Vlákno názorů k článku A co váš počítač, je také odpovědný za šíření virů? od Corwin - S tymi ludmi je to zialbohu tak. Potom...

S tymi ludmi je to zialbohu tak. Potom vacsinou sa aplikuje procmailove filtrovanie do /dev/null alebo neaky filter do Trashu v mojom MUA. Alebo bouncing :), ale to uz je diskutabilne.

muzete dat priklad takoveho mailu? Chapu jak to myslite, ale nedovedu si to ve skutecknosti predstavit. Podle mne pokud projdu _vsechny_ hlavicky Recieved, tak po trose zkoumani uvidim ze tam neco nesedi.


btw. vetsina lidi aby na nekoho vyletela si ani nemusi cist zdrojovy kod zpravy, oni si plne vystaci s tim, ze jim MUA zobrazi From: <vy@vasserver.org>, a uz vam plni schranku stiznostmi.

Ale my si nerozumíme... Já mluvím o dokazování toho, odkud onen mail odešel, protože kromě možnosti, o které píšete Vy (a která se mě zatím chválabohu zatím netýká) je ještě ta možnost, o které tu mluvím celou dobu, a to je manipulace s hlavičkami mailů. Prostě Hajzl rozešle úmyslně ze svého PC (různě maskovaného) mail někomu třetímu a ten mail VYPADÁ (protože má manipulovanou velkou část hlavičky), jako byste ho odeslal Vy, ale s Vámi má společnou právě a jen tu někde získanou Vaši adresu. A Váš PC může být v tu dobu klidně vypnutý a čistý a nečervivý... a příjemce (nepoučený, a těch je 99%) vyletí na Vás a bude Vás bombardovat maily s tím, že máte Vy zavirovaný PC... Už si rozumíme??

chjo... tak znovu:

jde o to, ze Vas pocitac bude zavirovany (resp. zacervovany), k tomu cervu se pripoji spamer zvenku (nebo obracene) a da mu text emailu a Vas pocitac ho rozesle na vsechny adresy ktere nekde najde!

Nevyplnuje "Received from bbb by ccc (vas pocitac)" muj server/server u isp?

Cili muzu prohlasit, ze to mizna slo buhviodkud ale pres bbb a dal uz se tomu da verit (prinejmensim Spamcop to tak dela, pri registaci posle mail a necha si ho poslat vcetne hlavicek nahrat zpet - podle zpracovani soudi, cemu verit a cemu radeji ne).

Cerny Petr zustava u bbb, coz je odesilatel nebo otevrena proxy nebo formular nebo smtp server od isp odesilatele atp.

Prakticky efekt 0, kdyz je bbb fyzicky v Brazilii nebo Cine.

Ale oni nakonec nemusí manipulovat další hlavičky, stačí ta první. A pokud to jde přímo na můj mailserver, tak jsem mimo.. Nevím, jak je možné, že mi občas přijde mail prakticky bez hlaviček...

Tak znovu: co mám JÁ společného s tím, že nějaký hajzl H pošle mail na firmu F a jako odesílatele zadá můj e-mail, který kdesi vyharvestil na webu??????

Suhlasim.
Myslim ale, ze falsovanie logov na dotycnych pocitacoch je uz mimo schopnosti daneho viroveho mailu..

To uz se tady resilo pred par mesici...

Jednoduse - pridam tam na zacatek falesne Received. Tedy dostanete strukturu:

Received from localhost by aaa
Received from aaa by bbb
Received from bbb by ccc (vas pocitac)

Vy NEJSTE schopen rozhodnout, jestli dopis poslal pocitac aaa nebo bbb. Leda na zaklade analyzy logu na dotycnych pocitacich, ale k nim se nejprve musite dostat, a navic se daji zfalsovat.

Hm, opat tak ako v prispevku nizsie, sa pytam.. napriek tomu, ze ovplyvnim prvotne Received:, ako ovplyvnim dalsie Received: ked kazde z nich je tam pridane od nezavisleho serveru, ktory spracuvava nasu spravu. Ako?

Ak by platila ta scifi, aku chcel autor clanku mat (zodpovednost etc.), tak potom by bolo mozne niekoho lahko potrestat, ze cosi siri. Ale v sucasnosti to mozne nie je zialbohu/nastastie.

