Boletín de RedIRIS n. 58-59

Tratamiento del spam en el correo electrónico

Treatment of Spam in Electronic Mail

P. Pérez Sánchez y B. Pérez Oñate


Resumen

En este documento se exponen recomendaciones y herramientas aplicables a la gestión del correo electrónico de una organización que permitan reducir al máximo el spam que recibe y el spam que genera.

Se incluye un repaso de las medidas más conocidas, nuevos métodos de recogida de información para la identificación el spam y la gestión centralizada de denuncias de usuario.

Palabras Clave: spam, control-flujo, mail-log, milter, sendmail, relaying,

Summary

In this document recommendations and tools are exposed to reduce both the incoming and outgoing spam. They are a review of measures well-known, new forms to get information for spam identification, and centralized management of user denunciations.

Keywords: spam, flow-control, mail-log, milter, sendmail, relaying

1.- Introducción

La explosión experimentada en el uso de la Red ha propiciado la aparición de intereses comerciales que se sitúan en las antípodas de los intereses cooperativos que caracterizaron a la Internet hasta la década pasada. Estos intereses están en la base de fenómenos como el spam y amenazan con desvirtuar el propio servicio de correo electrónico.

Entendemos por spam el envío masivo de mensajes no solicitados y, por extensión, todas las formas de abuso ligadas al servicio de correo electrónico (ACE). Sin embargo debemos diferenciarlo de las prácticas de marketing electrónico sujetas a regulación legal.

Los métodos utilizados por los spamers se sustentan principalmente en las deficiencias del protocolo SMTP, o si se prefiere en su ingenuidad. Aunque tanto el protocolo como sus implementaciones han evolucionado, todavía quedan instalaciones que por su antigüedad o mala administración permiten prácticas abusivas.

No vamos a entrar aquí a valorar las iniciativas legislativas que están apareciendo al abrigo de las directivas europeas sobre protección de datos y comercio electrónico. Nuestro objetivo es frenar la proliferación del spam en nuestras organizaciones, o al menos disponer de los mecanismos necesarios para denunciarlo.

2.- Medidas antispam

Después de varios años de esfuerzos por parte de personas e instituciones para sensibilizar a los administradores de correo electrónico y a los usuarios con el problema del spam, en este momento tenemos el criterio suficiente para valorar el impacto negativo de este fenómeno, tenemos las recomendaciones básicas para atajar el problema y tenemos las herramientas técnicas necesarias para ponerlas en marcha.

En el RFC 2505 (Anti-Spam Recomendations for SMTP MTAs, febrero de 1999) se ha tipificado un paquete de medidas técnicas suficiente para rechazar el spam. Medidas que trataremos de exponerr agrupadas en cinco bloques.

A) Recogida y validación de datos

En el control del spam, es fundamental disponer de información exhaustiva y veraz sobre los mensajes procesados, las máquinas que están implicadas y la repercusión de las medidas de control adoptadas.

Las cabeceras "Received:" del mensaje recogen toda esta información, incluyendo datos sobre las estafetas implicadas, las fechas de procesamiento, los datos de autenticación, etc.. La generalización del encaminamiento indirecto y la proliferación de cortafuegos complica la interpretación de estas cabeceras. Por otra parte, es práctica común entre los spamers la falsificación o eliminación consciente de algunos de estos datos para dificultar el seguimiento del mensaje.

La información relacionada con el procesamiento del mensaje es enviada también por Sendmail al fichero de log. Sin embargo, la complejidad de su tratamiento automático nos aconsejo el diseño de un paquete (SpamControl), compuesto por un programa basado en las librería Milter y unas pocas utilidades en Perl. Este conjunto de utilidades, ahora en fase piloto, genera un fichero de log más sencillo y con más información que el de Sendmail y puede generar informes en línea sobre estafetas, direcciones o contenidos. Además, esta herramienta podría darnos información para valorar el impacto de las medidas a adoptar.

