Доставить нельзя фильтровать

Мое практическое знакомство с системами, фильтрующими электронную почту на предмет спама, началось прошлой осенью, когда я попытался отправить письмо с парой ссылок одному известному сетевому обозревателю, чтобы тот опубликовал их в своем обзоре.

Мое практическое знакомство с системами, фильтрующими электронную почту на предмет спама, началось прошлой осенью, когда я попытался отправить письмо с парой ссылок одному известному сетевому обозревателю, чтобы тот опубликовал их в своем обзоре. Адресат тщательно блюл свое privacy, и его единственный известный мне почтовый адрес находился на сайте Mail.Ru, который как раз незадолго до того объявил о вводе в строй «Спамтеста» — разработки компании «Ашманов и партнеры». Разумеется, через небольшое время в моем почтовом ящике обнаружился отлуп от робота, сообщавшего, что мое письмо зарезано как спам, — спасибо хоть, что предупредили. Это и неудивительно, — конечно же, тупая железяка не могла иначе классифицировать послание с темой «Some references» и парой гиперссылок внутри, — плевать, насколько оно валидное. Я вздохнул и написал в службу техподдержки Mail.Ru.

Братская могила почты

На следующий день я получил вежливый ответ: якобы на Mail.Ru проходит отладку новая антиспамовая система, которая находится в процессе настройки. Меня заверили, что фильтры должным образом подправлены, и предложили послать письмо снова. Через несколько минут я получил еще один отлуп от робота.

Я перепосылал это несчастное письмо раза четыре с неизменным результатом, после каждого отказа связываясь со службой поддержки Mail.Ru, пока они, по всему судя, попросту не пропихнули его к адресату ручками, чтобы отделаться от меня.

Другой симптоматичный случай произошел вскорости. Одному из моих друзей срочно потребовалось напечатать цветной буклет для своей фирмы, и я свел его с другим своим другом, владевшим салоном оперативной полиграфии с очень привлекательными ценами. Они пообщались по телефону и договорились, что через несколько дней будет выслано коммерческое предложение с прайс-листом. Надо отметить, что оба — люди вполне продвинутые в компьютерном отношении, но в сетях и коммуникациях — отнюдь не специалисты, просто каждый пользуется компьютером как инструментом для решения своих специфических задач. У одного из них был адрес на «Яндексе», у другого — на все том же Mail.Ru, — пытливый читатель уже предвидит дальнейшее развитие событий. Мне неизвестно, что не поделили две разнородные спамоловки, о чем общались или не общались друг с другом почтовые роботы и прочие интимные подробности процесса фильтрации, — но никакого письма ни с каким предложением адресат не получил, так что воспользовался услугами другого подрядчика. Позже выяснилось, что письмо было отправлено в срок, но не дошло, — причем без какого-либо автоматического извещения об этом факте. Адресат решил, что отправитель попросту не сумел подготовить предложение на интересующих его условиях; отправитель — что предложенные условия ему не подошли, — и каждый спокойно занялся своими делами. Когда же ситуация прояснилась, оказалось, что предлагавшиеся условия намного выгоднее, чем те, на которых, в результате, пришлось печатать злополучный буклет. Одна компания переплатила за полиграфические услуги несколько сот долларов, другая — лишилась заказа на несколько тысяч, и всё — благодаря чрезмерно инициативным антиспамовым фильтрам (неудивительно, что многие полагают борьбу со спамом бедствием еще худшим, чем сам спам).

Когда я рассказал об этом происшествии Игорю Ашманову, в шутку обозвав его «Спамтест» вредоносным программным обеспечением, препятствующим нормальной работе сетей связи, — тот пожал плечами и сказал, что «Спамтест» всего лишь помечает письма, предположительно являющиеся спамом, а что с этими письмами дальше делать — забота администрации сервера. Администрация же сервера вполне резонно покивала, что она доверяет столь замечательному и эффективному программному обеспечению. Все прямо по Аркадию Райкину: «Кто шил костюм?» — «Мы!» — «Кто мы?» — «Мы все. Я, например, пуговицы пришивал. К пуговицам претензии есть?..»

Да, разумеется, — сегодня администрация почтовых серверов, на которых производится контент-фильтрация, не режет все подозрительные письма без разбора, а складывает их в отдельную папочку. Это минимизирует риск потери валидного письма, — но одновременно и сводит к абсолютному нулю и всю практическую пользу от наличия спам-фильтров. Человеку, которому в любой момент могут прислать важное деловое письмо, точно так же придется ежедневно тратить время на поиск нужной корреспонденции среди горы мусора, — и какая для него разница, называется ли при этом фолдер «Входящие» или «Спам»?

Увы, следует признать, что использовать системы контент-фильтрации можно, — если, конечно, вас не интересует результат. Девочке, разместившей свою фотографию на сайте знакомств, по большому счету, не так уж и важно, получит она письма от десяти написавших ей мальчиков или же одно из них пропадет по дороге. Завтра ей еще десятеро напишут. А вот отказ в своевременной доставке делового письма с коммерческим предложением может причинить многотысячный или даже многомиллионный ущерб. Конечно, с «Яндекса» или Mail.Ru взятки гладки, — и халявный сыр бывает только известно где, да и никаких гарантий пользователям, заводящим у них бесплатные ящики, они не дают, — так что остается лишь посочувствовать тем бедолагам, которые, по ламерству своему, клюнули на рекламу «надежной, безопасной, очищенной от спама и вирусов почты, доступной отовсюду».

