[SECURITE] Anti-spam: Microsoft choisit de passer en force pour imposer Sender ID

Microsoft compte, à partir de novembre, rejeter tous les messages à destination de ses services MSN et Hotmail ne comportant pas d'identifiant Sender ID. Cet identifiant est une technique développée par Microsoft afin de lutter contre la falsification des entêtes email, en s'assurant que le serveur d'émission du message est certifié.

Cette technique fait l'objet de nombreuses critiques dans ses principes et dans sa forme. Elle a en effet été rejetée par tous les organismes de normalisation de la communauté internet (IETF et OSI en particulier). De plus, elle est inefficace face aux spams (près de 50% de mails émanent des serveurs utilisant le Sender ID étant du spam), et une solution peu pratique face au phishing.

Cette décision de rejeter tous les messages ne se conformant pas à cette technologie est perçue par l'ensemble de la communauté et de l'industrie internet comme un coup de force de la part de Microsoft. Ce coup de force a pourtant peu de chance d'aboutir : Microsoft n'étant pas un gros acteur des serveurs mails, tout en étant le seul à supporter le Sender ID, les principaux perdants seraient les usagers des services mails de MSN et de Hotmail.

99 % de ceux qui utilisent msn messenger utilisent Hotmail !

@Tyler-Durden: tu peux garder ton adresse Hotmail mais ne l'utiliser que pour MSN et pas pour les mails. Je pense que beaucoup de gens font ça aussi.

Quant à utiliser MSN avec d'autres adresses que Hotmail, je ne savais pas du tout que ça existait et ça m'étonne beaucoup. De mémoire, il fallait un Passeport .Net, qui correspond à une adresse @msn, @hotmail ou @microsoft...

non j'ai un pote qui utilise wanadoo et un autre cegetel

Sender ID populaire... chez les spammeurs
Une enquête donne des chiffres inquiétants sur la technologie censée garantir la provenance des courriels. Plus de la moitié des messages utilisant cette technique relèvent du spam. (02/09/2004)

Une enquête de CipherTrust, société spécialisée dans la sécurité des emails, révèle que sur 2 millions de courriel reçus par ses clients, seuls 5% viennent de serveurs utilisant une technologie d'identification de l'expéditeur, de type SPF, Caller ID ou leur synthèse Sender ID. Et parmi ceux-ci, les spams sont majoritaires.

La publication de ces statistiques révèle la faiblesse du déploiement de Sender ID sur les serveurs des grandes entreprises (31 sur les 1 000 plus grosses sociétés des Eats-Unis), et montre que les spammeurs ont choisi d'aborder l'obstacle de front (faute de pouvoir le contourner pour l'instant ?) en s'identifiant selon les règles récemment approuvés par l'Internet Engineering Task Force. Ce qui siginifie que les messages concernés montrent la vraie adresse d'expédition, et non une adresse usupée.


Les promoteurs de la technologie, au premier rang desquels Microsoft, font remarquer que l'échantillon testé est trop restreint pour prétendre être représentatif. Mais le simple fait que Sender ID soit déjà contourné donne à penser que sa mise en place dans les prochaines semaines par Yahoo!, AOL et Hotmail n'ouvrira pas même une période de léger répit pendant que les spammeurs rattrapent leur retard technologique - ils sont plutôt en avance sur les entreprises et les services de messagerie.

En l'état actuel des choses, si Sender ID a quelque effet, c'est celui de permettre aux spammeurs d'augmenter l'efficacité de leurs envois, puisque la technique est utilisée pour reconnaître et sélectionner les courriels légitimes, qui n'ont alors pas à passer par un filtre spécialisé avant d'atteindre la boîte de réception du destinataire. Un contre-emploi choquant, qui ne serait cependant que provisoire.

L'éventuel succès de Sender ID n'est, malgré les apparences, pas remis en cause : quand son déploiement aura atteint un seuil critique, il sera possible de mieux faire la différence entre les spammeurs et les expéditeurs légitimes, donc d'apporter quelque protection à l'utilisation de courrier électronique, et de répit aux serveurs dediés au filtrage.

Mais les listes des serveurs expéditeurs de pourriels devront être fréquemment mises à jour pour éviter que les spammeurs ne se jouent du système en changeant d'IP le plus souvent possible. Sender ID risque aussi de provoquer des dommages collatéraux en incitant les spammeurs à utiliser des machines tierces, préalablement vérolées, pour expédier massivement leurs messages.

