Microsoftの新しいスパム対策案

tnk 曰く、 "Microsoftのスパム対策については以前にもストーリーになったが，2004年2月24日にMicrosoftのTrustworthy Computingのページにて，「Caller ID for E-Mail」という仕様が公開された（ITProの記事）
記事によれば，「Caller ID for E-Mail」とは「SMTPサーバー間でメールを転送する際に，Fromフィールドのメールアドレスと送信側のSMTPサーバーのIPアドレスを照会し，正しいSMTPサーバーから送られてきたメールかどうか確認する」というものらしい。MicrosoftのExchangeやHotMailだけではなく，米Sendmail社も対応する(pdf資料)という。
気になるのは，この仕組みを実現するには受信側のSMTPサーバーだけでなく，送信側のDNSサーバーもこの仕様に対応している必要がある，という点。MXレコードを持つDNSサーバーは「そのメールアドレスからのメールを送信する可能性のあるSMTPサーバーの一覧」を保持しなければならないという。実現しようとしている機能は有用だと思うが，全世界のDNSの設定変更を必要とするような仕組みがはたして受け入れられるか，という疑問は残る。"

送信側のDNSの設定

[tnk (13707)]

HotMailがすでに対応しているというので，試してみました。
こういうのを登録しないといけないのね。ううむ。

$ nslookup -type=ANY _ep.hotmail.com
Server: xxx.xxx.xxx.xxx
Address: xxx.xxx.xxx.xxx#53

Non-authoritative answer:
_ep.hotmail.com text = "<ep xmlns='http://ms.net/1' testing='true'><out><m><indirect>list1._ep.hotmail.com</indirect><indirect>list2._ep.hotmail.com</indirect><indirect>list3._ep.hotmail.com</indirect></m></out></ep>"

Authoritative answers can be found from:
hotmail.com nameserver = ns3.hotmail.com.
hotmail.com nameserver = ns4.hotmail.com.
hotmail.com nameserver = ns1.hotmail.com.
hotmail.com nameserver = ns2.hotmail.com.
ns3.hotmail.com internet address = 209.185.130.68
ns4.hotmail.com internet address = 64.4.29.24
ns1.hotmail.com internet address = 216.200.206.140
ns2.hotmail.com internet address = 216.200.206.139

Re:送信側のDNSの設定

[Anonymous Coward]

# Mozilla な人のための折り返し済みテキスト
# あんまし効果ないかな？
# ↓以下、引用です。

HotMailがすでに対応しているというので，試してみました。
こういうのを登録しないといけないのね。ううむ。

$ nslookup -type=ANY _ep.hotmail.com
Server: xxx.xxx.xxx.xxx
Address: xxx.xxx.xxx.xxx#53

Non-authoritative answer:
_ep.hotmail.com text =
    "<ep xmlns='http://ms.net/1' testing='true'><out><m>
    <indirect>list1._ep.hotmail.com</indirect>
    <indirect>list2._ep.hotmail.com</indirect>
    <indirect>list3._ep.hotmail.com</indirect></m></out></ep>"

Authoritative answers can be found from:
hotmail.com nameserver = ns3.hotmail.com.
hotmail.com nameserver = ns4.hotmail.com.
hotmail.com nameserver = ns1.hotmail.com.
hotmail.com nameserver = ns2.hotmail.com.
ns3.hotmail.com internet address = 209.185.130.68
ns4.hotmail.com internet address = 64.4.29.24
ns1.hotmail.com internet address = 216.200.206.140
ns2.hotmail.com internet address = 216.200.206.139

折り返し感謝

[tnk (13707)]

