Polno besedilo - Univerza v Mariboru

Transcription

UNIVERZA V MARIBORU
FAKULTETA ZA ORGANIZACIJSKE VEDE
Diplomsko delo visokošolskega strokovnega študija
Smer: Informatika v organizaciji in managementu
MODEL PREPREČEVANJA NEŽELENE
ELEKTRONSKE POŠTE
Mentor:
doc. dr. Alenka Brezavšček
Kranj, september 2007
Kandidat: Urban Kunc
ZAHVALA
Zahvaljujem se svoji mentorici doc. dr. Alenki Brezavšček za vse njene koristne
nasvete in pomoč pri pripravi diplomske naloge.
Posebej bi se rad tudi zahvalil svoji ženi Viktoriji in otrokoma Loreni in Nejcu, ki so v
času mojega študija požrtvovalno prenašali mojo odsotnost, obenem pa mi
nesebično pomagali in me bodrili.
POVZETEK
V diplomskem delu je predstavljeno področje neželene elektronske (v nadaljevanju
e-) pošte. Navedene so pomanjkljivosti sodobne e-pošte in razlogi, ki omogočajo
nenadzorovano pošiljanje neželene e-pošte. Predstavljen je model preprečevanja
neželene e-pošte, ki vključuje tri ključne vidike: tehnični, uporabniški in zakonodajni.
Podrobno so opisani tehnični mehanizmi za avtentikacijo poštnih strežnikov in filtrirni
mehanizmi. Prikazana je možnost uporabe teh mehanizmov na različnih točkah
potovanja e-sporočila. Poudarjena je vloga ozaveščanja uporabnikov e-pošte, pri
čemer so podana priporočila tako za končne uporabnike kakor tudi za poslovne
subjekte, ki uporabljajo e-pošto za neposredno trženje. Predstavljena je vloga
zakonodaje pri omejevanju širjenja neželene e-pošte. Izpostavljeni so ključni
elementi, ki bi jih morala zakonodaja jasno opredeljevati. Poleg tega je analizirana
slovenska zakonodaja, ki neželeno e-pošto obravnava. Nanizane so tudi težave, s
katerimi se srečajo operaterji in internetni ponudniki pri upoštevanju obstoječe
zakonodaje.
KLJUČNE BESEDE
-
neželena elektronska pošta
filtriranje elektronske pošte
neposredno trženje
elektronsko poslovanje
internet
ABSTRACT
The diploma thesis discusses the field of unsolicited electronic mail (spam). It
concentrates on the deficiencies of e-mail and on the reasons that enable the
uncontrolled spreading of spam. It introduces a model for the prevention of spam,
which points out three crucial aspects: the technical, the user and the legal aspect.
In detail are described the technical mechanisms for the authentication of e-mail
servers as well as the filtering mechanisms. The diploma thesis shows the possible
usage of these mechanisms at different points of the e-mail traffic path. It also
stresses the importance of user awareness of the e-mail usage, giving
recommendations to the end users as well as to business users, who use e-mail for
the purpose of direct marketing. It discusses the legislation part in the process of the
restriction of the spreading of spam and focuses on the most important elements,
which should be considered by the Slovene legislation dealing with spam. The
diploma thesis also shows the difficulties which operators and Internet Service
Providers confront when considering the present legislation.
KEYWORDS
-
Spam
Spam filtering
Unsolicited Commercial E-mail
Unsolicited Bulk E-mail
Direct marketing
E-commerce
Internet
KAZALO
1
2
Uvod ................................................................................................................... 1
Teoretične osnove s področja e-pošte................................................................ 3
2.1
Osnove internetnih komunikacij ................................................................. 3
2.1.1 TCP/IP protokolni sklad .......................................................................... 3
2.1.2 Sistem domenskih imen – DNS.............................................................. 6
2.2
Zgodovinski razvoj e-pošte......................................................................... 9
2.3
Delovanje sodobne e-pošte...................................................................... 11
2.3.1 Gradniki e-poštnega sistema................................................................ 12
2.3.2 Vloga sistema DNS pri e-pošti.............................................................. 13
2.3.3 Struktura e-sporočila ............................................................................ 14
2.3.4 Pošiljanje e-pošte (SMTP).................................................................... 18
2.3.5 Proces sprejemanja e-pošte................................................................. 21
2.3.6 Spletna pošta (angl. Webmail) ............................................................. 23
2.4
Glavne pomanjkljivosti sodobne e-pošte.................................................. 24
2.5
Primer analize prejetega e-sporočila........................................................ 25
3 Neželena e-pošta.............................................................................................. 29
3.1
Opredelitev pojma neželena e-pošta........................................................ 29
3.2
Ureditev OPT-IN in OPT-OUT .................................................................. 31
3.3
Analiza razlogov za pošiljanje neželene e-pošte...................................... 32
3.4
Statistika neželene e-pošte ...................................................................... 33
3.5.