Однако если бы область применения контент-фильтрации ограничивалась только халявными серверами, на которых львиная доля адресов — вообще одноразовые, предназначенные для контакта по одному-единственному объявлению, — было б еще полбеды. Сегодня такие системы массово внедряют коммерческие провайдеры, да и неискушенному конечному пользователю они тоже предлагаются (в частности, именно «Спамтест» Игоря Ашманова лежит в основе активно продвигаемого сейчас на рынок пакета «Касперский-Антиспам»). Меж тем как фильтрация спама на основе анализа содержания почты является, если разобраться поглубже, — практикой тупиковой, глубоко порочной и не имеющей никакого права на существование в сетях связи, где гарантия доставки валидного сообщения является первейшей и главной задачей оператора.

Кухня провайдера

Вышесказанное отнюдь не означает, будто бороться со спамом техническими средствами нет необходимости, — напротив, если бы такая борьба не велась, тихо и незаметно для постороннего глаза, — пользоваться электронной почтой было бы давным-давно попросту невозможно. Более того, фильтрацией спама провайдеры занимаются давным-давно, еще с тех времен, когда всяческих продвинутых анализаторов содержания и в природе не существовало. Чтобы понять, как это делается, нам предстоит слегка разобраться в провайдерской кухне.

Как известно, Интернет не имеет ни единого хозяина, ни центрального узла, ни Большого Рубильника, ни верховной администрации. Он представляет собой децентрализованное множество равноправных (хотя и не всегда одинаковых по размеру) компьютерных сетей, взаимодействующих на тех или иных административных и финансовых условиях благодаря использованию семейства протоколов TCP/IP. Эти сети могут принадлежать государственным учреждениям, коммерческим фирмам, общественным объединениям, исследовательским институтам и учебным заведениям, — кому угодно, вплоть до частных лиц. Даже сейчас, когда в ряде стран делаются попытки законодательно регулировать деятельность в Интернете (как правило, весьма неуклюжие), — взаимодействие столь разнородных субъектов является непростой задачей, — особенно если они находятся в разных государствах с несовпадающим законодательством. А в чуть более ранние времена, когда Интернет уже распространился практически по всему миру, а законов о нем еще не существовало ни в одной стране, — владельцам IP-сетей и подавно приходилось строить отношения самостоятельно, без опоры на какие-либо заданные извне правила.

Неудивительно, что участники сообщества — благо главные интересы у них совпадали — довольно быстро выработали нормы и обычаи делового оборота, позволяющие наладить взаимодействие. Эти нормы, отражаемые в пользовательских соглашениях, межоператорских договорах и условиях предоставления услуг, не всегда совпадают в дословных формулировках, — особенно если говорить о разных странах, — но, по сути своей одинаковы во всем мире и естественным образом вытекают из самого устройства Интернета (подавляющее большинство российских провайдеров использует документ «Нормы пользования Сетью», принятый Открытым форумом интернет-сервис-провайдеров (www.ofisp.org/documents/ofisp-008.html).  . Например, поскольку он состоит из множества сетей, принадлежащих самым разным владельцам, и на момент его появления никаких законов, требующих обязательно поддерживать с кем-то там связь, не существовало, — владелец каждой из сетей сам решает, с кем и в какой степени поддерживать связность. Скажем, какие-то из корпоративных сетей полностью открыты для доступа в Интернет; в некоторых, напротив, наружу и обратно пропускается только электронная почта; большинство же частично ограничивает свою связность с другими сетями, фильтруя при помощи файрволов трафик на портах, характерный для вирусной активности, или, например, запрещая доступ с рабочих мест к развлекательным интернет-ресурсам. Каждый — сам себе барин и сам себе устанавливает, что принимать из Интернета, а что в него отдавать.

Точно так же, исходя из интересов всех участников сообщества, формулировались и другие запреты и ограничения. Каждый из владельцев IP-сетей заинтересован в том, чтобы его сеть нормально работала, — соответственно, запрещена активность, способная нормальную работу нарушить, — будь то хакерский взлом или флуд-атаки, перегружающие каналы и оборудование. Никто не хочет платить лишних денег, а пропускная способность каналов достается отнюдь не бесплатно, — и потому запрещено создавать паразитную нагрузку на чужие сети.

Разумеется, владелец IP-сети, — по крайней мере, в общем случае, — не прокуратура и не суд, — а значит, не в состоянии как-либо карать нарушителя, осложняющего ему жизнь. Впрочем, возмездие и не входит в число его насущных интересов, — главное, чтобы спокойно работать не мешали. И потому мера, которую может (и зачастую, для обеспечения безопасности собственной сети, должен) принять по отношению к нарушителю владелец IP-сети, — это разорвать с ним связность. Откуда-то идет DoS-атака на сайт клиента, размещенный у нас на хостинге? — если дело дойдет до расследования, пусть им занимаются компетентные органы, — но в любом случае, не дожидаясь его результатов и приговора суда, мы зафильтруем вредоносные пакеты на пограничном маршрутизаторе сразу же, как только нам станет известно об атаке, — не с целью кому-то досадить, а чтобы сайт клиента снова стал работоспособен.

При этом неважно, производятся ли действия, мешающие работе нашей сети, по злому умыслу или в результате технической ошибки, допускает ли их сам владелец чужой IP-сети, или же балуется кто-то из клиентов зарубежного DSL-провайдера. В Интернете царит своеобразный феодализм: субъектами отношений являются лишь владельцы сетей, а уж каким способом каждый из них будет поддерживать порядок в своем хозяйстве — это его дело. И никого не интересует, отключит ли провайдер своего клиента, чья затрояненная машина создает другим проблемы, сразу и без предупреждения, или же пришлет к нему на дом специалиста, вооруженного антивирусом. Главное — чтобы нежелательная активность прекратилась. Как правило, единичные инциденты, если администрация сети реагирует на них адекватно и оперативно, никаких последствий не вызывают, — в любой мало-мальски крупной сети они время от времени неизбежно случаются, и все относятся к этому с пониманием. Но если вредоносная активность наблюдается регулярно, а администрация никак не реагирует на комплейны, — такая сеть является неуправляемой, и связность с ней рвут, — чтобы элементарно закрыться от проблем сейчас и обезопасить себя на будущее.