投稿したあとに，改行無しだとストーリー全体の表示が乱れることに気がつきました。
もうしわけありません。

# 「ホントのテキスト形式」で投稿したのは初めてだったので。

これだけではなんなので，追加情報。

「_ep.hotmail.com」のTEXT情報を見ると別のドメインにindirectされていることから
わかるように，実際のアドレスの一覧を得ようと思ったら，

・_ep.list1._ep.hotmail.com
・_ep.list2._ep.hotmail.com
・_ep.list3._ep.hotmail.com

を引かないといけません。リストがあまりに長いので，うちの環境では
Truncateされました。UDPにはおさまらないようです。DNSにTCPで接続に
いかせるのはどうやるんだっけな。

Re:送信側のDNSの設定

[Anonymous Coward]

>Mozilla な人のため

IEな人だが、今回は珍しく折り返さなかった…

Re:送信側のDNSの設定

[Namany (19002)]

折り返しのキーとなる文字が「testing」から「</ep>"」の間に一切無いからですね。
この前後で改行されているのは、そこにスペースが入っているからです。

#そういえば「<」「>」は折り返し条件対象外なのか。

Re:送信側のDNSの設定

[lucky (14762)]

DNS のパケットって、なるべく転送量を増やさないように
パケットが組み立てられていることが多いのに、
これって何で表記が冗長な XML を使用するのだろうか。

オフトピですが

[Anonymous Coward]

仕様上はメールドメインに「_ep」をつけてTXTレコードを検索するようですが、ホスト名に _ って使っちゃダメなんじゃなかったのかなぁ?

Re:オフトピですが

[Nayuki (8153)]

ダメだからこそ _ep なのでは。 DNSが正しく運用されてれば使われてることはない「はず」だから。

Re:オフトピですが

[harukatan (11787)]

はい、(既出だと思いますが)きまりの上では思いっきりダメです。
確か定義はRFC1034であってたかな？以下RFC1034から該当個所引用。

The labels must follow the rules for ARPANET host names. They must start with a letter, end with a letter or digit, and have as interior characters only letters, digits, and hyphen.

つまり、１文字目は数字か英字、２文字目以降は数字か英字かハイフン。
※補足。RFC1035にも同様のことが書かれています。
※DNSに関係するRFCはDNSのRFC [biglobe.ne.jp]にまとまってます。

そういえば関係ないけど、ActiveDirectoryも、DNSのレコードに "_" を使うもんをばしばし吐いてくれますね。
なんか好んで使ってるとしか思えないです（苦笑）

Re:オフトピですが

[lucky (14762)]

おいおい。本当は先頭に数字を置いてはいけないんだぞ。

domain = label ("." label)*
label = [a-zA-Z] ([a-zA-Z0-9-]* [a-zA-Z0-9])?
# rfc1035より

Re:オフトピですが

[xinu (10575)]

RFC1123 Requirements for Internet Hosts -- Application and Support の
2.1 Host Names and Numbersにて、緩和されています。

だから、3com.comとかも全然問題なしです。

Re:オフトピですが

[lucky (14762)]

おお。ホントだ。情報ありがとう。

The syntax of a legal Internet host name was specified in RFC-952 [DNS:4]. One aspect of host name syntax is hereby changed: the restriction on the first character is relaxed to allow either a letter or a digit. Host software MUST support this more liberal syntax.
#RFC1123 [ietf.org]より引用

ということでこうなると。

domain = label ("." label)*
label = [a-zA-Z0-9] ([a-zA-Z0-9-]* [a-zA-Z0-9])?

頑張れMS

[deleted user (8691)]

前のストーリー [srad.jp]もそうですが，
Microsoftはついに叩かれる側and/orターゲットにされる側からの脱却に
本腰を入れ始めたようですね．

様々な攻撃に去らされるのは強者ゆえの悩みと言えましょうか？
とにかく，ＭＳが問題に前向きに取り組んでいく姿勢をアピールしはじめたものと考えます．

なかなか効果は上がらないかも知れませんけど，
この「取り組もうとする姿勢」にまずは賛辞を送りたいと思います．

Re:頑張れMS

[Anonymous Coward]

