Открытая ретрансляция почты — это SMTP- сервер, настроенный таким образом, что он позволяет любому пользователю Интернета отправлять через него электронную почту , а не только почту, предназначенную или исходящую от известных пользователей. [1] [2] [3] Раньше это была конфигурация по умолчанию на многих почтовых серверах; действительно, именно так изначально был устроен Интернет, но открытые почтовые ретрансляторы стали непопулярными из-за их использования спамерами и червями . Многие ретрансляторы были закрыты или помещены в черные списки другими серверами.
До 1990-х годов почтовые серверы обычно намеренно настраивались как открытые ретрансляторы; Фактически, это часто была настройка по умолчанию при установке. [1] Традиционный метод хранения и пересылки электронной почты к месту назначения требовал, чтобы она передавалась с компьютера на компьютер (через Интернет и за его пределами) через модемы по телефонным линиям. Для многих ранних сетей, таких как UUCPNET , FidoNet и BITNET , списки машин, которые были открытыми ретрансляторами, были основной частью этих сетей. [2] Фильтрация и скорость доставки электронной почты в то время не были приоритетами, и в любом случае правительственные и образовательные серверы, которые изначально находились в Интернете, подпадали под действие федерального указа, запрещающего передачу коммерческих сообщений. [4] [5]
В середине 1990-х годов, с ростом спама , спамеры стали перенаправлять свою электронную почту через сторонние почтовые серверы, чтобы избежать обнаружения [6] и использовать дополнительные ресурсы этих открытых серверов ретрансляции. Спамеры отправляли одно электронное письмо на открытый ретранслятор и (фактически) включали большой список скрытых копий , а затем открытый ретранслятор пересылал этот спам всему списку. [7] Хотя это значительно снизило требования к пропускной способности для спамеров в то время, когда интернет-соединения были ограничены, это заставило каждый спам быть точной копией и, следовательно, его было легче обнаружить. После того, как злоупотребления со стороны спамеров стали широко распространены, работа открытого ретранслятора стала вызывать неодобрение среди большинства администраторов интернет-серверов и других известных пользователей. [6] Открытые реле не рекомендуются в RFC 2505 и RFC 5321 (которые определяют SMTP). Точная копия спама с использованием открытых ретрансляторов упростила создание систем обнаружения массовых рассылок, таких как Vipul's Razor и Distributed Checksum Clearinghouse . Чтобы противостоять этому, спамеры были вынуждены перейти на использование хеш-бастеров , чтобы сделать их менее эффективными, а преимущество использования открытых ретрансляторов было удалено, поскольку каждая копия спама была «уникальной» и должна была отправляться индивидуально.
Поскольку открытые почтовые ретрансляторы не предпринимают никаких усилий для аутентификации отправителя электронной почты, открытые почтовые ретрансляторы уязвимы для подмены адреса . [2]
Многие интернет-провайдеры используют черные списки на основе системы доменных имен (DNSBL), чтобы запретить отправку почты через открытые ретрансляторы. Как только почтовый сервер будет обнаружен или сообщен о том, что позволяет третьим лицам отправлять почту через него, он будет добавлен в один или несколько таких списков, а другие почтовые серверы, использующие эти списки, будут отклонять любую почту, поступающую с этих сайтов. Ретранслятор на самом деле не обязательно должен использоваться для отправки спама в черный список; вместо этого он может быть занесен в черный список после простой проверки, которая просто подтверждает открытый доступ. [8] [ нужен лучший источник ]
Эта тенденция снизила процент отправителей почты, которые использовали открытые ретрансляторы, с более чем 90% до значительно ниже 1% за несколько лет. [9] Это побудило спамеров использовать другие методы, такие как использование бот-сетей из компьютеров-зомби для рассылки спама.
Одним из последствий новой неприемлемости открытых ретрансляций стало неудобство для некоторых конечных пользователей и некоторых интернет-провайдеров . Чтобы позволить клиентам использовать свои адреса электронной почты в других местах Интернета, помимо систем компании (например, в школе или на работе), многие почтовые сайты явно разрешили открытую ретрансляцию, чтобы клиенты могли отправлять электронную почту через интернет-провайдера из любого места. [10] Как только открытая ретрансляция стала неприемлемой из-за злоупотреблений (и непригодной для использования из-за блокировки открытых ретрансляций), интернет-провайдерам и другим сайтам пришлось принять новые протоколы, позволяющие удаленным пользователям отправлять почту. К ним относятся смарт-хосты , SMTP-AUTH , POP перед SMTP и использование виртуальных частных сетей (VPN). Инженерная группа Интернета (IETF) написала лучшие текущие практики , касающиеся операций отправки электронной почты, в RFC 5068.
