Newsgroup: it.comp.sicurezza.varie
Titolo: Adesso scopriamo che...

Un saluto a Tutti.
Ho letto un reply ad Edu nel quale The Duke afferma che è possibile con un
buon anti spam configurato a dovere riconoscere le corbellerie insomma
effettuare un controllo in ingresso di tipo qualitativo. Se ben ho inteso si
tratterebbe di un anti spam intelligente capace di eliminare post non
graditi.
Domanda:"Premesso che non amo ricevere posta pubblicitaria, offerte di
lavoro fantomatiche, culi di maschi ed affini, vi chiedo quale sarebbero i
criteri che l'anti spam userebbe per valutare se trattasi di roba gradita o
meno; in sostanza pare che esisterebbero anti spam in grado di fare un
controllo sui contenuti di un post per poi, in base a dei criteri generali
forniti dall'utente, fare selezione..!!!
Sarò scettico ma mi pare da un lato un pò problematico implementare una
routine(sempre che si tratti di questo)intelligente nel senso sopradetto e
in più periglioso in quanto, ovviamente, si rischia di rifiutare posta
importante.
Se ho detto cazzate rispondetemi nello stile :"primo...secondo...ecc..."
Grazie.
Ing. Carlo.


Ciao, per quello che mi risulta non hai detto cazzate (qualcuno mi corregga
se sbaglio...)
comunque, i programmi Anti-Spam da me provati, non fanno quello che dice il
Frenulo....

forniti dall'utente, fare selezione..!!!
Prima di tutto bisogna vedere quale e' lo scopo del filtro antispam.
Per esempio, a me potrebbe andare bene scaricarmi tutta la mail, ma,
in automatico, killare tutta quella che non mi interessa.
Oppure voglio "non scaricare neppure" la mail che non mi interessa.
Nel primo caso, la posta finisce sul mio PC, quindi in locale ho il
modo di far girare programmi molto complessi; nel secondo caso devo
limitarmi a quelle poche info disponibili senza leggere le mail.
C'e' infine un corollario ("voglio non leggere _io_ la mail che non
mi interessa" ==> "mi va bene, se qualcun altro la legge e la killa
al posto mio).
Nel primo caso abbiamo un anti-spam intelligente.
Nel secondo caso un filtro anti-bomba piuttosto stupido.
Nel terzo caso un anti-tutto intelligente, che pero', naturalmente,
COSTA... costa in termini di banda, in termini di connettivita', e,
quindi, alla fin fine - in termini di denaro. Non e' cioe' qualcosa
che io possa far girare sul mio PC di casa: deve girare su un altro
server, ben connesso ad Internet, e la cosa non e' gratuita.
###
Primo caso: antispam intelligente
Normalmente si fa un esame per "espressioni regolari" (regexp), per
esempio qualcosa che assomiglia a "MAKE (\$*|MONEY)\$* FAST" matcha
i vari "MAKE $$$ MONEY $$$ FAST!", "MAKE $$$ FAST", eccetera. Anche
gli indirizzi possono essere esaminati... ed eventualmente inseriti
in una "black list" o "ignore list".
In genere, questi controlli vanno a punteggio: N punti per ogni hit
nella lista 'Sex' (SEX/XXX/FUCK/...), K punti per ogni hit "affine"
(*EX, S*X, SE*, F*CK, FU*K, eccetera).
Un altro criterio e' l'essere passato da un mail relay aperto, o in
qualche modo "marcato".
Alla fine si arriva ad un punteggio 'P'; se il punteggio supera una
data soglia, il messaggio e' scartato.
Ai vecchi tempi, su Fidonet, avevo costruito un aggeggio che poteva
riconoscere l'autore o determinare se due messaggi erano "affini" a
partire da percentuali relative di punteggiatura, spaziature, e una
quantita' di altri parametri. Ogni tanto ci azzeccava pure ;-)
###
Secondo caso: antibomba
Cioe', qualcuno ha deciso di riempirmi la mailbox - OPPURE di farmi
passare qualche ora a scaricare posta. Si puo' fare in due modi, di
base: tanti messaggi piccoli, o pochi messaggi enormi.
Nel secondo caso il mailbomber e' sgamato subito, e qualche MDA (in
alcuni casi perfino quelli sotto Windows!) e' in grado di ignorare,
o anche cancellare, i messaggi senza scaricarli.
Percio' un mailbomber serio deve ricorrere al primo sistema. Molti,
anzi moltissimi messaggi piccoli. A questo punto posso pero' ancora
fare una analisi statistica, non gia' degli IP di provenienza (dato
che, se ha trovato un relay abbastanza ghiozzo, mi puo' far mandare
qualsiasi IP, anche quelli marziani), ma degli IP di _transito_.
Poniamo pure che la carogna mi spedisca diecimila messaggi dal SMTP
relay di 
www.victim.com
; risulteranno spediti da ovunque. Pero', la
carogna non puo' impedire al relay di 
www.victim.com
 di scrivere in
ogni header "Ricevuto da Cydonia (Marte) da 
www.victim.com
".
Adesso mi tocca di scaricarmi lo header, ma solo quello, di ciascun
messaggio. Non solo: l'ora di invio e' sempre la stessa, a meno che
la carogna non sia stata on line due ore, per spedirmi tutta la sua
fuffa. Ancora: la distanza temporale fra due messaggi-fuffa e' poca
rispetto alla distanza fra un messaggio buono e la fuffa. Cosi', io
posso gia' estrarre il 90% dei messaggi buoni. Il rimanente 10% per
sfiga e' stato inviato durante il mailbombing.
Mi ritrovo allora con 10010 (diecimiladieci, non trentaquattro) msg
di cui solo dieci vanno bene... ma quali?
Dei diecimiladieci messaggi scarico gli headers... se la carogna li
ha inviati uno per uno, impiego meno tempo io a scaricarli, che lui
a spedirli. Se non l'ha fatto... c'e' una gran quantita' di headers
identici. In un caso e nell'altro, piu' o meno lo frego.
Inoltre, posso avere una "good list" contenente gli indirizzi di un
tot di corrispondenti, con un numero X di mail consentite al giorno
- tutti i corrispondenti passano, senza essere scrutinati TROPPO da
vicino, a meno che ce ne siano troppi o troppi tutti insieme.
Esiste il modo di scassare tantissimo l'anima anche a questo metodo
qui... pero' il lamer medio non e' in grado di riuscirci <grin>.
###
Terzo caso: Godzilla (sottotitolo, "size matters")
Come il precedente. Pero' tutto l'ambaradan gira su un server molto
(o abbastanza) cazzuto. Mi collego ad Internet; lancio Eudora; e se
vedo "1 message of 18726", clicco "Stop" e faccio telnet su un sito
che so io, lancio "defuse user 
L.S...@agora.stm.it
 pass budiulo" e
mi sconnetto. 
Il server remoto, che anziche' del mio modem urfido (*), dispone di
una ricca connessione a 10 megabit, fa pulito, e se ne va. Avendone
i mezzi potrei programmare il defuse per girare continuamente, ogni
ora allo scoccare dell'ora.
Leonardo
(*) Avevo un USR Robotics 57600, poi mi sono scozzato con un hacher
    ed e' diventato un OnLineExpress 14400 di un verdino orribile.
".signature": bad command or file name