Вместе с тем ни один владелец IP-сети не заинтересован в том, чтобы ограничивать связность сверх необходимого. Если абоненты предоставляемых мною услуг доступа не видят половины Интернета, а сайты моих хостинг-клиентов из этой половины недоступны, — очень скоро я останусь без пользователей, которые при первой же возможности убегут к конкурирующим провайдерам. Поэтому ограничение связности применяется как крайняя мера исключительно в тех случаях, когда обойтись без этого невозможно, и никогда — по причинам, отличным от активности, нарушающей нормы пользования Сетью. Если кто-то хостит порнографию, контрафактную музыку или призывы к религиозным войнам, разбираться с ним — дело правоохранительных органов и суда соответствующей юрисдикции, а вот призывать провайдеров всего мира, чтобы они ограничили доступ своих клиентов к такой страничке, — занятие бесполезное и глупое.

Спам как явление противоречит, по крайней мере, двум коренным интересам владельцев IP-сетей. Создаваемая им паразитная нагрузка, во-первых, требует немалых дополнительных мощностей, а во-вторых — порой приводит к нарушению нормальной работы систем (простейший пример — переполнение почтового ящика, который из-за этого перестает принимать почту, — однако время от времени случаются и инциденты, связанные с выходом из строя почтовых серверов, — как ни удивительно, такие случаи фиксировались неоднократно). С точки зрения конечного пользователя, помимо необходимости платить за чужую рекламу и опасности не получить важного письма из-за переполнения ящика, существует еще и такой неприятный фактор, как затраты времени на разгребание завалов и опасность не увидеть в горе мусора важное сообщение.

В полном соответствии с принятыми в Сети нормами борьба провайдеров со спамом как нежелательной сетевой активностью ведется на двух фронтах. Во-первых, они поддерживают порядок в собственных сетях техническими и административными средствами, — по условиям абонентских договоров большинства ISP, рассылка спама приводит к автоматическому отключению проштрафившегося клиента, а спамить напрямую, минуя SMTP-сервер провайдера, в большинстве случаев технически невозможно. Во-вторых — ограничивается связность с теми сетями и компьютерами, которые являются источниками спама, — почтовые серверы попросту не принимают от них почту.

Фильтрование производится на основе так называемых черных списков, куда заносятся источники спама. Наиболее применяемые из них в России и адекватные с точки зрения политики их ведения — это DUL (Dial-up UserList) и DRBL (Distributed Realtime Blocking List). DUL — список, в который занесены диапазоны IP-адресов, относящиеся к модемным пулам и массовым выделенным подключениям. Известно, что спамеры нередко пытаются «пропихнуть» свои рассылки напрямую с анонимного коммутируемого соединения в расчете на то, что, пока будут приняты меры, черное дело уже свершится, — да и блокирование одноразового эккаунта не является для них столь уж большой потерей в ситуации, когда можно за пять долларов купить новую интернет-карту. К тому же спам зачастую рассылается с зараженных троянцами компьютеров, владельцы которых об этом даже не подозревают. Использование DUL позволяет отгородиться от спама, рассылаемого с этих машин, без вреда для валидной почты, — законопослушные пользователи все равно отправляют ее через SMTP-серверы своих провайдеров.

DRBL (ответы на часто задаваемые вопросы, касающиеся устройства и функционирования DRBL, можно найти по адресу www.drbl.croco.net/faq.html) — распределенный черный список, поддерживаемый силами весьма значительного провайдерского сообщества. Главное его отличие от большинства других аналогичных систем — управляемость процесса блокировки. Если пользователь такого известного черного списка, как, например, Spews, полностью зависит от политики его далеко не всегда адекватных составителей и нередко туда по пустячным поводам попадают весьма крупные сети, что автоматически может создать проблемы с хождением почты для большого количества людей, — то при использовании DRBL каждый сам выбирает политику фильтрования. Этот черный список состоит из большого количества DRBL-зон, каждая из которых поддерживается своим владельцем в соответствии с его политикой. Пользователь системы присваивает этим зонам свои весовые приоритеты в диапазоне от нуля (полностью игнорировать) до единицы (принять к исполнению). Например, если мы безоговорочно доверяем некоему владельцу DRBL-зоны и знаем, что по пустяку в его список никто не попадет, — мы присваиваем ему единичный коэффициент, и со всех адресов, попадающих в этот список, почта нами автоматически перестает приниматься. Напротив, если какой-то владелец DRBL-зоны известен своим экстремизмом и в его черный список попадают не только неуправляемые сети и открытые релеи, но и адреса, запятнавшие себя единственным незначительным инцидентом, — мы присваиваем ему низкий приоритет, и адреса из него будут фильтроваться нами только в том случае, если они засвечены в DRBL-зонах других владельцев, так, чтобы суммарный коэффициент составил единицу. Благодаря такому распределенному устройству и отсутствию единого хозяина, ситуация, когда какая-то сеть попадает в черный список по злому умыслу и почта из нее перестает приниматься, — как это бывает со Spews, — попросту невозможна. Даже если среди владельцев зон и появится такой пакостник, он очень скоро получит нулевой приоритет, и его диверсии будут игнорироваться.

Сравнительная анатомия

Теперь попробуем сравнить системы фильтрации по контенту с черными списками по тому, как они защищают провайдера и пользователя от вредоносных факторов спама.