B) Organización centralizada del servicio de correo

El nacimiento de SMTP respondió a la necesidad de disponer de un mecanismo sencillo de comunicación entre usuarios de máquinas Unix sin una organización jerarquizada. Esto explica la simplicidad de un protocolo caracterizado por el encaminamiento directo.

Recientemente, la progresiva masificación de los usuarios y su dependencia creciente respecto del servicio, la complejidad de los mensajes y la heterogeneidad de los sistemas implicados, y la aparición de prácticas abusivas (falsificación de los remites, spam, propagación de virus, etc.), han puesto de manifiesto la necesidad de una regulación del servicio cada vez más estricta por parte de las organizaciones y han obligado a la dedicación creciente de recursos materiales y humanos.

Paralelamente asistimos a la proliferación de máquinas (servidores departamentales, workstations, ordenadores personales, etc.), con capacidad para manejar y encaminar correo SMTP pero sin una administración adecuada. Estas máquinas (open relays) son el objetivo preferente de los spamers para el encaminamiento de sus envíos masivos. Envíos realizados sin el conocimiento del propietario de la máquina o ante su impotencia.

La generalización de esta práctica y la incapacidad real para configurar adecuadamente todas estas máquinas obliga a una solución drástica pero efectiva: el "filtrado del puerto 25" en los routers de la organización. La comunicación con el exterior utilizando el protocolo SMTP queda restringida a unas pocas estafetas (dos o tres) que centralizan todos las medidas de seguridad y descargan a los servidores secundarios de tareas tan pesadas como la gestión de colas o el encaminamiento de mensajes.

A pesar de que instituciones como RedIRIS y muchos postmasters venían abogando por la adopción de esta medida, solamente ha comenzado a generalizarse tras la implicación de algunas organizaciones en incidentes graves o amenazas como la distribución del virus Sircam y otros.

C) Control sobre la procedencia y destino de los mensajes

Un paquete importante de medidas antispam gira entorno a la necesidad de tener control sobre el origen y destino de los mensajes, así como sobre las estafetas utilizadas en su encaminamiento.

La herramienta más popular para rechazar conexiones procedentes de estafetas catalogadas por haber enviado o encaminado spam, se basa en la consulta de "Listas Negras" (DNS blacklists).

La utilización en la Universidad de Zaragoza de listas como rbl, dul y rss (las tres son gestionadas por MAPS) ha supuesto el rechazo del 1% de las conexiones procedentes del exterior de la organización.

Sendmail dispone de una base de datos local que facilita la gestión de accesos (Access Control Database). Usando esta base de datos tenemos un control exhaustivo de estafetas y direcciones aceptadas o rechazadas y podemos contemplar excepciones para usuarios de estafetas incluidas en alguna "lista negra".

Decíamos al principio que la principal estrategia de los spamers se basa en ocultar su identidad, así como la procedencia y camino seguido por sus mensajes. Son prácticas habituales la utilización de relays abiertas y mal configuradas, en muchos casos desconocidas para el DNS. También es común la manipulación de las cabeceras "Received:", la falsificación de los remites, etc..

De las 10.000 relays que envían mensajes a Unizar, el 23,2% no están registradas en el DNS y de éstas el 84,4% no tienen resolución inversa. El 48% de las estafetas no disponen de MX (Mail Exchange Record) y un 7,5% de las estafetas analizadas son "Open Relay".

Con esta situación, activar los mecanismos de rechazo para estafetas sin resolución inversa, como aconseja el RFC 2505, daría lugar al rechazo de un porcentaje de mensajes escandaloso (19%). Es importante, no obstante, hacer una labor de educación dirigida por lo menos a los casos más significativos y cercanos: más del 50% de los mensajes proceden del 4% de relays no registradas.

En este grupo de medidas deben incluirse las encaminadas a impedir la generación de mensajes falsificados en el interior de la organización. El uso de autenticación para el envío evitaría la mayoría de los abusos internos y permitiría la identificación de los usuarios, accedan bien desde el interior o desde el exterior.