Načini razširjanja neželene e-pošte ......................................................... 34
4 Model preprečevanja neželene e-pošte............................................................ 37
4.1
Tehnični mehanizmi za preprečevanje neželene e-pošte ........................ 38
4.1.1 Tehnične rešitve na strežniku pošiljatelja ............................................. 38
4.1.2 Tehnične rešitve na strežniku prejemnika ............................................ 43
4.1.3 Omejevanje neželene e-pošte na nivoju končnega uporabnika ........... 45
4.2
Ozaveščanje uporabnikov e-pošte ........................................................... 49
4.2.1 Priporočila za končne uporabnike ........................................................ 49
4.2.2 Priporočila za poslovne subjekte, ki uporabljajo e-pošto za neposredno
trženje ............................................................................................................. 51
4.3
Vzpostavitev učinkovite zakonodaje......................................................... 52
5 Analiza obstoječe slovenske zakonodaje ......................................................... 55
6. Težave operaterjev in internetnih ponudnikov pri spoštovanju obstoječe
zakonodaje............................................................................................................... 62
7 Zaključek........................................................................................................... 68
8 Literatura in viri ................................................................................................. 69
KAZALO SLIK....................................................................................................... 74
KAZALO TABEL ................................................................................................... 74
KRATICE IN AKRONIMI....................................................................................... 75
PRILOGA.............................................................................................................. 76
Univerza v Mariboru - Fakulteta za organizacijske vede
1
UVOD
Z večanjem obsega uporabe e-komunikacij z namenom medsebojnega sporočanja
se ljudje tudi soočajo z vse večjo poplavo neželenih e-sporočil, ki jih prejemamo na
svoj e-naslov, mobilni terminal ali preko drugih sredstev e-komunikacij.
E-pošta predstavlja dandanes enega izmed medijev, ki se zelo pogosto uporablja za
medsebojno komunikacijo tako v službene kot zasebne namene. Tako kot pri ostalih
vrstah e-komunikacij, se tudi pri e-pošti dnevno spopadamo z veliko količino
neželene e-pošte, ki jo poznamo tudi pod imenom ''spam''. Po zadnjih statističnih
podatkih podjetja Postini (glej Postini), ki dnevno obdeluje več kot milijardo esporočil, neželena e-pošta predstavlja več kot 85 % vseh e-sporočil. Za zaščito
zoper neželeno e-pošto obstajajo različni ukrepi kot so npr. tehnični, organizacijski
ali zakonodajni. Vsak posamezen ukrep lahko bistveno zmanjša nejevoljo, stroške in
težave uporabnikov, administratorjev poštnih strežnikov, organizacij ali pa
operaterjev telekomunikacijske infrastrukture, preko katerih potujejo e-sporočila.
Neželena e-sporočila ne prinašajo samo ponudbe izdelkov ali storitev, temveč lahko
tudi vsebujejo zlonamerne izvršljive datoteke, ki nameščajo na računalnike viruse,
črve, trojanske konje in drugo škodljivo programsko kodo, ki lahko nato brez
vednosti uporabnika iz računalnika pošiljajo zaupne podatke ali prestrezajo podatke
ob plačevanju s kreditno oz. bančno kartico. Neželena e-sporočila (še posebej
multimedijska) zasedajo pomnilniške kapacitete ali komunikacijski kanal takrat, ko
ga najbolj potrebujemo. Ogroženo je varstvo osebnih podatkov in identiteta
posameznika ali organizacije, posredno pa trpi tudi ugled. Zaradi zlivanja
komunikacijskih sistemov na enotno IP platformo in konvergence informacijsko
telekomunikacijskih tehnologij, ki bodo kmalu dostopne vsakemu uporabniku ne
glede na prostor in čas, bo neželena e-pošta predstavljala velik problem in ovira za
nadaljnji razvoj digitalne družbe.
V diplomski nalogi bom predstavil model celovite zaščite zoper neželeno e-pošto.
Model predstavlja skupek različnih ukrepov, ki zajema implementacijo tehničnih
rešitev, ozaveščanje uporabnikov ter vzpostavitev učinkovite zakonodaje.
Tehnične rešitve so lahko uspešne na različnih točkah omrežja. Na izvoru, od koder
neželena e-sporočila izhajajo, na hrbtenici telekomunikacijske infrastrukture, pri
ponudniku internetnih storitev ali na prejemnikovem računalniku.
