> AntiSpam

Version as of 2005-10-23 11:46:21

Clear message

Come (non) modificare il proprio indirizzo per postare su Usenet

Indice

  1. Spam e antispam
  2. Gli indirizzi falsificati e i problemi connessi
    1. Gli "Harvester", ovvero i "mietitori" di indirizzi, e le famose stringhe "NOSPAM"
    2. Le conseguenze non volute
    3. Altri problemi degli indirizzi falsificati
  3. Le soluzioni
    1. Gli indirizzi email "blindati"
    2. I forwarder, ovvero gli indirizzi "di schermo"
    3. L'uso del Reply-To
    4. Come invalidare correttamente l'indirizzo
  4. Conclusioni
  5. Bibliografia

1. Spam e antispam

È ormai prassi comune inviare articoli1 sui newsgroup adoperando un indirizzo falso o falsificato.

Tale pratica, definita "address munging"2, viene messa in atto principalmente per due motivi:

Scopo di questo documento sarà quello di mostrare perché usare un indirizzo falso o falsificato può divenire nocivo e come risolvere i problemi sopra elencati senza creare danni o fastidi.

La prima parte tratterà dei problemi che porta falsificare l'indirizzo, la seconda dei metodi per superarli. Perciò se sei interessato solo a sapere cosa devi fare per non creare fastidi puoi saltare direttamente alla seconda sezione.

2. Gli indirizzi falsificati e i problemi connessi

Generalmente chi adopera un indirizzo falso lo fa per fuggire agli spammer. È cosa nota infatti che uno dei terreni di caccia più fruttuosi per chi è in cerca di indirizzi ai quali inviare spam è Usenet, benché studi recenti (si veda "Why Am I Getting All This Spam?", citato nella bibliografia) abbiano mostrato che Usenet non è la prima fonte di mailbox da spammare, ma viene ampiamente superata dal web. Inoltre, con l'avvento massiccio dei virus che sfruttano le debolezze scandalose dei sistemi Win per autoinviarsi e raccogliere indirizzi validi dalla rubrica dell'ospite, la protezione di un indirizzo email non è più nelle mani del suo possessore in quanto basta che uno qualsiasi dei suoi corrispondenti venga infettato per essere immediatamente esposto allo spam.

In altre parole: oggi è inutile nascondere l'indirizzo sui newsgroup quando esistono moltissime altre situazioni, fuori dal nostro controllo, che fanno finire l'indirizzo email da proteggere direttamente nelle mani degli spammer professionisti

Detto questo vediamo come avviene la raccolta di indirizzi nei newsgroup, le tattiche di "address munging" e i problemi connessi.

2.1. Gli "Harvester", ovvero i "mietitori" di indirizzi, e le famose stringhe "NOSPAM"

La raccolta di indirizzi su Usenet avviene in modo molto semplice: esistono dei programmi, chiamati "harvester" (dall'inglese "to harvest" = mietere, raccogliere) che scaricano le intestazioni3 degli articoli e, da queste, estraggono gli indirizzi.

È possibile che alcuni questi programmi scarichino anche i corpi, al fine di individuarvi indirizzi ma poiché, in tal modo, il lavoro cresce in maniera esponenziale, ben pochi offrono questa caratteristica/possibilità.

Poiché dunque tutto ciò avviene in maniera automatica, si è pensato di aggirare il problema falsificando il proprio indirizzo. Alla base di questo, c'è un ragionamento molto semplice: se fa tutto una macchina, è ovvio che questa non potrà capire che un recapito è falso e cambiarlo di conseguenza, cosa che invece può fare facilmente chiunque sia dotato di intelletto. Questo è vero solo in parte, per un motivo ben preciso: la gente ha poca fantasia. Ormai quasi tutti infatti falsificano l'indirizzo inserendovi una stringa come "NOSPAM" o "RIMUOVI". Ma se quasi tutti fanno così, cosa ci vuole a dare all'harvester il semplice comando "Se trovi 'NOSPAM' nell'indirizzo, toglilo automaticamente"?

Ed ecco che la falsificazione è già diventata inutile.

Certo, a questo punto qualcuno più intelligente avrà pensato: "vabbe', io allora uso una stringa più difficile da indovinare, ed il gioco è fatto". E così sono nati gli antispam più assurdi e complicati: alcuni inseriscono il nome del proprio gatto, altri inframezzano l'antispam al vero indirizzo e così via...