Во-первых, порождаемый спамом паразитный трафик (не такой уж и маленький, как могло бы показаться, — в крупных сетях он составляет по несколько — до десятка — мегабит в секунду, что даже при низких московских межоператорских ценах приносит ежемесячного убытка до нескольких тысяч долларов, — региональные провайдеры обычно помельче, и потоки у них не столь велики, — но в регионах и стоимость трафика выше, чем в Москве, на порядок и более). При использовании черного списка почтовый сервер адресата отказывает отправителю в установке SMTP-сессии, не принимая самого письма и даже его заголовка. «Тук-тук, примите письмо оттуда-то». — «Извините, не примем». Разговор окончен, паразитный трафик не идет, деньги не тратятся. Любая же система контентной фильтрации должна сначала полностью принять письмо, чтобы уже потом подвергнуть его анализу и решить, что с ним делать.

Во-вторых, серверное дисковое пространство — наиболее уязвимое для спама место с точки зрения физической работоспособности электронной почты. При использовании черного списка непринятое письмо, как легко догадаться, места на диске не займет и никаких проблем нам создать не сможет. Система контент-анализа какое-то время хранит полученный спам на диске, повышая риск переполнения ящика, — причем, поскольку на лету такие письма сегодня практически никто не «режет», их, как правило, складывают в отдельную папочку из опасения потерять валидную почту, — мусор на диске может храниться довольно долго. И пусть возмущенные критики кричат, что при нынешних копеечных ценах на дисковое пространство провайдер прямо-таки обязан исключить ситуацию переполнения диска, — но факт остается фактом. Во время всплесков массовых рассылок — особенно в предновогодние дни, когда активность спамеров растет, а в компаниях работают сокращенные праздничные смены, — по всему миру валятся десятки почтовых серверов, а уж число принадлежащих конечным пользователям почтовых ящиков, из-за переполнения перестающих принимать письма, — и вовсе не поддается исчислению.

В-третьих, при использовании системы контентной фильтрации пользователь, ожидающий важного сообщения, вынужден тратить время и внимание на перелопачивание папки, в которую система отложила подозрительные письма. И если при нынешних ценах на доступ финансовые потери из-за паразитного трафика, как правило, не слишком велики, хотя и неприятны, то непроизводительные затраты рабочего времени обходятся куда дороже, — особенно если речь идет о высокооплачиваемом специалисте. Вдобавок появляется опасность не заметить замыленным глазом, утомившись рутинной процедурой, единственную жемчужину в горе мусора и вместе со спамом удалить важное письмо. С черными списками такой проблемы не возникает, — при их нормальной работе спам попросту не достигнет почтового ящика.

Но все эти неприятные особенности систем контентной фильтрации меркнут по сравнению с четвертой, самой главной.
Представьте, что вам кровь из носу нужно отправить деловое письмо, от которого зависит заключение многомиллионной сделки. Пусть это, к примеру, будет послание с темой «Re: Запрос на коммерческое предложение» со стандартным текстом и вложенным экселевским файлом. Или, как было в примере, с которого я начал статью, — пара ссылок на страницы, которые обязательно должен увидеть адресат. Вы отправляете письмо и получаете от робота отлуп: дескать, письмо ваше классифицировано как спам и потому доставлено не будет. А вам известен единственный почтовый адрес, на который можно отправить сообщение, и связаться с адресатом иным способом — возможности нет. Что делать, чтобы письмо достигло цели?

В случае, если отказ в пересылке почты исходит от черного списка, — доставить сообщение можно всегда. Для этого необходимо лишь отправить его через релей, в черном списке не состоящий. Например, если провайдер адресата использует DUL и его почтовый сервер отказывается принимать почту от вашего компьютера напрямую, — достаточно послать письмо через SMTP-сервер вашего провайдера. Если он сам, вследствие какого-то недавнего инцидента, попал в черный список, — можно завести для отправки сообщения одноразовый ящик на «Яндексе» или Mail.Ru, или купить карточку другого провайдера и отправить сообщение через него, или завести платный почтовый эккаунт на www.zmail.ru, оплатив его кредиткой или «вебманями» (людям же, периодически сталкивающимся с подобного рода проблемами, имеет смысл завести в разных местах два-три резервных эккаунта). В любом случае известен алгоритм решения проблемы: отправить письмо через релей, в черном списке отсутствующий, — и, хоть тушкой, хоть чучелом, — письмо будет доставлено.

Если же ваше письмо не доставляется из-за того, что оно принято за спам системой контент-анализа, — решения проблемы не существует. То есть вообще. Вы можете отправлять его откуда угодно — это неважно, — все равно система смотрит на содержание, а оно ей не нравится. Вы можете попытаться модифицировать тему и текст, чтобы обмануть робота, раз за разом посылая все новые и новые варианты, — возможно, вам это и удастся, но скорее всего — нет. Просто потому, что вряд ли вам за полдня удастся изобрести что-то, до чего за месяцы и годы не додумались профессиональные спамерские команды, в которых группы психологов и лингвистов получают деньги за то, чтобы придумывать все новые и новые варианты, уже просачивающиеся через фильтры, но все еще хоть как-то воспринимаемые человеком (помните, — «Кккомммеррческ0е преедложение»?). А значит, сигнатуры ваших тщетных потуг, скорее всего, уже есть в базе антиспамовой системы и ваши новые, модифицированные письма отправятся вслед за предыдущими. И если в случае с черными списками алгоритм решения проблемы общеизвестен и прозрачен, то вот способы обойти контент-фильтры являются принципиальным секретом, который никогда не станет достоянием общественности. Более того, и обновление анализирующего программного обеспечения, и пополнение баз сигнатур происходит непрозрачным для пользователя образом, и по мере «поумнения» таких систем письма, которые благополучно доставлялись еще вчера, завтра могут быть распознаны как спам и полететь в корзину.