広く普及しなくとも、AOLやYahoo等の大手が対応すれば それら（[e-mail], [e-mail], [e-mail]）からの FROM を詐称する　spam は激減するでしょうね. そうするとMSも加害者扱いされる可能性が減ってハッピーですね

うーん、すぐ破綻しそうだ。

[annoymouse coward (11178)]

メールアドレスの @以降の文字列しかチェックしないので
メールアドレスの詐称を防ぐにはちょっと非力すぎる気がします。

たとえばsmtp.example.com という
SMTPサーバを踏み台にしてSPAMを送信する場合は

1) DNS上のDBを調べて from行で利用可能な”ドメイン名”を入手
2) From: hogehoge@”ドメイン名”
      のような形でfrom行を用意したメールを送信

でSPAMが送信できてしまいます。

ORDB [ordb.org]のような不正中継をしているSMTPサーバのIPアドレスの
ブラックリストを用いる方法のほうが、まだマシな気がします。

有効でしょうか ？

[MIYU (17727)]

マイクロソフトのこの提案に対して、 さすらいのハッカーとして知られる Adrian Lamo氏 [cnet.com]がコメントしています。（ CNET　Japanの記事 [cnet.com]）

Lamo氏曰く：
個人的意見だが、Gatesが語ったセキュリティ対策、 特に電子メールの認証についてのアイデアは全く機能しないだろう。 スパマーにとって「信頼されている」他人のコンピュータや アカウントを乗っ取り、そこから電子メールを送信することなど 造作もないことだ。

スパムの3分の1はRATに汚染されたPCが原因 [cnet.com]という調査結果が
Lamo氏の言葉を裏付けるようです。 乗っ取りによる場合にはメールアドレスは正当ですが、内容はアドレスの所有者とは何の関係もないスパムになります。

スパムによって利益を得ている「物品・情報販売業者」を取り締まるしか対策は無いと思うのですが。それと、このような提案をする前に、他人に乗っ取られたりしない安全なコンピューター環境の提供をしていただけると有り難いですよね。

Re:有効でしょうか ？

[Anonymous Coward]

> それと、このような提案をする前に、他人に乗っ取られたりしない
> 安全なコンピューター環境の提供をしていただけると有り難いですよね。

え～、人間がパスワードを打ち込むような手法を採用している限り
無理ですので、ハードキーなどのハードウェアがパスワード代わりに
なる必要があると思います。

ディスプレイにパスワード

破綻どころか、普及すらしないかと。

[TvT (19813)]

これってメールのfromアドレスと、送信側のDNSサーバの情報を照合してスパムをフィルタリングする仕組みですよね？

ということは、相手側のDNSが対応していないと
　　・フィルタリングしない。
　　・全てスパムとみなす。
どっちかを選ばなければいけないはずです。

前者だとイミがないし、後者だとDNSが対応していない相手からはメールを受け取れなくなってしまいます。

自分の勝手な都合で相手側のDNSサーバの設定を変える(それができなければプロバイダの変更する)ことを強制させる仕組みが普及するでしょうか？

# 野良SMTPサーバ管理者なのでID。
# 普及したらDNSも自分で管理しなきゃいけなくなるし、困る。

参考:他に提案されている方法

[lucky (14762)]

• RMX: Reverse Mail Exchange [danisch.de]
• DMP: Designated Mailers Protocol [pan-am.ca]
• SPF: Sender Policy Framework [pobox.com]

そんな仕様、困る。

[Liberdade (6720)]

Bふれっつな友人宅にサーバマシン1台置いていて、
契約プロバイダのメールはそこに転送していて、
送信もすべてそこから行っています。
＃domainもってないので、FQDNはその友人のドメインの
＃DNSに登録してもらっている

この状態で今回タレ込まれた仕様が実装されてしまうと、
fromをプロバイダのメールアドレスにしたメールが出せなくなってしまう…よね？

転送して使ってるようなアドレスだと、全部同じようなことが起きてしまうと思うんですが。

--
よく「読めない」といわれるLiberdade

Re:そんな仕様、困る。

[Anonymous Coward]