Facciamo qualche esempio per essere più chiari. Ammettiamo che l'indirizzo originale sia:
<user@example.com>
Nel caso più semplice di munging, esso diventerebbe qualcosa del tipo:
<userNOSPAM@example.com>
<userLEVAMI@example.com>
O qualcos'altro di simile, a seconda che sia messo prima o dopo la chiocciola, etc...

Qualche falsificazione "fantasiosa" invece potrebbe essere:
<auser@example.com>
<uNOseSPArM@example.com>
<usermicia@example.com>

Nel primo caso è stata semplicemente aggiunta una lettera, nel secondo l'antispam è inframezzato al vero indirizzo, e nel terzo... beh, ecco che appare anche il nome della gatta.

2.2. Le conseguenze non volute

Ma ora iniziano a sorgere anche i primi problemi relativi all'utilizzo di utilizzare un indirizzo falsificato, ed in particolare:

La difficoltà di contatto; è un dato di fatto che, adoperando antispam fantasiosi, si creino difficoltà a chi vuole scriverci legittimamente. Chi sta sempre a controllare se un indirizzo è corretto o meno, prima di inviare una mail? E come si può pretendere che una persona sappia qual è il nome del nostro gatto?
Solitamente si preme il pulsante che permette di rispondere via mail e si invia, poiché tutto è stato pensato proprio per facilitare tale operazione. È vero che nel messaggio può essere indicato che quello è un address fasullo, ma può capitare anche che uno non se ne accorga e invii all'indirizzo sbagliato.

Strettamente collegato a questo c'è poi un altro problema non da poco: attualmente la cultura informatica media è, eufemisticamente, bassa e non tutti riescono a riconoscere in una mail l'avviso che l'indirizzo cui si è scritto non esiste, perciò ecco un altro problema dell'address munging, la perdita di posta "buona". Anche se non si tratta di corrispondenza importante perderla è comunque una seccatura.

Ora, riprendiamo un attimo il primo caso sopraesposto, ossia quello in cui ci si è limitati ad aggiungere una "a" all'inizio della stringa: chi può dire che quell'indirizzo non esista davvero? Nessuno; è anzi possibile che a quel recapito corrisponda effettivamente una mailbox e che quindi si commetta un abuso di un indirizzo non proprio.

Questo è un "net-abuse"4, e in certi casi (ma questo sarebbe un fatto più unico che raro) si potrebbe arrivare al reato di sostituzione di persona.

Certamente si può appurare se questo indirizzo sia effettivamente esistente o meno, ma anche nel caso non sia ancora stato assegnato, noi non abbiamo alcun diritto su di esso. Infatti il gestore è l'unico soggetto che può adoperarlo legittimamente e, finché non lo assegna ad un utente, rimane suo. Dobbiamo tenere conto del fatto che se anche al momento l'indirizzo non appartiene a nessuno in quanto si è falsificato il dominio, e lo si è reso inesistente, neppure in questo caso, in linea di principio, possiamo essere certi di non abusare di alcun indirizzo, in quanto è comunque possibile che, in futuro, tale dominio verrà registrato e l'indirizzo creato, e riceverà roba che era diretta a noi. In altre parole stiamo semplicemente nascondendo la polvere sotto il tappeto. Un tappeto che non ci appartiene.

Inoltre, quando usaiamo un indirizzo falsificato con questi sistemi, in sostanza usiamo un indirizzo che non è il nostro. Di conseguenza, non potremo dimostrare che i messaggi che abbiamo inviato sono effettivamente nostri, se ciò fosse necessario, ad esempio, per chiedere la cancellazione dai server Usenet di un messaggio inviato per errore. Oppure, è possibile che qualcuno cancelli arbitrariamente un nostro post! Se il post l'avevamo inviato con un indirizzo falso, però, non potremo rivendicarne la paternità e non avremo alcun titolo per protestare. Anche questa è una cosa da soppesare attentamente, prima di scegliere la via dell'address munging.

2.3. Altri problemi degli indirizzi falsificati

I problemi non sono ancora finiti, ma per affrontare il prossimo vediamo prima di capire cosa succede quando si invia una mail, ci sarà particolarmente utile per comprendere tutta la questione.