Mais selon Meng Weng Wong, co-auteur du procédé, l'usurpation d'adresse n'est qu'une des 12 faiblesses du système actuel qu'utilisent le plus les spammeurs. Dans l'attente du déploiement à grande échelle de la technologie et de la réponse des spammeurs, les objectif de Sender ID restent donc inchangés, et relativement modestes : éviter une aggravation de la pollution, et si possible exercer quelque dissuasion - même si pour l'instant, on en est loin.

Source: JdN

Anti-spam: Microsoft choisit de passer en force pour imposer Sender ID

Technologie - L’éditeur de Redmond va activer les filtres de sa solution anti-spam sur MSN et Hotmail à partir de novembre prochain. Tous les e-mails entrants, qui ne seront pas dûment authentifiés par Sender ID, seront considérés automatiquement comme du spam.

Microsoft ne renonce pas à sa solution anti-spam Sender ID. L'éditeur a ainsi décrété qu'à partir de novembre, ses services de messageries électroniques MSN et Hotmail classeront automatiquement comme des spams potentiels les messages entrants qui n'utiliseront pas son système d'authentification. C'est ce qu'a expliqué à CNET News.com Craig Spiezle, directeur du département sécurité logicielle chez Microsoft.

Rappelons que Sender ID est le fruit de la convergence de deux technologies: SPF ("Sender Policy Framework"), imaginée par le fondateur de Pobowx.com, et "Caller ID for E-mail", sortie tout droit des laboratoires de Microsoft il y a un an et demi. L'objectif de cette solution est de bloquer l'envoi massif de spams, en s'assurant de l'intégrité des serveurs par lesquels les messages transitent.

Le forcing auprès des professionnels

L'éditeur tente actuellement de faire valider cette technologie par l'Internet Engineering Task Force (IETF), l'instance technique qui définit les principaux standards du Net. Il s'est fait recaler une première fois en septembre 2004, mais a décidé de modifier son protocole pour tenter une nouvelle fois sa chance. Pour l'instant, l'IETF s'est contenté de donner un statut de protocole expérimental à la solution de Microsoft, ce qui permet à l'industrie de la tester, mais n'en fait en aucun cas un standard.

Microsoft peut ainsi faire le forcing auprès des professionnels. Il demande donc aux fournisseurs d'accès et de services internet, ainsi qu'à tous les détenteurs de noms de domaine, de lui fournir des données techniques (dites "SPF") concernant leurs serveurs de messagerie afin que ces derniers soient identifiés. Tous doivent faire cette démarche «s'ils veulent améliorer la légitimité des e-mails qu'ils envoient, tout en protégeant leur domaine et les consommateurs. C'est une chose responsable à faire», martèle Craig Spiezle.

Selon lui, installer les filtres Sender ID sur Hotmail et MSN fournira à tous une bonne raison d'adopter Sender ID. Sans incitation, les sociétés ne se donneraient jamais la peine de communiquer leurs données SPF. En fixant la date limite à novembre, le directeur soutient que la marge laissée est suffisante.

Les internautes, premiers affectés

Cette tactique de passage en force ne remporter l'adhésion des acteurs concernés. «Microsoft essaie de faire avaler sa technologie à la communauté internet depuis des années, sans grand succès», explique Ray Everett, cofondateur de la Coalition contre les e-mails commerciaux non sollicités aux États-Unis. Selon lui, cette décision unilatérale va en premier lieu pénaliser les utilisateurs. «Sender ID n'est pas mondialement déployée, ce qui signifie que l'internaute moyen risque de voir ses e-mails légitimes considérés comme des spams lorsqu'il correspond avec des utilisateurs de Hotmail ou MSN».

La technologie Sender ID fait l'objet de nombreuses critiques, notamment parce qu'elle ne reconnaît pas forcément les e-mails transférés entre utilisateurs. D'autres dénoncent également son incompatibilité avec des solutions concurrentes comme Domain Keys, développée par Yahoo.

«Hotmail n'est absolument pas en position d'obliger les sociétés et les organisations à adopter Sender ID», affirme de son côté Jonathan Penn, analyste chez Forrester Research. «Les budgets des sociétés ont été fixés pour l'ensemble de l'année, et la plupart d'entre elles n'ont pas de moyens pour un tel projet cette année» estime-t-il.

Source: ZDnet

Ce qui me fait chier, c'est qu'une personne présente dans mon carnet d'adresse hotmail et avec en plus un mail hotmail ne passe pas à chaque fois le SENDER ID check, donc à terme, on ne recevra plus tous les mails ?!