Обратите внимание, что вышеизложенное становится проблемой только в том случае, если пользователь желает (или должен) продолжать отправлять электронную почту удаленно, используя тот же SMTP-сервер, к которому он ранее обращался локально. Если у них есть действующий доступ к какому-либо другому SMTP-серверу из их нового, удаленного местоположения, они, как правило, смогут использовать этот новый сервер для отправки электронной почты, как будто со своего старого адреса, даже если этот сервер должным образом защищен. (Хотя это может потребовать некоторой реконфигурации почтового клиента пользователя, что может быть не совсем простым.)
Закон о CAN-SPAM 2003 года запрещает рассылку спама через открытые ретрансляторы в США , но не содержит положений об их использовании для личной электронной почты или их работе в целом; эффективность закона была поставлена под сомнение. [11] [12]
Самая известная ретрансляция открытой почты, действующая сегодня, вероятно, принадлежит Джону Гилмору , [6] [13] , который утверждает, что запуск открытой ретрансляции является проблемой свободы слова . Его сервер включен во многие открытые черные списки ретрансляции (многие из которых создаются в результате «автоматического обнаружения», то есть черных списков защиты от спама, отправляющих (незапрошенное) тестовое электронное письмо на другие серверы, чтобы проверить, будут ли они перенаправлены). Эти меры приводят к блокировке большей части его исходящей электронной почты. [6] Наряду с дальнейшей преднамеренной настройкой сервера, его открытая ретрансляция позволяет людям отправлять электронную почту без того, чтобы их IP-адрес был непосредственно виден получателю, и тем самым отправлять электронную почту анонимно . В 2002 году его открытый ретранслятор вместе с 24 другими был использован компьютерным червем для своего распространения. [14]
Джон Гилмор и другие сторонники открытой ретрансляции заявляют, что они не поддерживают спам и рассылку спама, но видят большую угрозу в попытках ограничить возможности Интернета, которые могут заблокировать развитие новых технологий следующего поколения. Они сравнивают ограничения на сетевое общение с ограничениями, которые некоторые телефонные компании пытались наложить на свои линии в прошлом, предотвращая передачу компьютерных данных, а не речи. [15]
Чтобы не считаться «открытым», ретранслятор электронной почты должен быть безопасным и настроен на прием и пересылку только следующих сообщений (детали будут различаться от системы к системе — в частности, вполне могут применяться дополнительные ограничения): [16 ]
В частности, должным образом защищенный ретранслятор почты SMTP не должен принимать и пересылать произвольные электронные письма с нелокальных IP-адресов в нелокальные почтовые ящики от неаутентифицированного или неавторизованного пользователя.
В общем, любые другие правила, которые администратор решает применять (например, на основе того, что электронное письмо содержит в качестве собственного конверта с адресом), должны быть в дополнение к вышеизложенным, а не вместо них. [16] В противном случае ретранслятор по-прежнему эффективно открыт (например, в соответствии с вышеуказанными правилами): легко подделать заголовок и информацию в конверте электронного письма, значительно сложнее успешно подделать IP-адрес в TCP/IP. транзакция из-за трехстороннего подтверждения , которое происходит при запуске соединения.
Открытые ретрансляторы также являются результатом недостатков безопасности в программном обеспечении, а не неправильной настройки системных администраторов. [17] [18] [19] В этих случаях необходимо установить исправления безопасности для закрытия реле.
Интернет-инициативы по закрытию открытых ретрансляторов в конечном итоге не достигли своей цели, поскольку спамеры создали распределенные бот-сети из компьютеров-зомби, содержащих вредоносное ПО с возможностью ретрансляции почты. Число клиентов, находящихся под контролем спамеров, сейчас настолько велико, что предыдущие меры противодействия спаму, направленные на закрытие открытых ретрансляторов, больше не эффективны.