Ammettiamo di voler spedire la nostra missiva a <user@example.com> (sempre lui). Scriviamo il nostro testo, pigiamo "Invia", e il nostro bel messaggio parte, destinazione il server dedicato alla posta in uscita. Questo guarda l'indirizzo, cerca il server che corrisponde al dominio "example.com", e una volta trovatolo gli passa la mail. A questo punto tocca al server per la posta in entrata del destinatario cercare se esiste una mailbox chiamata "user": se non c'è manda indietro un messaggio al nostro server spiegandogli che quell'indirizzo non esiste, messaggio che il nostro server poi girerà a noi, se invece esiste non c'è da far altro che aspettare che il destinatario scarichi la posta.

Ora, abbiamo visto prima che il motivo principale per cui l'address munging è considerato efficace è che una macchina non può, entro certi limiti, discriminare tra indirizzi esistenti ed indirizzi inesistenti. In conseguenza di ciò trovando un indirizzo falsificato tenterà comunque di inviargli l'email, e questo ci porta al problema presente, ossia la grossa quantità di risorse sprecate.

Vediamo perché.

Ammettiamo di adoperare un indirizzo del tipo "<userNOSPAM@example.com>", in cui si è falsificata la parte alla sinistra della chiocciola. In questo caso ciò che accadrà è ovvio: il server dello spammer passerà la mail al nostro server, questo cercherà nel suo database se esiste l'account "userNOSPAM", e verificato che non esiste invierà la notifica all'indirizzo utilizzato dallo spammer.5 In altre parole avremo fatto sprecare inutili risorse non solo al server dello spammer, ma anche e soprattutto al nostro! Risorse che potrebbero essere allocate per risolvere problemi o migliorare il servizio!

Una possibile soluzione potrebbe essere quella di falsificare la parte alla destra della chiocciola trasformando il dominio, ad esempio in "NOSPAMexample.com". In questo modo il server dello spammer lo cercherebbe e non trovandolo (ammettendo per ipotesi che non esista) notificherebbe direttamente al mittente che quel dominio non è registrato, senza far sprecare risorse al di fuori della sua rete.

Questa, in parte, è una soluzione, ma non evita del tutto il problema: innanzitutto ci si deve accertare che "NOSPAMexample.com" davvero non esista, e questo controllo va fatto periodicamente, in secondo luogo si deve tener conto di una cosa molto semplice, ma che sfugge sempre: non vi è alcuna equazione che stabilisca che le email inviate in automatico debbano essere email di spam. Si pensi ad esempio alle ricevute inviate dal robomoderatore nei gruppi moderati: queste email sono completamente legittime e lo spreco di risorse causato da indirizzi inesistenti non è in questo caso giustificato in alcun modo6.

Facciamo infine un accenno all'altro motivo che porterebbe alla rinuncia ad utilizzare un indirizzo reale: il desiderio di privacy. Chi è afflitto da tale problema di solito non usa un indirizzo falsificato, ma uno completamente fasullo.

Esistono due tipi di privacy che si possono desiderare: da una parte si può volere che nessuno conosca il nostro indirizzo così da non ricevere mail di scocciatori (ossia non spam ma mail di persone che in seguito alla lettura dei nostri articoli ci contattano via posta elettronica), dall'altra si può vuoler evitare che in futuro qualcuno faccia una ricerca tramite Google o simili e dai risultati ne ricavi informazioni che potrebbero causarci fastidi, trovando ad esempio certi nostri interessi od opinioni che abbiamo inviato con l'indirizzo che usiamo anche sul lavoro.

Premesso che vedremo nella prossima sezione quali sono le soluzioni per ovviare molto facilmente a tali problemi, è subito da dire che è sempre maleducazione non fornire alcun recapito valido. La scusa della privacy non regge, se qualcuno vuole postare su Usenet deve anche accettare di poter ricevere risposte in privato. Questo non solo è previsto ma è anzi incoraggiato: se una discussione degenera o si passa a discutere di fatti personali tale comunicazione deve avvenire via mail, senza infastidire il newsgroup.