По утверждению создателя «Спамтеста» Игоря Ашманова, его система на сегодняшний день дает одно ложное срабатывание на 100 тысяч писем. Этот показатель можно было счесть вполне приемлемым (конечно, если этим единственным письмом не оказалось то самое ваше, жизненно важное), если бы не одно «но». Очевидно, что ни любовное признание, ни предложение приятелю встретиться после работы в баре, ни стандартное сообщение от робота система контент-анализа за спам не примет. Зато в группу высокого риска неизбежно войдут письма с коммерческими предложениями и прайс-листами, ссылками, всяческая деловая переписка, наиболее похожая на спам (а точнее — та самая, на которую спам чаще всего пытается походить), — и вот для этой группы риска вероятность ложных срабатываний неизбежно окажется на порядки выше.

Иными словами, использование систем контент-фильтрации ставит крест на электронной почте как инструменте ведения бизнеса, оставляя для нее нишу флирта и всяческих развлечений. Если нет уверенности, что коммерческое предложение будет доставлено адресату, — бизнесмен предпочтет отправить его по факсу и убедиться в доставке, — несмотря на медлительность и дороговизну этой технологии прошлого века. У электронной почты отнимается надежность, отправка письма превращается в лотерею с непредсказуемым результатом, — и в таком виде контент-фильтрация попросту не имеет права на существование. Если же подозрительные письма не уничтожаются на лету, а складываются в отдельную папку, — то адресату все равно приходится в поисках нужного сообщения перерывать груды мусора, как если бы спам-фильтра и не было вовсе, — и в таком виде контент-фильтрация никому не нужна. Столь разрекламированные продукты и технологии можно благополучно хоронить, — и чем раньше это будет сделано, тем меньший ущерб для бизнеса будет нанесен, и тем меньше Интернет как инструмент будет скомпрометирован в глазах делового сообщества.

Наконец, производительность компьютеров постоянно растет, а лингвисты водятся отнюдь не только в лаборатории у Ашманова, но и по другую сторону баррикад. Пройдет не так уж много времени, и лингвистические программы будут генерировать по уникальному — вполне внятному и читаемому — спамерскому письму для каждого получателя. Отличать спам по частоте попадающихся сигнатур станет невозможно, и это окончательно поставит крест на контент-фильтрации спама, представляющей собою тупиковую ветвь эволюции.

Особняком от систем контент-фильтрации стоят технологии аутентификации пользователей, — реализованные, к примеру, в системе «Карантин» компании

E-Style ISP. Выглядит это так: при поступлении сообщения от неизвестного пользователя система генерирует запрос подтверждения, а письмо помещает в карантин. Если речь идет о валидном письме, отправленном человеком, то он, получив запрос, подтверждает факт отправки (послав почтой ответ или кликнув мышкой по гиперссылке). В этом случае письмо извлекается из карантина и попадает в папку «Входящие». При получении же спама запрос на подтверждение отправляется в никуда — на несуществующий или подставной чужой адрес. Подтверждения в этом случае, очевидно, не воспоследует, — и по истечении срока карантина письмо будет уничтожено, так и не попавшись на глаза адресату.

На первый взгляд, все красиво и изящно, — такой подход гарантированно избавляет от спама (хотя могут быть и проблемы, например, со списками рассылки, подставляющими в качестве обратного адрес мейл-листа, — в этом случае запросы посыплются всем многочисленным подписчикам). Однако если подобные технологии станут на рынке доминирующими (а «Карантин» пытается на это претендовать), — настанет черный день для электронной почты. Не будем особо говорить даже о «лавинах», — когда запрос от одной системы будет восприниматься другой как письмо и приводить к генерации встречного запроса, — хотя такие ситуации и неизбежны, особенно при взаимодействии конкурирующих систем от разных производителей. В конце концов, рано или поздно подобные проблемы будут излечены путем настройки программного обеспечения.

И то, что вместо снижения паразитного трафика использование такой системы приведет к его росту из-за множества запросов и подтверждений (плюс одно сообщение для спама, плюс два — для валидного письма), — это тоже полбеды, — за удовольствия неизбежно приходится платить. С этим, а равно и с необходимостью тратить кучу дискового пространства на размещение находящихся в карантине писем, придется смириться. Как и с тем, что своевременной доставки валидного письма при использовании подобной системы никто не гарантирует. В конце концов, случаи, когда человек отправляет письмо в последний день перед отпуском и не успевает подтвердить его отправку, — а после возвращения, даже если срок карантина еще не истек, оно окажется безнадежно устаревшим, — будут не столь уж массовыми, — да и непрохождения запросов, отфильтровываемых как спам, разнообразными фильтрами других систем будет не так уж и много, — хотя все описанное, в тех или иных масштабах, тоже окажется неизбежным.

Проблема заключается в том, что создатели «Карантина» перекладывают тягостную необходимость разгребать почтовый ящик с получателя на отправителя, а поскольку каждый из нас постоянно оказывается то в одной, то в другой роли, — хрен редьки не слаще. Представьте, что вы отправили письмо на лист рассылки с несколькими сотнями подписчиков, у каждого из которых установлен «Карантин». Прочувствовали? — вот то-то. Причем автоматизировать процесс подтверждения не получится, — запросы принципиально должны быть такими, чтобы читаться только человеком, но никак не компьютером, — иначе спам, посланный с одноразового, но реального адреса, на котором стоит робот-подтверждатель, пройдет через «Карантин», как нож через масло.

Конечно, можно верифицировать не каждое письмо, а всего лишь адрес отправителя, — но в этом случае пропадает даже та небольшая польза, которая от таких систем обещается, — гарантированная защита от спама. Мало того что сегодня спамерский софт в качестве обратного подставляет случайно выбранный адрес из базы, среди которых с ненулевой вероятностью окажется и уже верифицированный (мне неоднократно приходил спам даже с моего собственного обратного адреса, — не говоря уже об адресах знакомых). В ответ на повсеместное внедрение систем, подобных «Карантину», очень быстро будет модернизирован и спамерский софт, — благо все необходимое уже создано до нас. Давным-давно существуют почтовые вирусы, рассылающие сами себя с зараженной машины по адресам из адресной книги почтового клиента, — теперь появятся такие же, но рассылающие спам, закамуфлированный под дружескую переписку («Привет! Я только что из отпуска, отдохнула классно…»). Причем даже если верифицировать не адрес, а каждое письмо, — велика вероятность, что человек, ведущий активную переписку, получив запрос от знакомого, машинально даст подтверждение на письмо, которого на самом деле не отправлял.