送るときは自分のつかってるISPのメールサーバ使えばいいだけでは？

Re:そんな仕様、困る。

[r31_gts_tb (14753)]

ほとんど場合，その ISP に接続しなければ SMTP 張れないですよね?
POPBeforeSMTP とか SMTP-AUTH を許可してくれていれば ISP のサーバ使って送れるんですが，そうじゃない場合はとても面倒です．

何か良い方法はありますか?

--
------------------------
いつかきちんと仕上げよう

Re:そんな仕様、困る。

[Anonymous Coward]

ほとんどかどうかはともかく、少なからずそんなISPありますね。
以前利用してたISPがスパム対策としてそうなったとき、
「POPBeforeSMTPやSMTP-AUTHを導入してくれ」
と頼んで断られたので解約したことあります。

Re:そんな仕様、困る。

[Anonymous Coward]

ほとんどかどうかはともかく、少なからずそんなISPありますね。

僕が使っているISPはずっと以前からPOP before SMTPには対応していて，少なくともPOP before SMTPぐらいには対応していて当たり前と思っていた．しかし，大手でも最近まで対応していないところ [mainichi.co.jp]ってあったなぁ．但しDionの場合，POP before SMTPに完全に対応する前はローミング用のSMTPサーバ経由であれば他ネットワークからでも確か送信できたと思う．

また，@niftyのセカンドメール [nifty.com]のように，POP before SMTPに対応していてもFrom:制限を行っているサーバも存在するんだよね．mio セーフティメール [iijmio.jp]といった，POP before SMTPは勿論，SMTP認証やウィルスチェックサービスが標準でくっついた，メールサービスに特化したものを利用するのもいいかも．500円を高いと感じるかどうかはそれぞれだと思うが．

# なんだかIIJの宣伝員のように思われそうだけれど，面倒だからAC

DIONの場合

[gedo (7079)]

但しDionの場合，POP before SMTPに完全に対応する前は

DIONの場合は、今でも他のネットワークからのSMTPは不可 [kddi.com]です。でもウィルスチェックサービスを行うために、POP before SMTP自体には対応しています。
どうしても、他ネットワークからメールをやり取りしたい場合は、Webメールサービス [kddi.com]を使うことになります。

なお、Web公開用のFTPには他のISP経由でアクセスできる [kddi.com]ようです。

Re:DIONの場合

[Anonymous Coward]

先のACです．詳しくフォローしていただいてありがとうございます．僕自身が大きく勘違いしていたことに気づき，#503796 [srad.jp]で訂正していたのですが，行き違いになったようです．

DIONの場合は、今でも他のネットワークからのSMTPは不可 [kddi.com]です。でもウィルスチェックサービスを行うために、POP before SMTP自体には対応しています。

そのウィル [dion.ne.jp]

Re:DIONの場合

[Anonymous Coward]

> なお、Web公開用のFTPには他のISP経由でアクセスできるようです。

これは最近対応したようですね。
以前は他ISP経由のPOPにも対応していませんでした。
契約時期やコースにもよるのかな。

Re:DIONの場合

[gedo (7079)]

そのウィルスチェックサービス [dion.ne.jp]を利用すればPOP before SMTPが可能ということなんですかね．spamフィルタとウィルスチェックが合わさった機能のようですが，この手のサービスに月額400円って少し高いような...