D) Control del flujo

Uno de los factores que identifican al spam es su carácter masivo. Para los spamers resulta más sencillo y barato incordiar a cientos de miles de buzones que mantener listas de direcciones actualizadas y clasificadas.

La necesidad de procesar estos envíos masivos e indiscriminados, tratando de evitar las denuncias de los usuarios, explica el interés de los spamers por utilizar estafetas de terceros. Estas estafetas se ven obligadas a procesar miles de mensajes que terminan en muchos casos bloqueando el sistema.

En este contexto, el estudio de los flujos de llegada de mensajes aparece como una posibilidad prometedora para la identificación de situaciones de spam, basada en el reconocimiento de patrones de comportamiento diferenciados.

Sendmail dispone de opciones que permiten "laminar" la llegada y procesamiento masivo de mensajes. La utilización racional y combinada de estas opciones (máximo número de conexiones por minuto, máximo número de subprocesos, etc.) protege al sistema en caso de avalancha pero son insuficientes para la identificación y rechazo del spam.

Con la utilidad SpamControl podemos realizar un control de flujo diferenciado por origen, remite, destino o repetición de mensajes. Además podemos incluir las excepciones necesarias para el procesamiento rápido de los mensajes procedentes de estafetas confiables (listas de distribución, estafeta internas, etc.).

El uso combinado de las opciones proporcionadas por Sendmail y las opciones que podemos implementar con SpamControl, nos permitiría utilizar técnicas de teergruben (aceptar mensajes de una manera extremadamente lenta) para frenar la recepción de spam.

El control de flujo parece especialmente efectivo para descubrir e impedir el spam generado dentro de la organización. Exceptuando gestores de listas, podemos aplicar de manera más estricta el control de flujo al resto de los servidores de la organización.

Ninguna de las medidas anteriores se centra en el análisis del contenido de los mensajes. Aunque existen propuestas al respecto, entendemos que el único con capacidad para distinguir entre un spam o un mensaje comercial legítimo es el usuario.

Aunque las herramientas de filtrado incorporadas en los clientes son eficaces para desechar mensajes reiterativos aportan muy poco a la lucha antispam. Una vez capturada nuestra dirección, los filtros necesarios para eliminar toda la basura recibida puede crecer de una manera interminable.

Más interesante, aunque posiblemente menos eficaz, es la denuncia del spam. El usuario que recibe un mensaje no solicitado está en el derecho de denunciar al remitente de dicho mensaje y a la organización que lo distribuyó. Sin embargo, aunque para un administrador de correo es sencillo interpretar las cabeceras del mensaje, el usuario se ve casi siempre impotente para conseguir información sobre el origen de los spam recibidos.

El uso de SpamControl en la organización permite al usuario obtener vía web un análisis automático de las cabeceras del mensaje y denunciarlo en caso de spam. Esta facilidad, junto con la gestión centralizada de las denuncias facilitaría la gestión de una base de datos de spamers.

3.- Conclusión

Desde hace algún tiempo, el spam, junto con otras formas de abuso, está consumiendo recursos crecientes de las organizaciones: dedicación de los administradores, recursos materiales, etc.

Por ello creemos que ha llegado el momento de proponer la creación de una "red de confianza" que agrupe a las organizaciones que disponen de un servicio de correo de calidad. La composición de este grupo estaría basado en el cumplimiento de una serie de medidas básicas como las siguientes:

  • Existencia de un documento oficial de definición del servicio y normas de "buen uso"
  • Filtro en el puerto SMTP de la organización. Tanto en la entrada como en la salida
  • Existencia de estafetas y administradores "oficiales" en cada centro.
  • Facilitar el uso de comunicación cifrada (TLS) entre estafetas
  • Chequeo antivirus de todos los mensajes salidos de la organización.
  • Existencia de mecanismos para la denuncia e investigación del abuso.

El "certificado de calidad" obtenido por el cumplimiento de estas premisas, realzaría el prestigio de las instituciones, permitiría centrar los esfuerzos en el control de las conexiones y mensajes "externos", y establecería las condiciones idóneas para impulsar nuevos retos.

4.- Referencias