И все же основная опасность систем, подобных «Карантину», не в этом.

Каждый день в мой почтовый ящик приходит от полудюжины до полутора десятков отлупов от роботов, сообщающих, что по тем или иным причинам не могут доставить письмо адресату. Письмо, которого я не посылал, адресату, которого я не знаю (впечатляет. Мне такие сообщения приходят от силы одно-два в день. Но все же приходят). Происходит это потому, что среди адресов, случайным образом выбираемых из базы в качестве обратных спамерским софтом, есть и мой адрес. Надо отдать спамерам должное: они весьма оперативно актуализируют свои базы, удаляя оттуда прекратившие существование или недоступные почтовые ящики, — поэтому-то подобных отлупов приходит так мало. Если все без исключения пользователи поставят себе «Карантин», — вместо этого десятка сгенерированных роботом отлупов мне ежедневно придется разгребать сотни, — а может, тысячи? десятки тысяч? — запросов, среди которых затеряются и запросы на подтверждение реально отправленных мною писем, и валидная почта. Не говоря уже о широчайших возможностях для злоупотреблений, — ведь чтобы гарантированно завалить любой, сколь угодно большой, хоть гигабайтный почтовый ящик, — в мире, где «Карантин» стал стандартом де-факто, достаточно будет при помощи общедоступной спамерской программы разослать миллион-другой сообщений, подставив адрес жертвы в качестве обратного.

В общем, «Карантин» и сходные с ним технологические решения остаются терпимыми, пока установлены в единичных экземплярах. Как только они станут сколько-нибудь массово распространены, — они создадут больше проблем, чем решат, — а спамеры без особого труда изыщут способы их обхода. 

Спамерская кухня

Как мы только что увидели, ни фильтры, построенные на использовании контент-анализа, ни системы с верификацией отправителя не способны полностью перекрыть спаму дорогу к получателям, а их массовое внедрение порой может породить новые проблемы, как минимум сопоставимые с наносимым спамом ущербом.

В то же время борьба провайдеров со спамом на двух фронтах — путем поддержания чистоты в собственном хозяйстве и фильтрации приходящего мусора по черным спискам — привела к тому, что спам в России полностью побежден как класс. Да-да, не удивляйтесь, — сомневающиеся в этом факте могут в порядке эксперимента провести несанкционированную массовую рассылку, например, купив анонимную интернет-карту «Зенона» или, скажем, «МТУ-Интел», — они обнаружат, что достучаться напрямую до большинства российских почтовых серверов попросту невозможно, а при попытке разослать спам через SMTP-сервер провайдера эккаунт с высокой степенью вероятности окажется заблокированным еще до того, как уйдет первая тысяча сообщений. Рассылка спама с домашней выделенной линии закончится еще печальнее: в лучшем случае после этого потребуется заплатить весьма чувствительный штраф за повторное включение, а в худшем — потратиться на подключение к конкурирующему широкополосному провайдеру, если он есть, или довольствоваться медлительным коммутируемым соединением.

Откуда же берутся те тонны мусора явно российского происхождения, которые мы ежедневно выгребаем из почтовых ящиков, и как спамерам удается просачиваться, несмотря на столь замечательную и хорошо отлаженную систему? Дело в том, что сегодня только ламеры и самоубийцы пользуются для рассылки спама традиционными почтовыми технологиями. Профессионалы же этого черного дела действуют по-другому.
Сегодняшний профессиональный спамер — это не задерганный студент-очкарик, пытающийся заработать на банку пива при помощи разрекламированного компакта с базой и дайлапного эккаунта. Это — высокотехнологичное предприятие, размещающее десяток-другой, а то и несколько десятков серверов на широких каналах в дата-центре крупного провайдера. На графиках загрузки каналов эти серверы проявляют себя равномерным потоком исходящего за рубеж трафика, — у кого пара мегабит в секунду, у кого десяток, а у кого и больше. Потом эти мегабиты возвращаются к нам из-за океана в виде предложений купить шагающий экскаватор, увеличить пенис или посетить бухгалтерский семинар, — и взгляд на сетевую активность таких клиентов позволяет примерно оценить совокупную паразитную нагрузку, создаваемую спамом отечественного происхождения на зарубежные каналы российских провайдеров. По самым осторожным прикидкам, только известные мне компании подобного профиля генерируют постоянный поток не менее 100 Мбит/с, — но я заведомо знаю далеко не обо всех из них.

К сожалению, провайдер, даже доподлинно зная, чем занимается такой клиент, не может его отключить. Дело в том, что непосредственно с размещенных в дата-центре серверов клиент не спамит, и, чтобы схватить его за руку, необходимо как минимум перлюстрировать его трафик, — что вправе сделать правоохранительные органы с санкции суда, но никак не провайдер, над которым дамокловым мечом висит статья о нарушении тайны переписки.

Сегодняшние спамеры используют в качестве плацдармов для рассылки зараженные специальными вирусами-троянцами пользовательские компьютеры, расположенные на широкополосных DSL-каналах и находящиеся, как правило, за рубежом. Создание вирусов давно перестало быть развлечением самоутверждающихся тинейджеров, — сегодня это бизнес, аффилированный со спамом и имеющий огромные обороты. Благодаря многочисленности прорех в Windows ежедневно по всему миру заразу подхватывают тысячи компьютеров, чьи адреса, разумеется, попадают в черные списки, — после первой же произведенной с них рассылки. Однако такая потеря не является для спамера чувствительной, — никто и не рассчитывает, будто подобный плацдарм прослужит долго, — в случае его утраты нетрудно найти другой.