Ak by som mal napriklad doma dialup a pridelenu urcitu IP od poskytovatela, a niekto by si tuto IP naspoofoval, pricom ja by som o tom case na nete nebol (ISP myslim eviduje aky klient bol kedy pripojeny a aka IP mu bola pridelena DHCPckom), tak myslim, ze zaznam ISP bude dostatocne relevantny, aby preukazal moju nevinu (teda to, ze ja som na tej IP o tom case nebol).

To by ma inak zaujimalo, co tie hlavicky nicilo. Pretoze Received: si tam prida kazdy stroj (gateway), cez ktory ten mail prejde. Pochopim, ze znicim prvotnu hlavicku, ale dost tazko ovplyvnim gateway pred sebou, resp. piatu gateway v ceste :). Cize si to skutocne neviem dost dobre v tejto chvili predstavit. Hm..

Viem si akurat predstavit situaciu, ze smtp engine si zisti MX zaznam pre moju domenu, a rovno sa pripoji na moj mailserver. Ale to nie je znicena hlavicka.

A je tu jeste ta okolnost, ze pravdiva bude s vysokou pravdepodobnosti jen ta hlavicka posledni.

No právě, ale šlo o to, že je podle zde prezentovaných názorů možné někoho snadno potrestat za to, že jeho PC cosi šíří. Chtěl jsem jen naznačit, že dokázat to není snadné a naopak - mohlo by se stát, že někdo bude donucen dokazovat, že ten mail, který má v hlavičce jeho adresu, neodešel od něj (jojo, já vím, presumpce neviny... v ČR... ha ha ha). BTW, vy jste ještě neviděl mail, který měl zničené i received hlavičky a jediná poslední byla z posledního SMTP serveru? Já ano... :-(
M.

Ale coby nie :), to bezne zazivam :). Ale jedna vec je From: hlavicka, pripadne Reply-To: a druha vec su Received: hlavicky.

Nasa avir/spam ochrana zachytava mraky mailov, ktore su udajne odosielane z neakej nasej mailovej adresy :). Az na to, ze clovek, ktory sa mailom nerozumie, resp. nepotrebuje rozumiet, lebo mu staci ten mail napisat a odoslat, pripadne prijat, tak ten vidi iba to From: :). A toho sa chyta..

Vyznam received: je asi taky, ze kazdy pocitac (gateway), cez ktore dany mail prejde, si tam pripise danu hlavicku. S tym freeweb skriptom, to je pravda. A ze prevadzkovatel webu za to nenesie zodpovednost, no ja neviem, ak sa pouzije paralela s realnym svetom (moj pes ta pokuse, zodpovedny som ja, moj zamestnanec poskodi tvoju firmu, zodpovedny som ja), tak by prevadzkovatel mal byt zodpovedny, resp. minimalne na poziadanie analyzovat situaciu a dany web bloknut.

Dokazovat, ze posielanie viru sposobil ten ci onen, no opat ta paralela s realnym svetom, mne to moze byt defacto jedno, ty ako majitel netcafe, resp. daneho domaceho pripojenia, si mas zabezpecit aby sa podobne veci nestavali. Takisto ako ked vencis psa baskervillskeho, tak mu das nahubok, aby nekusal vsetko okolo seba. Az na to, ze tato paralela nefunguje, tak ako autor clanku napisal :).

Inak suhlasim, ze problem by sa mal riesit na strane klienta (antivir, uzivatelska politika), s podporou na strane ISP (spam a avir ochrana, setrenie priloh atd).

Asi jste ještě nezjistil, že obrovská část spamu a zavirovaných mailů neobsahuje reálnou adresu odesílatele, ale náhodně vybranou ze seznamu na napadeném PC. Nezřídka pak přicházejí firmě A maily od firmy A (to není překlep), které zcela objektivně z jejich PC nepocházejí ... že by žalovala sama sebe???? To je právě ten trik - mail pošle spammer S na adresu A se zfalšovanou zpětnou adresou firmy F. No a firmy A a F se už pak samy postarají o další šíření tohoto spamu... Mám takových mailů v logu denně stovky...

No coz o to, hlavicky tu sice jsou, ale jaky je jejich vyznam? V nejlepsim pripade dokazi identifikovat pocitac, ale nekdy ani to ne - dokazu si predstavit, ze se mail posila pres skript na nejakem freewebu (staci PHP a fsockopen...) a uz nebude puvodce dohledatelny (provozovatel freewebu za to odpovednost nenese, pokud vim).

