Spam und deren Vermeidung aufgetrieben.
Unterschiedliche Worte in die Spam Nachricht zu schreiben ist ja immer beliebter geworden. Dadurch kann laut eines Artikels, der sich hier findet:
( http://news.bbc.co.uk/2/hi/technology/3458457.stm ), Spamfilter austricksen lassen.

John Graham-Cumming ( http://www.jgc.org/ ), war einer der Referenten der Spamconference 2004 + 2003 ( http://www.spamconference.org ). Recht bekannt ist seine Kollektion gebräuchlicher Spamtechniken „The Spammer’s Compendium“ ( http://www.jgc.org/tsc/ ), sowie der von ihm entwickelte Anti-Spam-Filter ‚POPFile‘ ( http://popfile.sourceforge.net/ ).

Er fand heraus, dass selbst Bayes-Filter zu umgehen sind. Allerdings muss dazu ein recht großer Analyse-Aufwand betrieben werden. Die entsprechende Präsentation von der Spamconference 2004 „How to beat an Adaptive Spam Filter“ (sehr gut!) kann man hier downloaden (
http://www.jgc.org/SpamConference011604.pps )

Zwei Aussagen aus dieser Präsentation finde ich interressant. Zuerst seine Meinung zu den so genannten Challenge-Response-Filtersystemen (funktionieren analog zu Double Opt-In). Diesem Kommentar kann ich nur zustimmen!

"I don’t „do“ C/R. If I mail you and you challenge me I hit delete,
because, as Dan Quinlan put it: „C/R is the ultimate email diss. By using it you are saying, ‚my time is more important than yours.‘“

Ausserdem:

Absolutely NO FEEDBACK AT ALL to Spammers
* No rendering HTML
* No bouncing
* No SMTP server errors
* No selective challenge/response
* No NDRs (Non-deliverable Response)

Diese Forderungen erschweren natürlich das Leben aller „braven“ Leute sehr!

Wie seht Ihr das? Wann wird man dieses Problem in den Griff bekommen? Welche Auswirkungen hat das für den Privatuser und das Business?

Gruß
h.

2

Zwei Aussagen aus dieser Präsentation finde ich interressant.
Zuerst seine Meinung zu den so genannten
Challenge-Response-Filtersystemen (funktionieren analog zu
Double Opt-In). Diesem Kommentar kann ich nur zustimmen!

"I don’t „do“ C/R. If I mail you and you challenge me I hit
delete,
because, as Dan Quinlan put it: „C/R is the ultimate email
diss. By using it you are saying, ‚my time is more important
than yours.‘“

Challenge Response mag doof sein. Double Opt In ist es keineswegs. Dies sind auch zwei ziemlich verschiedene Paar Schuhe.

Absolutely NO FEEDBACK AT ALL to Spammers
* No rendering HTML
* No bouncing
* No SMTP server errors
* No selective challenge/response
* No NDRs (Non-deliverable Response)

Diese Forderungen erschweren natürlich das Leben aller
„braven“ Leute sehr!

Allerdings! Absolutely no feedback ist genauso blöd, wie der Stealth-Modus einer PF. Nein, noch blöder, denn so hat der Spammer nie einen Grund, vielleicht doch mal eine Adresse aus der Liste zu nehmen. Legitime, aber abgewiesene Mail-Versender hingegen erfahren nie, warum sie keine Antwort auf ihre Anfrage bekommen. Ich bemühe mich gegenteilig sehr, dass Antworten des Mailservers ‚sprechend‘ sind, dass abgewiesene Nachrichten einen Verweis auf eine Unternehmenswebsite enthalten, wo der „brave“ Absender unsere Mailpolicies durchlesen und dann entspr. reagieren kann.

Und jetzt werf ich noch ein neues Buzzword in die Diskussion: SPF. http://heise.de/newsticker/meldung/44262 Scheint mir eine interessante Alternative zu dialup-denys zu sein. Aber ob es tatsächlich dazu taugt, das Gesamtvolumen von Spam zu verringern? Oder dient es eher dazu, Rufschädigungen durch missbräuchliche Absenderkennungen zu vermeiden? Wird mit AOL alles besser, oder bleibt das Wetter so, wie es war?

Gruss,
Schorsch