さっきリンク張り忘れましたけど、試していないので確証はないのですが、ウィルスチェックサービスのFAQ [kddi.com]を見る限り、何らかの事情でウィルスチェックをやるためにPOP before SMTPプロトコルを流用しているという感じがしますので、他ISP経由接続目的には使えないような気がします。
なお、DIONの場合、ドメイン(メールアドレスとかにつくd1とかh1とか)によって、微妙に違うのでできるかもしれません。

Re:そんな仕様、困る。

[Anonymous Coward]

しかし，大手でも最近まで対応していないところ [mainichi.co.jp]ってあったなぁ．

上と同じACだけれど，DIONの記事へのリンクが意味不明だった．申し訳ない．ちなみにDIONってまだPOP before SMTPに表向きは対応していない [kddi.com]みたいだ．

Re:そんな仕様、困る。

[Anonymous Coward]

この仕組みはフィルタリングのヒントに使うだけだから、 届くかどうかは受信側の設定しだいだろ。

特許

[unsignedint (7810)]

これでこの実装が広まった時に世界中のメールサーバーから特許料を取り立てるつもりなのでしょうか……。

リンク先にライセンスについての言及がありながら、その肝心なライセンスが見つからないのですが……。

Re:特許

[Anonymous Coward]

Caller ID for E-Mail Technical Specification [microsoft.com]
のページからリンクされている
Caller ID for E-Mail Implementation License [microsoft.com]
がライセンス文書らしい。

誰かライセンス内容の解説希望。

それよりも

[none (16325)]

かなりややこしい仕様ですね。
これが広まるとマイクロソフトが儲かるだけのような・・・
そして、このやり方でもspamは減らないでしょう

それよりも発信元IPのDNS情報をつけるだけでいい気がする。
どうでしょう？

通報するのにDNS情報拾うのがめんどいのよ・・・

--
有無自在

Re:それよりも

[Anonymous Coward]

いや、んなこたぁしなくていいから、持ち前の財力と影響力で
政界に圧力をかけてspamはopt in以外は認めない、反した場合は
50年以上200年以下の禁固刑という法案でも通させろってんだ。

無駄にDNSのトラヒックを増やすなってんだ、なあ？

＃かなり本気なのでAC

qmail

[Futaro (2025)]

qmailはどうするのかな？
他のマイナーなサーバは？
うちみたいに固定IPの自宅サーバだと面倒だなぁ。

やはり成り行きを見守って、普及率がそれなりになって、変えないと問題が起きる、という状態になってから、変更だね。と、私だけではない、みんな、思っていると思う。

Re:qmail

[Anonymous Coward]

>qmailはどうするのかな？
ソース公開されているんだから、そのうち暇なやつがパッチでも書くでしょ。

Re:qmail

[TxG (7966)]

この書き方が決していいとは思いませんし、ヘッダをパースしないとか仕様を知らないと荒しっぽく見えますが、現実問題として本当にqmailってそんな感じですよね。

# 脊髄反射でM1しないでね

転送に関する処理の悪用

[Anonymous Coward]

ざっと読んだ限り、転送に関する処理が穴っぽ。
これじゃ、メールの転送が上手く行えないか、転送の際の処理の穴から spam が送れてしまう。

の前に、from アドレスってどれのことなんでしょう。
メールのヘッダの「From:」？
SMTPの「MAIL FROM:」？
どっちなの？教えて、ゲイツ君

Re:転送に関する処理の悪用

[Anonymous Coward]

>の前に、from アドレスってどれのことなんでしょう

タレコミのリンク先に書いてあります。
コメントするならそれぐらい読みましょう。

1. the first Resent-Sender header in the message, unless (per the rules of RFC2822)
it is preceded by a Resent-From header and one or more Received or Return-Path headers occur
after said Resent-From header and before the Resent-Sender header
(see §3.6.6. of RFC2822 for further information on Resent headers),
2. the first mailbox in the first Resent-From header in the message,
3. the Sender header in the message, and
4. the first mailbox in the From header in the message.