beh i programmi che si trovano in giro per windows ad esempio fanno tutta
una serie di controlli che puoi a piacere settare o no.
L'ip .. se pero' lo spammer ce l'ha profumato si risolve poco.
Poi il controllo di certe parole contenute nel subject o nel body dei
messaggi.
La verifica se lo stesso msg e' stato postato piu' volte .. sia in
successione diretta (mailbombing) che nel passato.
Verifiche varie dalla proprieta' .. nel Received From, ecc..
Se proprio uno e' un misantropo ci sono prog che accettano mail solo da un
selezionato range di IP o di reti.
cmq .. io sono dell'opinione che un po' di messaggi al giorno di dite che ti
offrono chiapparelli vari non sono dannosi per la salute.. basta cancellarli
e via.
La cosa peggio e' rispondere!!.. anche rispondere con REMOVE e'
assolutamente DELETERIO!!!
Infatti loro quando rispondi sanno che il tuo indirizzo e' VALIDO .. e lo
cominciano a usare e a 'distribuire' in maniera professionale.

 Verifiche varie dalla proprieta' .. nel Received From, ecc..
io penso che come al solito eduardo abbia iniziato tardi a usare l'antispam e
poi abbia scritto nella sua page che lo usa sempre..
altrimenti come si spiegano tutti i msg che mi ha mandato con scritto nel
subject, invece di rispondere e leggere le mail, "la tua mail non l'ho letta,
l'ho butatta nel cestino" (che però mi gioco le palle che prima se le leggeva e
poi lo scriveva se non sapeva come rispondere....)
ciao
--
Giovanni Bruzzichelli
anonimo fiorentino milanese
http://www.bruzzi.com
UIN ICQ: 4390206
qui ci vorrebbe una bella frase...
...ma penso che sia meglio una piccola serie di links
 
http://www.xxxpasslords.com
 
http://passwordsbyjesus.com
 
http://www.allsexpasswords.com
 
http://www.passwords-4-free.com
 
http://xxxpassword.org/xxxorg.htm
 
http://xxpasswordzxx.3goddesses.com/list.html

l'ho butatta nel cestino" (che però mi gioco le palle che prima se le leggeva
Se pensi che Eduardo ringrazia in anticipo per eventi passati, secondo me
e' possibboli, anzi probabboli, che viva a ritroso nel tempo. Se e' cosi'
e' del tutto normale che ti killi una mail _dopo_ aver risposto.
Leonardo


beh a me a risposto ad una mail con "Non ho intezione di rispondere a questa
mail".
  .. io no so perche' ma sotto certi aspetti, legati puramente all'umano
incedere e svincolati assolutamente dalla sicurezza informatica, dove il
soggetto procura indubbiamente gravi danni a terze persone piu' di un pazzo
al quale venga dato in mano un fucile a canne mozze, il Freni ha un
non-so-che di simpatico. ;-)