E non è una buona scusa neanche sostenere che il proprio indirizzo venga comunque fornito a chiunque ne faccia richiesta: in casi come questi non c'è altro modo di richiederla se non sul gruppo, ma come detto adesso farsi i propri affari sui newsgroup è un comportamento altamente maleducato: irrispettoso e menefreghista. Senza contare cosa accadrebbe se anche l'altra persona la pensasse allo stesso modo, e si rifiutasse di fornire l'indirizzo pubblicamente. Una situazione senza via d'uscita.

Può sembrare una posizione estrema ma in realtà è solo buonsenso: indicare almeno un indirizzo reale non porta a nessuna controindicazione e non farlo indica soltanto mancanza di rispetto. Chiunque può fare come meglio crede, ma non può pretendere anche di non essere chiamato per quello che è: maleducato.

Non si possono avere botte piena e moglie ubriaca.

Passiamo all'ultimo problema causato dall'address munging, problema che non riguarda più la comunità ma solo chi ha scelto questa opzione: inviare articoli con un indirizzo inesistente rende difficoltoso stabilire la paternità di tali messaggi.

3. Le soluzioni

Prima di trattare delle soluzioni ricapitolo brevemente quali sono i possibili problemi cui può portare non adoperare un indirizzo valido:

E dopo questo breve riepilogo vediamo ora le tante soluzioni disponibili. A parte la prima, utile solo a chi per motivi di privacy non vuole che vengano archiviati i propri post, le restanti verranno elencate in ordine di preferibilità, dalla migliore alla peggiore.

Chi, per motivi di privacy, non vuole che in futuro i propri articoli appaiano su Google o archivi simili può adoperare l'header "X-No-Archive" (XNA), una intestazione pensata per prevenire l'archiviazione dei post su database accessibili via web. Non è detto che tutti i siti lo rispettino ma spesso è così (Google, ad esempio, lo fa).7

Attenzione, questo suggerimento vale solo ed esclusivamente per chi non vuole che in futuro i propri articoli non vengano letti sul web, soltanto per questa esigenza particolare, ché generalmente è meglio non adoperare l'X-No-Archive, vista l'importanza che hanno gli archivi come Google per trovare informazioni - è grazie a questa memoria storica che non si debbono leggere articoli dal contenuto sempre identico -, o semmai usare l'XNA solo in maniera mirata per alcuni messaggi, ma non per quelli dove si scrivono o si chiedono informazioni importanti.

3.1. Gli indirizzi email "blindati"

Passiamo ora a soluzioni più generali.
Sia che non si voglia associare il proprio indirizzo email agli articoli inviati (X-No-Archive o meno), sia che semplicemente non si voglia ricevere spam, la soluzione migliore consiste nell'adoperare un indirizzo ad hoc, da usare solo per partecipare ai gruppi Usenet.
Esistono molti servizi che offrono caselle email gratuite, e crearsene una non richiede se non pochi minuti.
È possibile adoperare una webmail da controllare di tanto in tanto, oppure una mailbox gestibile via pop3/imap4 (ossia utilizzabili tramite mailreader), o ancora un "forwarder" che re-indirizzi tutte le mail al vero indirizzo.

È vero, in questo modo lo spam non viene evitato completamente, ché prima o poi anche l'indirizzo usato al posto di quello ufficiale verrà preso di mira dagli spammer, ma essendo un indirizzo "a perdere", usato soltanto per Usenet, possiamo chiuderlo facilmente e sostituirlo con un altro, mentre l'indirizzo "serio" che avremo dato alle persone fidate o comunque che non avremo esposto in giro per la rete, continuerà ad essere scevro da spam. E, a parte questo, è un dato di fatto che l'unico modo per fermare lo spam è combatterlo, e non fuggirlo.

Di webmail gratuite ne esistono a bizzeffe, basta usare un motore di ricerca per trovarne una che ci soddisfi. Ecco per esempio alcuni fornitori di caselle email di tipo pop3/imap4:

3.2. I forwarder, ovvero gli indirizzi "di schermo"

Aprire una nuova casella email potrebbe essere alquanto seccante, costringendoci a configurare il nostro mailreader per un nuovo account, senza contare che presto o tardi potremmo affezionarci a tale account e a questo punto proteggerlo di nuovo con un antispam. Il metodo migliore è allora l'uso di un forwarder che faccia da "schermo" al nostro indirizzo principale.