Tudi uporabniki imajo pomembno vlogo pri preprečevanju neželene e-pošte. Le-ti bi
se morali zavedati tveganja, ki ga povzroča nezadostno zaščiten računalnik,
odpiranje e-sporočil neznanega pošiljatelja, obiskovanje pornografskih spletnih
strani ali nepremišljeno odzivanje na neželena e-sporočila.
Vzpostavitev ustrezne ''anti-spam'' zakonodaje in njene implementacije v prakso je
delo državnih organov. Zakonodaja mora na eni strani omogočati in spodbujati
razvoj e-poslovanja in uporabo informacijsko telekomunikacijskih tehnologij, na drugi
strani pa mora sprejeti ukrepe, ki preprečujejo zlorabo e-komunikacij ter natančno
določati kaj je dovoljeno in kaj ne.
Urban Kunc: Model preprečevanja neželene elektronske pošte
stran 1
V nadaljevanju naloge bo predstavljen vsak od navedenih vidikov in njihova vloga
pri celovitem preprečevanju neželene e-pošte. Ker enolična zaščita zoper neželeno
e-pošto na žalost ne obstaja in ker gre za globalen problem, zahteva veliko
sodelovanja med vsemi vpletenimi, ki mora presegati državne meje in tudi meje
celine.
stran 2
2
TEORETIČNE OSNOVE S PODROČJA E-POŠTE
2.1
OSNOVE INTERNETNIH KOMUNIKACIJ
Čeprav je računalniška industrija relativno mlada v primerjavi z drugo industrijo
(avtomobilizem, letalstvo idr.), je naredila v zadnjem času ogromen napredek. Če
začetki računalništva segajo v začetek štiridesetih prejšnjega stoletja, ko je nastal
prvi delujoči programabilni elektronski digitalni računalnik Colossus, so današnji
računalniki bistveno bolj kompleksnejši in zmogljivejši. Z razvojem računalništva so
se začeli računalniki povezovati v omrežja, sprva na lokalni ravni, ko je nastalo prvo
omrežje ARPANET (1969), z nadaljnjim razvojem protokolov in omrežnih naprav pa
se je omrežje širilo v obliko, kot jo poznamo danes (Internet).
Sposobnost računalnikov, da se med seboj sporazumevajo omogočajo
komunikacijski protokoli, ki predstavljajo množico pravil in dogovorov (standardov),
ki določajo električne parametre, vmesnike, obliko podatkov, signalizacijo med
povezanimi entitetami, modulacijo, kodiranje, naslavljanje, pretvorbo in predstavitev
podatkov, avtentikacijo entitet in uporabnikov, zgoščevanje in šifriranje podatkov,
način zaznavanja in odpravljanja napak in druge parametre, ki se nanašajo na
proces prenosa podatkov skozi komunikacijski kanal.
Za boljše razumevanje delovanja e-sporočilnega sistema in procesa prenosa esporočil skozi komunikacijski kanal je predpogoj dobro razumevanje osnov in
delovanja komunikacijskih protokolov. Najpomembnejši standard, ki omogoča
današnje povezovanje različnih terminalnih naprav (računalnikov) in različnih (žičnih
in brezžičnih) omrežij je TCP/IP protokolni sklad. Kratica TCP/IP je sestavljena iz
angleških besed Transmission Control Protocol/Internet Protocol in predstavlja
množico protokolov, ki sestavljajo protokolni sklad. TCP/IP protokolni sklad ni
odvisen od fizičnega medija, ki prenaša podatke, saj je lahko to žični, optični ali
radijski, zato pa natančno določa protokol na posameznem sloju in povezovanje
med njimi. V nadaljevanju bom predstavil TCP/IP protokolni sklad in funkcijo
posameznega sloja.
2.1.1
TCP/IP protokolni sklad
Prvi zametki TCP/IP protokolnega sklada segajo že v leto 1975, ko je bila
vzpostavljena prva komunikacija med univerzo v Stanfordu in univerzo v Londonu
(University College London). Leta 1982 je ameriško obrambno ministrstvo uradno
izdalo skupek protokolov kot obvezujoči standard za vse v vojski povezane
računalnike, leta 1983 pa je postal tudi prevladujoči komunikacijski standard v
omrežju ARPANET. Ker današnji internet temelji na TCP/IP protokolnem skladu ga
imenujejo tudi internetni sklad protokolov.
Arhitektura TCP/IP protokolnega sklada je razdeljena na štiri sloje:
1.
2.
3.
4.
