Asbjorn Hojmark wrote in
<news:vvdhs1dj2or9htlug7po2u2tud3np07pli@4ax.com>:
>> SPF er en narresut, der kan få een til at tænke "Så, nu har jeg
>> gjort noget!", men det eneste man har gjort er at skabe
>> potentielle problemer for sig selv og andre.
>
> Kan du uddybe det lidt?
Jeg bliver så træt... men siden det er dig der spørger, og jeg ikke
tror du spørger bare for at genere mig, vil jeg gøre en undtagelse og
prøve at lade være med bare at skrige "AAARGH, HULK SMASH SPF!"...
Lidt baggrund:
SPF (Sender Policy Framework) er et (måske) velment forsøg på at løse
en del af spam-problemet. Ideen er at der skal være en fordel i at
beskytte "return-path" mod forfalskning (spoofing). Dette foregår ved
at registrere nogle oplysninger om domæner i DNS og slå disse
oplysninger op ved modtagelsen af email "fra" et bestemt domæne for at
se om afsenderen, altså den MTA der levere mailen, stemmer overens med
det definerede.
Problemer med SPF:
For det første, er der ingen der præcist har kunnet beskrive /hvad/
fordelen er ved at bekæmpe return-path spoofing. Ja, det vil sige, der
var oprindeligt ikke nogen ende på alle de gode ting der kunne komme ud
af det, men de er efterhånden alle sammen opgivet (fordi de ikke gav
mening fra starten). I dag er det eneste konkrete /udviklerne/ af SPF
kan foreslå: at der i nogle meget specifikke tilfælde kan spares nogle
CPU-cykler til analyse af spam.
For det andet, er SPF i direkte modstrid med SMTP-standarden. At
return-path er variabel er en /feature/ ved SMTP, ikke en fejl. At omgå
det, gør at ting holder op med at virke fordi de andre børn på nettet
pludselig ikke længere kan regne med at man opfører sig på en bestemt
måde. Det er det samme argument som for at overholde andre standarder:
man behøver ikke, men hvis man ikke har en vældigt god grund til det,
er det dumt at lade være. SPF er ikke nogen vældigt god grund.
For det tredie, giver SPF dejlig falsk tryghed. SPF forhindrer spoofing
af envelope-from, i nogle bestemte situationer. Problemer er, at det
ingenting gør for headeren "From: ", men når brugeren først har hørt at
det hjælper med at identificere afsenderen, er resten bare techno-
babble der kan ignoreres.
For det fjerde, er det meget nemt at komme til at fejlkonfigurere sine
SPF-records. Det ser let nok ud, og det er det teknisk set også, men
problemet er at langt de færreste kan overskue nøjagtig hvilke maskiner
der nu og i fremtiden skal kunne sende mail for et bestemt domæne. Det
viser sig meget ofte at vilkårene ændrer sig, og så har man lige glemt
en SPF-record for et domæne et sted, med deraf følgende besvær og
beklagelser.
For det femte, er SPF en elitær klub-løsning. Grundideen er jo, at hvis
man ikke er med, så er man imod. Som de selv skriver[0]:
| [...]we're moving from one paradigm to another: from "assumed
| innocent until proven guilty" to "assumed guilty unless proven
| innocent".
.... hvilket er den helt forkerte vej at gå. Det er ikke "sikkerhed" at
udelukke alle de små webudbydere, virksomheder, privatpersoner og
vanity-domains der ikke lige har valgt at være med. Ja, lige pt kan man
godt nok være med i SPF-klubben gratis, men det er slet ikke sikkert at
det fortsætter i fremtiden -- omend det nok fortsætter så længe de ikke
har opnået critical mass (og dermed forhåbentlig for altid). Og uanset
om det koster, i øvrigt, hvorfor skal de så diktere hvad andre MTA-
administratorer skal gøre eller ikke gøre, uden en RFC eller andet
accepteret, peer-reviewed grundlag?
For det sjete, giver SPF helt almindelige brugere, der ingenting ved om
MTA'er, ISP'er og internettet i øvrigt, grå hår i hovedet når deres
mail til moster Oda bliver afvist fordi deres Mail-SP har publiceret en
restriktiv SPF-record og modtagerens ISP har misforstået hvordan den
bør behandles. Eller sagt på en anden måde: "Et system hvorunder min
mor ikke kan sende mail er ikke godt nok".
For det syvende, roder SPF SMTP og DNS sammen, mere end det allerede
er i forvejen[1]. Dette er Fjollet(tm). DNS er beregnet til en meget
specifik opgave, og alle de systemer der i øjeblikket udvikles der
udnytter DNS "alternativt" er efter min mening grundlæggende på
vildspor. Det faktum at DNS bare /fungerer/ skyldes at der er
simpelt[2] og effektivt -- og ingen tjener noget ved at læsse
funktioner over på det som det ikke er beregnet til, indtil læsset
tipper.
For det ottende, er SPF et af den slags systemer der først virker når
vi alle sammen er med (eller i hvert fald 'critical mass' som omtalt
ovenfor). Det er ikke en måde at løse noget på, med mindre man i det
mindste kan få løsningen på et standards-track -- men det kan SPF slet
ikke holde til, så det sker ikke. Indtil da, skal alle vi andre trækkes
med problemerne uden at have nogle af fordelene.
....
Okay, nu gider jeg ikke mere lige nu. Jeg er klar over, at dele af
ovenstående kan være kontroversielt, og jeg er også klar over at det
hele kunne uddybes bedre. Så tag det gerne som udgangspunkt for en
diskussion og spørg hvis der er noget jeg skal uddybe bedre.
Og til de, der sidder og sitrer af harme og vil fare i blækhuset for at
forsvare SPF: tag i det mindste lige og læs diskussionen om SPF på
postfix-users først. Så kan vi fortsætte bagefter.
[0]:
http://www.openspf.org/faq.html
[1]: DNSBL'er gør det allerede. Det er heller ikke optimalt.
[2]: Hah! Gu' er det ej. Men det er ikke et argument for at gøre det
værre.
--
Niels Callesøe - dk pfy @work
pfy[at]nntp.dk -
http://www.t29.dk/~nica/disclaimer.php
See above for rant.