の順で拾い出します。

陰謀史観？

[kou1slash (5979)]

おそらく考えすぎなんでしょうけど、
これもハロウィーン文書で言われていた
「プロトコルの脱共有化」
http://cruel.org/freeware/halloween1j.html#comment14
の一環…なんでしょうか？

陰謀史観と言われてしまうかもしれませんが(^^;;)

Re:陰謀史観？

[kou1slash (5979)]

うぐ。
すみません。URI間違ってました。

http://cruel.org/freeware/halloween1j.html#decommoditize
です。

野良 SMTP サーバ撲滅？

[Anonymous Coward]

自宅で立てたサーバから mail を投げるのが、少しは面倒になる…
のか？

# でも自宅サーバの MX レコードを登録してもらうのって、そんなに
# 面倒なのか？　金銭的な問題あり？

Re:野良 SMTP サーバ撲滅？

[Anonymous Coward]

mail投げるときに、自宅鯖経由で投げます？わざわざ

# SMTPが立っているclientを鯖って言い張る人が多くて困る

Re:野良 SMTP サーバ撲滅？

[Anonymous Coward]

> # SMTPが立っているclientを鯖って言い張る人が多くて困る

もしかして，投げるだけなのに25番が空いてるんですか?

インターネットサーバ分野で

[Anonymous Coward]

弱小勢力なMSからの提案がどこまで受け入れられることやら。

正しいメールアドレス

[Anonymous Coward]

を持ったスパムには無力なんですよね？

Re:正しいメールアドレス

[Anonymous Coward]

メールサーバーとして機能している、
正しいドメインorIPを持ったspamに対しては無力なんでしょうかね。

MovieRevilution系統のspamなんてまさにそれ
ドメインの部分は正しくて、返信してきたメールを全て受けとる
トラップとして機能しているようです。

ちなみにここ、厄介なスパイウェアのホスト [infoseek.co.jp]でもあるし、
1つのサーバに十数のドメイン付け、
リンクしあってGoogleランクを吊り上げてたり [google.co.jp]
あるISPにはコイツ関連の回線が大量にあったりするのよね。

*.morodouga.com、*.click-monkey.com、
*.movie-revolution.com、
*.ura-video.com、*.emm.com
それ以外にも逆引きして*.yuucha.comになるドメインは
全部こいつの関係サイト。

Re:正しいメールアドレス

[Anonymous Coward]

*.hgmo.com、　*.otomodachi3.com、　*.otomodachi4.com
r8h.24e2d0.com、　*.pacificbill.com、

*.oreroka.com、　*.junglepa.com、　*.inasena.com
*.dogsvsc.com、　*.juliiah.com、　*.cocoyama.com
*.dreamxx.com

www.eroerogod.com、　www.ero-pics.com
www.i-moro.com、　www.yami-mart.com
www.imgbbs.com、　www.grandslummer.com

*.yurada.com、　*.yumicha.com、　*.yumicha.com
*.avhozzy.net、　*.aroundwarm.net、　*.boogani.net
*.adultknife.com、　*.borutes5.com、　*.ghostsp.com
*.workergame.net

www.0118.tv、　www.0117.tv、　www.0110.tv、
*.x-zone.tv、　*.astro-us.com、　*.xgo.jp、　*.gameros.com

lovelovenews.com、　www.duketogo.com、　www.areyoulater.com
www.adv-news.com、　mailheadline03.com、　eeemailnews.com
excellentnews2.com、　primelatter9.com、　screa-mmail.com
wetwetwet.com、　www.support01.com、　*.jp-sex.com
他。

MXレコードじゃダメ？

[Anonymous Coward]

良く分かってないのですが、MXレコードに
登録されているホストのIPアドレスじゃ
ダメなんですか？

それでうまく行くならとっくにやってそうだから、
たぶんダメなんだろうけど、どうダメなのか良く
分からんっす

# 恥ずかしいのでAC

Re:MXレコードじゃダメ？

[kusano (264)]

MXは受信用のホストが指定されてます。負荷を分けるためなどの理由で、 MXと、送信用のサーバは別に分けて運用することは一般的なので、 MXレコードは使えません。