「IPアドレスの最近傍識別を行うSPAM Filter」記事へのコメント

バグレポート

[Ryo.F (3896)]

ソース見ました。動かしてませんが、バグがあるんじゃないかと思います。
というのは、メール送信者IPアドレスを抽出する(NNIPF/PERL/header.plの中のmain'HeaderAnalysis)時に、メールヘッダの最初から走査して、Received:行の内、最後にMTAOBのリストに一致したものからメール送信者IPアドレスを抽出しているように見えます(違ったらすまん)。普通、Received:行は、新しいものが最初の方に来ますから、MTAOBのリストと一致するものの中で、一番古いものと一致することになります。
という事は、MTAOBのリストを知っているスパマーは、偽のReceived:行を紛れ込ませるこ

Re:バグレポート

[twada (33858)]

コメントありがとうございます． この指摘はいずれ出てくるだろうと思っていました．最後のMTAOBのみを評価している理由は，うちの大学では外部接続ルータでsmtp接続を強制的にメイルのフィルタリングマシンにredirectしているため，私に来るメイルのReceived行に複数回MTAOBが出てくるため，暫定的に最後のMTAOBの直前のReceived行からIPを引き抜いてくるようにしているためです．ですから，現バージョンでは仰るとおり，偽造されたReceived行には対応できません．ただ，現状ではそんな奇特なスパマーはいないようで，スパマーがこれに気がつくまでは使えるはずです．キッチリやるのなら，メイルの束からオートマトンを作らないといけないのですが，これをやると（事前にメイルの束が必要なので）ただでさえ使いづらいのに，もっとつかいづらくなるため躊躇しております．ご意見を参考にして，もうすこしましな方法を検討してみます． コードが汚いのは仰るとおりです．ちょっと書き直しをしてjcodeとmimerは不用にしました．時間があるときに書き直したいと思います．

Re:バグレポート

[Ryo.F (3896)]

キッチリやるのなら，メイルの束からオートマトン

いや、キッチリやるなら、taka2さんの様なやり方 [srad.jp]でしょう。
過去のReceived:列を正しく喰うオートマトンを作ったところで、それがすべてのケースを網羅しているとは限りませんよね。障害が起こった場合、別の経路でメールを受け取る仕組みになってるかも知れないわけだし。

スパマーがこれに気がつくまでは使えるはずです．

「Macではウイルスを心配しなくてよい」程度の話ですね。あまりカッコのイイ主張ではない気がします。

Re:バグレポート

[twada (33858)]

taka2さんの方法は，最初のMTAOBのIPアドレスを把握して，それに対してそれ以外のアドレスからの接続があった場合，そのIPを拾うということでした．ですが，私の場合，先のコメントで書いたように，下記のようなReceived行のメイルを受けています．(by 以下に mgate が6回も表れており，最後の by mgateが本来のIPアドレスをつかまえています．)

Received: from mgate.center.wakayama-u.ac.jp (mgate.center.wakayama-u.ac.jp [133.42.248.34])
    by wada5.cv (Postfix) with ESMTP id 7B0D3E982FE
    for <[e-mail]

Re:バグレポート

[twada (33858)]

自分で自分にコメントします．by MTAOBのfrom部分全てで弁別度を計算し，それの最大値を取るという方法なら，偽造しても影響はないはず．唯一の問題点は，GIPやBIPへの反映をさせるためのプログラムがややこしくなるということです．