Newsgroup: it.news.net-abuse
Titolo: SPF e "le banche"

Non so se il discorso sia OT qui .. io ci provo...
è ormai da un certo tempo che sto usando SPF sia per
quanto riguarda la pubblicazione dei dati relativi a domini
sia per il check delle emails in ingresso.. ora.. siccome per
puro caso stamattina ho avuto qualche minuto libero e dato
che stavo anche "smazzandomi" alcune e-mail di phishing
ricevute su mailboxes "esterne" ho iniziato a verificare quante
banche e/o organizzazioni che muovono "denaro on line"
abbiano un record SPF valido.. ed il risultato è stato a dir poco
sconfortante; sembra che proprio le entità/organizzazioni che
potrebbero trarre il maggior beneficio da SPF stiano ignorando
la cosa.. e dire che inserire un record TXT nel DNS costerebbe
praticamente ZERO e permetterebbe di eliminare (quasi) del tutto
i tentativi di phishing; un esempio ? Beh basta prendere il dominio
"
poste.it
" che è stato (ed è) uno di quelli soggetti a tentativi ripetuti
di phishing; sarebbe bastato pubblicare nel DNS un record SPF
per ridurre quasi a ZERO la percentuale di successo delle varie
emails di phishing in circolazione; il tutto a costo NULLO e senza
problemi di implementazione.. ora mi chiedo.. perchè proprio gli
enti/istituti che potrebbero trarre il maggior giovamento (ed a costo
zero) dell'implementazione di SPF ... non lo usano ?

 perchè proprio gli enti/istituti che potrebbero trarre il maggior giovamento (ed a costo zero)
dell'implementazione di SPF ... non lo usano ?
Magari questi enti/istituti (o le aziende informatiche presso cui si
appoggiano) avessero persone capaci come te :-) Per non offendere il
Supremo, ti posso dire solo che sei per me il dEo del Dns :-)
Perchè non scrivi una lettera a qualche redazione giornalistica
affinchè facciano echeggiare la cosa? E/o al senatore Cortiana (+ al
Ministro o all'Agenzia appropriata), credo sia il + sensibile
informaticamente parlando.
J

ObiWan ha scritto:

Condivido le osservazioni tuttavia :
- Fintanto che anche i server di ricezione non fanno un check del record 
SPF pubblicare un record SPF serve davvero a poco...ISP Italiani che 
fanno check dell'SPF ? avanti coi nomi :)
- Nel caso di 
poste.it
 essendo il dominio utilizzato anche per gli 
utenti residenziali con conto corrente presso le poste il record SPF 
obbligherebbe gli utenti ad utilizzare l'SMTP autenticato di poste 
italiane (ammesso che esista)....non che sia male ma chiaramente 
introduce complicazioni di configurazione
- Esiste ancora la figura del DNS Admin? ho tanto l'impressione che in 
Italia non sia mai esistita ed ad ogni modo dalla quantità di DNS mal 
configurati, aperti alla recursione, lame server, etc...credo che il 
record SPF sia una parola sconosciuta ai più
my 2 cents
bye
-- 
Alex

 record SPF sia una parola sconosciuta ai più
ah beh.. questo non lo so :D

problemi di implementazione.. ora mi chiedo.. perchè proprio gli
A parte il fatto che c'è un mucchio di gente che usa indirizzi @
poste.it
inviando la posta da altri server e il problema del forwarding.
Dettagli, eh...
-- 
ciao, |
Marco |  The Italian Usenet Cabal, Abuse Department (TINC)
"It's about damn time that all of us who actually give a damn about Usenet
stand up and tell the people who don't to fuck off and die." -- Russ Allbery

 Dettagli, eh...
appunto

reale.. ma magari tu hai altri ..
Osservando il traffico dei miei clienti *è* un problema reale.
Anche solo del forward di alcuni account aziendali tra mie macchine,
anche volendo implementare SRS su alcune sarebbe un lavoraccio.


 anche volendo implementare SRS su alcune sarebbe un lavoraccio.
qui mi sono perso; se parliamo di usare SPF per (cercare di)
evitare o cmq limitare il phishing; dal punto di vista di una banca
sarebbe sufficiente pubblicare i records SPF per permettere a
qualcunque "entità esterna" di verificare se un determinato
messaggio email sia valido o "spoofato"; in una realtà di questo
tipo non vedo problemi di "remailing" che non sia "remailing
interno" alla banca stessa e che in questo caso non inficerebbe
l'utilizzo di SPF in relazione con gli MTA pubblici
o mi è sfuggito qualcosa ?

o mi è sfuggito qualcosa ?
banca -> mioserver -> altromioserver
Il mio primo server non implementa e non può implementare SRS con costi
di sviluppo accettabili. E dopo ovviamente ci sono tutti i server non
miei nel mezzo che non implementano SRS e non si sognano di farlo...


 miei nel mezzo che non implementano SRS e non si sognano di farlo...
si chiarissimo (ora)