Ale ani zjisteni pocitace nemusi byt k nicemu. Typicky si predstavte skoly nebo kavarny - jeden uzivatel pocitac zaviruje, pak si k tomu sedne nekdo jiny a aniz by cokoliv spatneho udelal, uz se pod jeho session zacnou rozesilat viry. Ani v domacich podminkach to nemusi byt jasne - jak prokazete, jestli jsem rozeslani viru zpusobil ja nebo nekdo jiny, kdo se mnou v domacnosti bydli?

Osobne bych tenhle problem resil na strane klienta, tj. kazdy by se mel postarat o to, aby se mu tyhle viry nemohly aktivovat. Reseni na strane ISP (mrzaceni priloh apod.) je zajimave prave spis pro ty ISP, protoze jim to zmensi traffic v siti.

Tiscali ma s tymto problemy aj v Britanii :). Inak taka otazocka, tie viry chodia cez ich smtp server, alebo su odosielane vlastnym smtp enginom viru?

No ja neviem, v hlavickach mailov sa zvycajne uvadza "cesta putovania" daneho emailu, napr. take policko Received:

Napriklad:
Received: from nieco.sk (telecom-213-129-68.telecom.sk [213.81.129.68]
by amber.aeternal.net (Postfix) with ESMTP id D1F1D59D81
for <corwin@aeternal.net>; Tue, 10 Aug 2004 17:33:28 +0200 (CEST)

Cize myslim, ze slova "jen stezi dokazete" su asi zbytocne. To, ze aky uzivatel to zavinil, to sice ja pravdepodobne nezistim, ale napriklad v mojom priklade je vidiet, ze to bol pocitac pripojeny do telecom.sk siete. Cize dany ISP si uz dost dobre vie zistit, ze kto to bol.

S tymi technickymi prostriedkami to je pravda, teda co sa tyka strany klienta a jeho mailoveho softu.

Co sa tyka mazania alebo mrzacenia priloh, tam je to trosku diskutabilne, neviem co na to hovori sucasna legislativa, ale niekde sa na tuto temu uz debatovalo, a padol tam nazor docela zaujimavy a to, ze take zasahovanie do emailu je vlastne porusovanie tajomstva prepravovanej spravy ci ako, neviem ja nie som pravnik, ale dost razantne to neodporucali.

prajem pekny den,

Martin

bohuzel nekterym ISP je uplne jedno, ze jejich klienti rozesilaji do sveta viry nebo spam. me napriklad uz nekolik mesicu chodi viry od nejakeho trotla pripojeneho pres tiscali, tiscali je to ale uplne jedno a na zadosti o jeho odstrizeni nebo jine reseni nereaguje. asi jim ty viry zacnu forwardovat.

No, ona by ta odpovednost mela pomerne dost problemu. Na prvnim miste ten, ze jen stezi dokazete, ktery pocitac virus odeslal, a tim spis budete mit potize prokazat, ktery uzivatel to zavinil.

Krome toho mi pripada daleko jednodussi pouzit pro ochranu pred viry jednoduche technicke prostredky. Pokud postovni klient v defaultnim stavu ani nezobrazi spustitelne prilohy (coz si snadno overi podle struktury souboru) a po zobrazeni s nimi odmitne udelat cokoliv krome ulozeni na disk, viry to prinejmensim silne omezi. Uzivatel se pak na sve riziko a svou odpovednost muze rozhodnout pouzivat program, ktery mu dovoli vsechno.

Jeste zajimavejsich vysledku by se dalo dosahnout na serveru. Bud proste mazanim nebo mrzacenim spustitelnych priloh, nebo treba tak, ze si ISP pohlida pocet odchozich SMTP spojeni a pokud jich zjisti vetsi mnozstvi za kratkou dobu, tak dotycnemu uzivateli SMTP na urcitou dobu zablokuje.

(Tohle vsechno samozrejme plati jen pro mailove viry, ale to je taky zhruba jedina cesta, kterou je treba branit; klasicke souborove viry uz se peknych par let prakticky nevyskytuji, viry sirici se primo do nezabezpecenych pocitacu jsou uz dnes snadno zastavitelne masovym nasazenim firewallu)