Un forwarder non è altro che un indirizzo di comodo che gira tutta la posta ricevuta ad un indirizzo che noi gli abbiamo indicato. In questo modo non dobbiamo far altro che cambiare l'indirizzo nel campo mittente del nostro newsreader. Nel momento in cui questo indirizzo divenisse un bersaglio degli spammer non dovremmo far altro che chiuderlo ed aprirne un altro, senza dover rinunciare al nostro account di posta.
Alcuni dei servizi email già citati offrono anche la possibilità di funzionare come forwarder. Inoltre, esistono servizi che fanno esclusivamente questo:

3.3. L'uso del Reply-To

Se si utilizza un indirizzo reale per scrivere sui newsgroup, che sia la propria mailbox o una creata ad hoc, o un semplice forwarder, una soluzione per ricevere meno spam è quella di inserire tale recapito non nel campo From ma in quello Reply-To8

Abbiamo detto in precedenza che i programmi che raccolgono su Usenet indirizzi da spammare si limitano di solito a scaricare gli header; in pratica, non scaricano tutti gli header ma solo alcuni, tra i quali di preferenza il "from" e più raramente il "reply-to". Inserendo perciò un indirizzo falso nel primo campo e quello vero nel secondo, le probabilità che non venga intercettato aumenteranno.

3.4. Come invalidare correttamente l'indirizzo

Sia che abbiate scelto la strada ora indicata, sia che tutto quanto detto fin qui non vi abbia convinto e vogliate comunque "nascondere" in qualche modo l'indirizzo, vediamo come falsificare correttamente un indirizzo, ove per "correttamente" si intende "in modo che non crei alcun fastidio a nessuno".

La regola è molto semplice: l'indirizzo falso deve terminare con il suffisso ".invalid".
Ammettendo sempre che il nostro indirizzo sia:
<user@example.com>.
Una falsificazione corretta è:
<userNOSPAM@example.com.invalid>
Come si vede, oltre all'antispam è stato aggiunto il corretto suffisso.

Insomma, non importa cosa c'è prima del suffisso, infatti avremmo potuto modificare l'indirizzo anche in:
<user@example.com.invalid>
<user123@example.com.invalid>

Ricordate dunque che il suffisso ".invalid" non serve tanto a ricevere meno spam9, ma semplicemente stabilisce che quell'indirizzo non è valido: se c'è ".invalid" nessuna macchina tenterà di inviare una mail a quel recapito esatto, così non si genererà mai alcun traffico inutile e sicuramente non staremo abusando di alcun indirizzo esistente.

Alcune brevi considerazioni:

Se scegliete la falsificazione dell'indirizzo, in ogni caso, ricordate sempre di segnalare che avete falsificato l'indirizzo, ed i metodi per ottenere quello reale.

Questo è un punto fondamentale, troppo spesso dimenticato, con le conseguenze che sono ovvie.

4. Conclusioni

Anche se lo spam è una seccatura, esistono dei sistemi per difendersi, o comunque al minimo il disturbo per noi, senza però creare problemi agli altri, cioè a chi vuol scriverci o alle macchine che consegnano i messaggi. Usare un indirizzo reale è preferibile ad un indirizzo falsificato. Se si usa un indirizzo falsificato, comunque, si deve segnalare che non è valido, con i metodi corretti. Non si vuole demonizzare la pratica della falsificazione degli indirizzi ma solo presentarne limiti, alternative, e corretta applicazione.

Riepilogando, quindi:

Nota finale: i suggerimenti dati qua non richiedono grandi sforzi, ma permettono di evitare lo spam senza rinunciare alla buona educazione!

5. Bibliografia

Altri documenti interessanti:

Versione e data Commento
V. 1 07/03 Prima stesura di Gesu`
1.1 Aggiunte e correzioni
1.2 08/03 Altre correzioni con il contributo di MaMo.
2.0 01/04 Riscritto tutto, ad opera di Gesu` (con importanti contributi di daRkSidE, Enrico C, ed altri)
2.1 02/04 Risistemata la forma, grazie al lavoro di proof reading di daRkSidE
2.2 02/05 alcuni ritocchi minori, aggiunti dei nuovi provider di email gratuite