Безусловно, существует теоретическая возможность прижать таких деятелей к ногтю, — благо уголовная ответственность за распространение и использование вредоносных программ предусмотрена законодательством как в России, так и в большинстве других стран. Однако это потребовало бы проведения тщательно скоординированной международной операции правоохранительных органов по крайней мере двух стран, — и удачного стечения ряда обстоятельств. Необходимо, чтобы владелец зарубежного компьютера, зараженного специализированным троянцем, обратился в полицию, и она начала бы расследование. Необходимо, чтобы в ходе расследования был взят под контроль весь трафик, порождаемый зараженной машиной. Необходимо, чтобы в то время, пока машина стоит на «прослушке», она была бы использована для рассылки спама (а вероятность того, что из десятков тысяч «зомби» разбросанных по всему миру, будет использован именно этот, — не так уж и велика). Необходимо, чтобы «прослушке» удалось зафиксировать IP-адреса удаленных российских хозяев, тамошние правоохранительные органы оперативно связались бы с нашим Управлением «К» МВД, а оно привело бы в действие СОРМ, зафиксировав обращение с размещенных в московском дата-центре неприметных серверов к зараженному компьютеру. Вот тогда уже можно вызывать спецназ и устраивать маски-шоу в офисе предприимчивых ребятишек, уложив их мордашками в пол, сняв материалы с еще теплых компьютеров и изъяв документацию. Несоблюдение же хотя бы одного из перечисленных условий означало бы срыв всей операции. Хочу надеяться, что когда-нибудь подобное произойдет и первый же прецедент сильно поубавит у остальных спамеров охоты заниматься этим грязным бизнесом, — однако пока что профессиональные спамеры чувствуют себя достаточно уверенно и вовсю пользуются накатанной технологией, позволяющей обходить черные списки.

Которые, к сожалению, при всех своих неоспоримых достоинствах обладают единственным, но очень серьезным недостатком, делающим их малоэффективными в борьбе со спамом. Они всегда на шаг отстают от спамеров, — и будут отставать всегда. И если даже создать Super-DUL, куда внести все без исключения IP-адреса всех модемных пулов и пользователей домашних выделенок по всему миру, — проблемы это не решит. Потому, что мы живем в очень быстро меняющемся мире. Потому, что ICANN, RIPE и прочие их коллеги ежедневно выделяют десятки новых блоков IP-адресов, которые тут же пускаются провайдерами в дело. Потому, что мелкий провайдер, не имеющий собственного адресного пространства, переключаясь на другого поставщика услуг, вернет ему соответствующие блоки адресов, а тот снова пустит их в оборот, — и по адресу, на котором раньше был добропорядочный почтовый сервер, ни в каких прегрешениях не замеченный, завтра окажется зараженная спамерским трояном пользовательская машина. И так далее.

Поддержка черных списков — дело, несомненно, важное и полезное. Она позволяет значительно — во много раз — сократить поток идущего к нам спама. Она повышает издержки спамеров, снижая экономическую эффективность их бизнеса. Но полностью побороть спам при помощи черных списков — невозможно. Никогда, нигде, никак.

Главное — договориться

Значит ли это, будто победить спам техническими средствами невозможно и решение следует искать в другой, — например, законодательной области? Вряд ли. Разумеется, в ряду прочих мер требуется и прямой законодательный запрет, — и он, несомненно, принесет некоторые плоды. В частности, благодаря ему снизится спрос на услуги спамеров, — многие нынешние заказчики не захотят, чтобы их бизнес ассоциировался с незаконной деятельностью. Тем не менее, полностью спрос не пропадет: к примеру, продавцам пиратских DVD-дисков, и так осознанно нарушающим закон, на степень законности применяемых методов рекламы будет, вероятно, наплевать. А раз останется спрос, будет и предложение. Тем более что, как мы уже видели, схватить профессионального спамера за руку непросто, а в таких прибыльных видах криминального бизнеса, как спам, сутенерство или торговля наркотиками, никакие запреты еще не приводили к ликвидации самого явления. Надежды на скорое внедрение нового почтового протокола, призванного решить проблему анонимности отправителя, свойственную SMTP, тоже вряд ли скоро оправдаются. Даже если корпорации и не передерутся в очередной войне стандартов, как это было с DVD, и Microsoft встроит новый протокол в свои бесплатные мейлеры, — многие пользователи не захотят отказываться от привычного им программного обеспечения, не говоря уж о том, что Windows — отнюдь не единственная платформа в мире компьютеров. А раз будут люди, желающие использовать SMTP, — найдутся и провайдеры, готовые этот сервис предоставить, и прорехи в защите останутся еще надолго. Вдобавок совершенно нет необходимости изобретать велосипед: почтовый протокол, исключающий анонимность отправителя электронного сообщения, существует уже много лет, — называется он Х.400 и, помимо данного, имеет еще целый ряд достоинств (например, он гарантирует доставку сообщения и уведомления о доставке, — так что электронные письма, отправленные по этому протоколу, могут рассматриваться как полноценные документы). Ну, существует он давным-давно и существует, — что, много народу его использует, если не брать в расчет корпоративные системы электронного документооборота?

Поэтому технические средства со спамом необходимы, — осталось только понять, какие именно. На основе анализа достоинств и недостатков черных списков, систем контент-анализа и систем с аутентификацией можно сформулировать требования к хорошей антиспам-системе.

