Combattre le spam

Oui, c’est vraiment ça, une bataille. Une bataille qu’il faut reprendre régulièrement. Une bataille qui ne finira sans doute jamais [1]. Il y en a qui gagnent leur vie à essayer de faire passer leurs messages publicitaires, pendant que d’autres tentent de tout faire pour que vous ne les receviez pas ou que vous n’en soyez pas importuné. Devinez dans quel groupe je me trouve ?

A Bruxelles, on pouvait placer un petit autocollant sur sa boîte aux lettres pour indiquer si l’on désirait recevoir les toutes boîtes. La plupart des facteurs, mêmes ceux payés par les sociétés publicitaires, respectaient assez bien la consigne. Avez-vous déjà essayé de faire la même chose sur votre boîte à courrier électronique ? Pas facile n’est-ce pas ? Et pourtant vous aimeriez vraiment vous en débarrasser de ces messages non solicités, du spam.

Des études récentes montrent que plus de 75% des emails qui traversent l’internet ne sont pas désirés par leur destinataire final. Vous avez peut-être dû acheter les services d’une société spécialisée ou aquérir un logiciel pour vous débarraser de ce fléau. Oui, beaucoup de gens sont prêts à payer pour ne plus être importunés. C’est toute une économie qui tourne autour de ce phénomène, beaucoup d’argent pour construire et détruire des publicités que certains veulent vous faire voir et que vous ne voulez pas voir... c’est assez incroyable, mais c’est bien ça Internet aujourd’hui.

Dernièrement chez Cassiopea j’ai tenté de limiter le spam. J’y gagne pas grand chose, juste ma propre boîte à messages un peu plus propre et le service rendu aux membres de cette association dout je suis bénévole. Malgré tout j’y ai passé pas mal de temps, bout à bout ça fait plus de 40h de travail, oui une semaine quoi ! Mais je pense qu’on arrive à un certain résultat.

J’ai dû employer plusieurs techniques, car pour combattre un ennemi changeant et invisible, il faut user de diverses ruses et de nouveaux stratagèmes. Nous avons pour le moment les moyens de lutte suivants (par ordre d’application à un message entrant sur notre serveur) :

1. les block listes en temps réel (RBL pour Realtime Block List),
2. le DCC (Distributed Checksum Clearinghouse),
3. l’antivirus libre Clamav,
4. le grey listing,
5. et en plus de cela, j’utilise le filtre bayesien de Thunderbird à l’arrivée sur mon poste de travail !

Les étapes 1 et 3 étaient en place depuis longtemps, elles sont très communes et faciles à mettre en oeuvre. La 4e fut mise en place il y a environs 6 mois, avec un certain succès. A ce moment là, 2 messages sur 3 étaient rejettés dès leur arrivée sur notre serveur.

La 2e, je l’ai mise en place ces derniers jours, dans le but de tester son efficacité. Le DCC est en fait une base de donnée distribuées de checksum de messages email. A chaque message reçu, votre serveur vérifie cette base de donnée et puis, suivant le nombre de fois que ce message a déjà été reçu pa d’autress serveurs de part le monde, il décide d’accepter ou de rejetter le message reçu, suivant les limits que vous lui avez données. La supposition sous jacente étant qu’un spam est généralement envoyé de manière simultanée à un grand nombre de destinataire, cela permettrait donc de l’identifier.

Ce système est collaboratif, c-à-d qu’en même temps que vous vérifiez les messages entrant sur votre serveur, vous rapportez également le nombre de fois que vous avez vu tel message. Cette mise en commun va faire grossir le score d’un message reçu par de nombreux serveurs de par le monde. Mais attention, ce n’est pas sans risque, certains messages risquent d’être jettés avec l’eau du bain. Les bébés messages peut-être ? Non, plutôt ceux en provenance de grosses mailing listes assez honnêtes comme celles des journaux ou d’autres medias d’information corrects.

C’est en fait la principale limitation du système. Pour la contourner, il faudrait lister toutes ces mailing listes auxquelles les membres de Cassiopea sont abonnés. Ce qui est assez difficile. La seule manière d’y arriver, est de mettre à contribution les utilisateurs. DCC permet d’avoir des exceptions pour chaque utilisateur, chaque destinataire d’une boîte à messages, c’est en effet eux-mêmes qui sont les mieux placés pour savoir à quelles listes ils sont abonnés et quels messages ils veulent recevoir. Reste que dans le cadre de Cassiopea arriver à un tel niveau de maîtrise de l’outil Internet par tous les membres est assez compliqué, même si c’est justement notre mission.

Le DCC pourrait aussi être utilisé indirectement, par un système de scoring par exemple. Pour ma part, je pense plutôt à le déployer sur le serveur de mailing listes. Recevoir des messages valables en provenance d’autres listes ne devrait ici pas arriver. Or nous recevons justement assez bien de spam sur les adresses des modérateurs ou sur les listes privées, des messages qui sont alors renvoyés à l’expéditeur, c’est ce qu’on appelle un bounce. Il vaut mieux les éviter ces bounces, car pour le spam, les adresses de réponses sont très souvent fausses, empruntées à un innocent. Et c’est cet innocent qui va recevoir notre bounce pour l’avertir que son message, qu’il n’a jamais envoyé, ne peut être livré à son destinataire. Pas cool n’est-ce pas ?

Ce taux élevé de bounces mal dirigés en provenance du serveur de mailing liste de Cassiopea nous a récemment vallu d’être listé sur SpamCop. Et de ce fait, certains ISP belges (brutélé par exemple) ne voulaient plus recevoir nos messages. Alors, le DCC pour limiter les bounces indésirables ?

Bref, comme vous le voyez, si vous m’avez lu jusqu’ici, bravo, combattre le spam est un vrai boulot, mais il ne paye pas autant que celui de créer le spam je pense ! Suis-je du mauvais côté de la barrière ?