Newsgroup: it.comp.os.linux.sys
Titolo: Razor, dcc etc... come funzionano?

A volte capita che arriva una email e spamassassin me la marca giustamente 
come spam dato che risponde a caratteristiche tipo:
1.5 RAZOR2_CF_RANGE_E4_51_100 Razor2 gives engine 4 confidence level
above 50%
[cf: 100]
0.5 RAZOR2_CHECK Listed in Razor2 (
http://razor.sf.net/
)
0.5 RAZOR2_CF_RANGE_51_100 Razor2 gives confidence level above 50%
[cf: 100]
2.2 DCC_CHECK Listed in DCC (
http://rhyolite.com/anti-spam/dcc/
)
0.8 DIGEST_MULTIPLE Message hits more than one network digest check
Poi magari dopo un minuto arriva una email "identica" e spamassassin non lo 
becca come spam perche' magicamente questi score non gli vengono piu' 
assegnati!
Le mail sono perfettamente identiche, unica differenza.... il mittente! Ma a 
me non sembra che razor e dcc siano delle semplici blacklist basate sul 
mittente, o sbaglio? 

 mittente, o sbaglio? 
Lavorano basandosi sul checksum dei messaggi.
-- 
Skull & Bones (ER6n Silver)

 C'è una enorme differenza.
Beh.... a occhio sono identiche, ma se il controllo e' sul checksum delle 
email allora il discorso cambia, sicuramente da quel punto di vista 
identiche non lo saranno sicuramente!
Ciao e grazie. 

Davide D'Amico ha scritto:

Vero che viene fatto un controllo sul checksum, ma vero anche che DCC è 
resistente all'hashbuster, cioè ad identificare messaggi identici con 
cheksum differenti. Per fare ciò si appoggia alla logica fuzzy.
Ovviamente c'è un margine di errore anche in questo...
Ciao


Per completezza alle giuste risposte che ti hanno gia' dato, considera 
anche l'ovvio: cioe' che questi controlli fingerprint (come per i check 
RBL) avvengono su server remoti e quindi esiste sempre l'eventualita' 
che possano finire con un timeout (o anche con un errore di 
connessione), e in tal caso l'email risulterebbe pulita. Qui puo' 
"anche" essere d'aiuto leggere nei log il tempo impiegato per il check, 
confrontandolo con quello nella variabile di configurazione di SA 
(rbl_timeout, mi pare).
==
Domanda a chi usa DCC (se posso in questo stesso thread):
Come vi funziona? un anno e mezzo fa l'ho installato su un server e poi 
disabilitato per via di un numero di falsi positivi, imho, troppo alto. 
Ma volevo provarlo di nuovo... Grazie.
-- 
Cybertoldo
Per rispondermi via email, sostituisci moc.liamg con 
gmail.com

 
Io sono dell'idea che spamassassin (senza dcc,pyzor,razor2 etc.) con 
filtro bayesiano sia poco efficiente e oggigiorno non è sufficiente un 
filtering basato solo sulle occorrenze.
Vuoi per il Bayes poisoning a cui si assiste giornalmente piuttosto che 
a messaggi inviati come immagini etc... sinceramente, senza appoggiarmi 
ai moduli sopra citati la vedrei piuttosto grigia. I server DCC, Pyzor 
etc. NON sono sempre raggiungibili (per via dell'intenso traffico), 
quindi può capitare che il messaggio non venga "scorato" e la somma 
attribuita da spamassassin non sia sufficiente a bloccare il messaggio: 
falso negativo (evento non raro, ma trascurabile per quanto mi riguarda)
Ti consiglio di effettuare sempre un report sui falsi negativi ai server 
DCC,Pyzor etc.
#man spamassassin:
[CUT]
-r, --report
         Report this message as verified spam. This will submit the mail
         message read from STDIN to various spam-blocker databases.
         Currently, these are Vipul's Razor ( 
http://razor.sourceforge.net/
         ), the Distributed Checksum Clearinghouse (
 
http://www.rhyolite.com/anti-spam/dcc/
 ), and Pyzor.
[CUT]
Ciao