Подобная система, во-первых, не должна принимать спам-сообщения, дабы не создавать паразитной нагрузки на каналы, не занимать ими дисковое пространство сервера и тем более не генерировать собственный трафик. Во-вторых, у пользователя, который не может отправить валидное электронное письмо из-за вмешательства системы (а такое, будем реалистами, с ненулевой вероятностью иногда будет случаться), должен существовать общеизвестный и внятный алгоритм решения этой задачи, — иначе электронная почта окажется попросту непригодной для бизнеса. В-третьих, система должна быть не запаздывающей, как черные списки, а опережающей, — иначе она будет неэффективной. Наконец, в-четвертых, система должна быть децентрализованной, распределенной и не иметь единого владельца. Последнее требование вызвано как соображениями надежности, так и очевидными требованиями участников не зависеть от неизвестных людей, которые по понятным одним им критериям будут кого-то казнить или миловать (фокусы Spews хорошо памятны слишком многим).

Очевидно, большинству перечисленных требований соответствует описанный выше DRBL. Чтобы система была опережающей, а не догоняющей, необходимо изменить принцип фильтрации, и вместо распределенного черного списка создать список белый, включающий в себя все доверенные релеи, от которых — и больше ни от кого — следует принимать почту. Через провайдерский сервер разослать спам в сколько-нибудь заметных объемах проблематично, — нарушитель тут же будет отключен, — а ни «левые» открытые релеи, ни пользовательские компьютеры, зараженные «троянцами», нам страшны не будут, — они получат отказ в установлении SMTP-сессии и даже не сумеют нагрузить каналы паразитным трафиком.

На первый взгляд, затея составить белый список всех почтовых релеев мира выглядит неподъемной, — однако на самом деле это вполне реально. Более того, трудоемкость такой задачи гораздо меньше, чем поддержка уже существующих черных списков, — провайдерские и корпоративные релеи появляются или меняют адрес довольно редко, в то время как стадо «зомби»-компьютеров, рассылающих спам, ежедневно пополняется сотнями и тысячами машин. Облегчить задачу должна и распределенность списка: каждый из участников проекта будет самостоятельно вести свою его часть. Вот, в общих чертах, как это должно работать.

Представим себе, что корпоративный клиент провайдера, участвующего в системе, решил поднять собственный почтовый релей. Он обращается к своему провайдеру с просьбой, получив которую, тот вносит адрес этого сервера в свою часть распределенного белого списка с минимальным рейтингом. При прохождении первого же валидного письма с этого сервера через почтовый сервер другого провайдера он автоматически появляется в списке и у него. Чем больше пройдет валидных писем, тем выше локальный рейтинг. Если же с этого адреса будет зафиксирован спам, — локальный рейтинг адреса снизится. При снижении рейтинга до определенного порогового значения прием почты с данного адреса приостанавливается. В то же время чем выше рейтинг, тем большее число инцидентов, связанных со спам-рассылками, может вызвать сервер, не вылетев из белого списка. (Опять-таки, будучи реалистами, мы должны понимать, что у любого провайдера время от времени будут прорываться спам-рассылки, — хотя бы со стороны клиентов из числа кулибиных, впервые дорвавшихся до компьютера и додумавшихся до изобретения велосипеда. Другой вопрос, насколько хорошо владелец сети поддерживает порядок в своем хозяйстве: если вылазки оперативно пресекаются, то все в порядке, если же нет — такая сеть неуправляема, и почту из нее принимать не следует.)

Каждый из участников может самостоятельно устанавливать пороговые значения рейтинга и веса рейтингов других участников системы, — так что можно самостоятельно, пользуясь информацией, получаемой от своих коллег, определять собственную почтовую политику, — для кого-то будет приемлемо принимать почту с серверов, в трафике с которых спам составляет 5%, а кому-то и 1% окажется слишком много.

Если релей, внесенный в список одним из участников системы, будет исключен из белого списка за спам, рейтинг этого участника и других его протеже автоматически снизится, — как и вес, с которым оценки, им выставляемые, воспринимаются остальными. Это позволит избежать опасности «засланных казачков», когда связанный со спамерами участник системы будет вносить в нее «одноразовые» адреса для рассылки через них спама, — после нескольких инцидентов ни сам рекомендатель, ни те, кого он вносит в список, попросту не будут приниматься в расчет остальными.

В случае, если пользователь столкнулся с невозможностью отправки письма из-за того, что его сервер отсутствует в белом списке, — у него есть все необходимые сведения для решения проблемы. Ведь сам по себе белый список, известный публично, является полным перечнем релеев, от которых сети, участвующие в проекте, принимают почту. Для того чтобы письмо дошло, достаточно отправить его через один из них.

Создание такой системы и внедрение ее несколькими ключевыми игроками — такими как «Яндекс», Mail.Ru, «МТУ-Интел», «РОЛ», «Зенон» и др. — привело бы к цепной реакции. Многочисленные более мелкие игроки, озабоченные беспроблемным прохождением почты в эти сети, сами позаботятся о том, чтобы предоставить необходимую информацию для внесения в список. Что же до зарубежных серверов, то их, конечно, придется один раз внести туда руками, — после чего трудозатраты по поддержке и актуализации базы будут незначительными.

И тогда сегодняшние спамерские технологии можно будет благополучно выкинуть на свалку, поток мусора, поступающего в наши почтовые ящики, сократится до единичных случаев, а «Спамтест» и «Карантин» можно будет проводить на заслуженный отдых. Надеюсь, ни Игорь Ашманов, ни Алексей Степутенков на меня за это не обидятся. Дело того стоит.

Сверху вниз: темы спама в западной почте по итогам 2003 года, лидеры спамерских тематик в России по итогам первого полугодия 2004 года, доля спама в общем почтовом трафике Рунета в первом полугодии 2004 года (по данным компании BrightMail и ЗАО «Ашманов и Партнеры»).