Spamfilters trappen niet in gesigneerde spam
In een nieuwe poging om ongewenste reclames aan de man te brengen en populaire spamfilters te passeren, hebben spammers hun ongewenste commerciele e-mail van digitale handtekeningen voorzien. Het spamplezier was echter van korte duur, want de meeste spamfilters herkennen inmiddels de spamberichten. Digitale handtekeningen worden in e-mails gebruikt om de geldigheid en integriteit van het bericht te garanderen. Elke verandering aan het bericht verbreekt de handtekening en kan dus worden gedetecteerd. De nieuwe tactiek was volgens Rand Wacker van Sendmail bedoeld om het populaire spamfilter SpamAssassin om de tuin te leiden. Oude versies van SpamAssassin bevatten namelijk een regel dat ze berichten met PGP signatures in de meeste gevallen doorlaten. (Cnet)
Ik snap het niet helemaal. Door de handtekening weet je toch waar de spam vandaan komt? Dan bijten de spammers zich dus in hun eigen vingers. Of zijn de digitale handtekeningen eigenlijk niets waard?
Spamassassin werkt met een puntensysteem. Woorden als "viagra" geven bijvoorbeeld +0.5 punten. Er zijn nog veel
meer regels en die worden allemaal gechecked. Komt het aantal
boven een bepaalde waarde, dan wordt het als spam 'gemarkeerd'.
Een van de rules WAS dat een PGP signature negatieve score
toekende, waardoor de eindwaarde lager uitwam. Die regel is kennelijk verwijderd. Niet echt groots nieuws :)
Ik snap het niet helemaal. Door de handtekening weet je toch waar de spam vandaan komt? Dan bijten de spammers zich dus in hun eigen vingers. Of zijn de digitale handtekeningen eigenlijk niets waard?
Indien je alleen kijkt om te zien of daar een handtekening is heeft het geen zin, je moet kijken of de signature is goed en daarvoor heb je de persoons 'public key' nodig. Volgens mij doet de huidige spam filters alleen de eerste stap en niet de tweede.
Een spam filter kan versleutelde tekst helemaal niet lezen, dus laat het die e-mail door.
[...]
The end of encrypted e-mail??
Een spam filter kan versleutelde tekst helemaal niet lezen, dus laat het die e-mail door.
[...]
The end of encrypted e-mail??
Dat lijkt haast met geen goed fatsoen (meer) te bestrijden, lijkt er geen kruid tegen opgewassen.
Toch zal de spammer op enige wijze zulks publieke sleutel moeten zien te verkrijgen alvorens deze te misbruiken.
Spamfilters kunnen worden uitgerust met de 'sleutel' ten einde zich te kunnen vergewissen van de inhoud. Dit is natuurlijk een potentiele security-vulnerability indien gecentraliseerd. Aan de clientside zou dat tot een mogelijkheid kunnen behoren maar heeft het betreffende spam-bericht dan al de organisatie gepenetreerd.
Daarnaast kun je altijd de betreffende headers blijven controleren en de black- en/of whitelists aan de (SMTP) voordeur blijven hanteren waarbij een additionele proxy-detect tevens soelaas kan bieden.
Echte bestrijding van spam kan enkel op wettelijke basis. Voor dit onkruid moeten betere verdelgingsmiddelen worden ingezet, bewijst de dagelijkse praktijk.
Niet enkel gelimiteerd tot ons kikkerlandje.
Spamfilters kunnen worden uitgerust met de 'sleutel' ten einde zich te kunnen vergewissen van de inhoud. Dit is natuurlijk een potentiele security-vulnerability indien gecentraliseerd.
Dat is niet perse waar. Een gecentraliseerde aanpak met e-mail versleuteling verschuift het probleem van de beveiliging van de werkplek naar de centrale server. In principe is zo'n centrale oplossing beter te beschermen.
Hoe dat werkt? Bijvoorbeeld door enkel e-mail te accepteren die getekend is met een publieke sleutel. Die sleutel moet dan vertrouwd zijn doordat
- de sleutel bekend is; of
- de sleutel getekend is door een vertrouwde CA; of
- de sleutel getekend is door een vertrouwde TI (trusted introducer/PGP web)
Geen spam. Wel e-mail beveiliging!
1) Dat is niet perse waar.
2) Een gecentraliseerde aanpak met e-mail versleuteling verschuift het probleem van de beveiliging van de werkplek naar de centrale server.
3) In principe is zo'n centrale oplossing beter te beschermen.
Corrigeer mij wanneer ik het fout heb, graag zelfs. Het is wel zo dat je je bescherming dan op een punt kunt focusseren. Maar is dat gecentraliseerde punt dan niet eigenlijk juist (aanzienlijk)
meer kwetsbaar, dat juist alleen al daarom moet worden beschermd. Een bescherming waarvan je weet dat deze mogelijk nooit 100% waterdicht kan zijn.
Persoon vind ik de risiko's veel te groot ten opzichte van het doel: spambestreiding.
Mocht mij iets ontgaan, mag ik dat uiteraard graag vernemen.
- de sleutel bekend is; of
- de sleutel getekend is door een vertrouwde CA; of
- de sleutel getekend is door een vertrouwde TI (trusted introducer/PGP web)
Met de absoluut niet publieke (pgp) decodeersleutels op een systeem tegen spam maak je toch een soort "Jackpot" van onmeetbare waarde. Wanneer dat op welke wijze dan ook eens wordt ontvreemd of gepenetreerd heb je niet "gewoon een probleem" maar is direct de integriteit en betrouwbaarheid van de bestaande signed documenten volstrekt waardeloos, de hele integriteit van die afdeling of bedrijf.
Overigens bestaat het probleem van centrale opslag ook in de vorm van het X.509 certificeringsformaat. Doordat in die standaard de geldigheid van een sleutel afhankelijk is van één "root" sleutel (die dus ook maar op één plek kan worden opgeslagen) is een "Jackpot" van onmeetbare waarde gecreëerd.
Deze posting is gelocked. Reageren is niet meer mogelijk.
Ketenregisseur Gedigitaliseerde Criminaliteit en Cybercrime
Ben jij er klaar voor om de leiding te nemen in het bevorderen van de regionale samen-werking in de strijd tegen gedigitaliseerde criminaliteit en cybercrime? Samen met collega's, politie en regionale en landelijke partners? Dan is de dynamische rol van Ketenregisseur Gedigitaliseerde Criminaliteit en Cybercrime bij het Regionaal Samenwerkingsverband Integrale Veiligheid (RSIV) jouw op het lijf geschreven!
Digital Designer
Ben jij een Grafisch vormgever, UI-designer, Game-artist of gewoon een ‘self-proclaimed creative genius’, die op zoek is naar een leuke en uitdagende baan waarin je al je creativiteit kwijt kan?Je werkt samen met onze developers en UI/UX-designer aan onze Gamified Cybersecurity Challenges welke jij voorziet van de mooiste designs.
Cyber Security Trainer
"You know that feeling after you have been to the cinema and seen an exciting movie? It's the same after this training. I can only say that this is probably the BEST TRAINING that I've ever done!!!”
Are you ready for a challenge?
Senior Full Stack Developer
Als full stack developer bij Certified Secure maak je de mooiste cybersecurity challenges die onze deelnemers wereldwijd uitdagen en inspireren. Alle challenges zijn gebaseerd op actuele kwetsbaarheden, je komt dus telkens nieuwe technieken tegen, van machine learning tot web assembly, van Swift UI tot GCP.