Aplikacijski sloj
Transportni ali prenosni sloj
Internetni sloj
Sloj dostopa do omrežja
V nadaljevanju so posamezni sloji podrobneje opisani.
stran 3
Sloj dostopa do omrežja
Sloj dostopa do omrežja (angl. Network Access Layer) predstavlja tako fizičen kot
logičen nivo. Fizičen nivo predstavlja prenosni medij, ki skrbi, da so enote med seboj
fizično povezane in sposobne prenašati podatke, obenem pa deluje tudi kot vmesnik
med omrežjem (Ethernet, ATM, xDSL, FDDI...) in internetnim slojem. Pomembno
dejstvo je tudi to, da Sloj dostopa do omrežja ne določa protokolov, ki delujejo na
tem sloju, saj je TCP/IP protokolni sklad neodvisen od fizičnega medija.
Internetni sloj
Internetni sloj (angl. Internet Layer) ima nalogo nepovezavnega usmerjanja po
najboljših zmožnostih (angl. Best effort) paketov med računalniki in omrežji. Glavni
protokol, ki se uporablja na tem sloju je, internetni protokol ali krajše IP (angl.
Internet Protocol). Ker protokol sam ne zagotavlja zanesljivosti prenosa paketov do
cilja, to delo prepušča višjemu, transportnemu sloju ali višje ležeči aplikaciji. Je pa
zato del internetnega sloja tudi protokol ICMP (angl. Internet Control Message
Protocol), ki dela v funkciji sporočanja in javljanja napak, ki nastanejo pri prenosu
paketa skozi omrežje. Če torej pride pri prenosu paketa do končne naprave do
napake in je paket zavržen, ICMP to sporoči izvorni napravi, vendar napaka sama ni
odpravljena. Internetni protokol skrbi tudi za naslavljanje in sicer tako, da vsaki
terminalni napravi dodeli IP naslov oz. IP številko. S pomočjo ARP (angl. Address
Resolution Protocol) protokola skrbi za prevajanje fizičnega (strojnega) naslova
mrežne kartice (MAC) v IP naslov in obratno, kar izvaja RARP (angl. Reverse
Address Resolution Protocol) protokol.
Poznamo dve vrsti IP naslovov, in sicer naslove, ki so rezervirani in se uporabljajo
samo v zasebnem omrežju, ter javne IP naslove, ki so unikatni in se ne smejo
podvajati. IP naslovi so razdeljeni v grupe (klase) naslovov, vsaka klasa pa je
omejena s številom možnih omrežij in številom možnih končnih naprav. Vsakem
končnemu IP naslovu lahko določimo del, ki predstavlja naslov omrežja in del, ki je
dodeljen končni napravi. Poznamo naslednje klase naslovov:
• A klasa: 0.0.0.0-127.255.255.255
A klasa ima največje število omrežij in najmanjše število končnih naprav.
• B klasa: 128.0.0.0 -191.255.255.255
• C klasa: 192.0.0.0 -223.255.255.255
C klasa ima najmanjše število omrežij in največje število končnih naprav.
• D klasa: 224.0.0.0 -239.255.255.255
Nabor IP številk v D klasi se uporablja, kadar en vir pošilja podatke več
napravam hkrati (ang. Multicast). Primer uporabe multicast naslovov je
storitev IPTV (sprejem televizijskega programa preko IP protokola).
• E klasa: 240.0.0.0 – 255.255.255.255
Zasebni naslovi predstavljajo nabor naslednjih IP številk:
• 10.0.0.0 – 10.255.255.255
• 172.16.0.0 – 172.31.255.255
• 192.168.0.0 – 192.168.255.255
Mednarodna organizacija IETF (angl. Internet Engineering Task Force), ki izdeluje in
promovira internetne standarde je rezervirala še tri vrste IP naslovov, ki se
uporabljajo v posebne namene. IP naslov 127.0.0.x (x predstavlja virtualno številko
naprave, ki je lahko od 0 do 4) je rezerviran naslov, ki se uporablja pri nadzoru in
stran 4
upravljanju naprav in predstavlja lokalno virtualno IP številko mrežne kartice (ang.
Loopback).
Znotraj posameznega omrežja, ki ga sestavlja nabor IP številk, sta še dva
rezervirana IP naslova, ki ne smeta biti dodeljena nobeni končni napravi. To je IP
naslov, ki predstavlja omrežje (ang. Network address) ter IP naslov, ki se uporablja
pri komunikaciji z vsemi napravami v tem omrežju (ang. Broadcast address).
Računalniki, ki so v notranjem, zasebnem omrežju, uporabljajo torej zasebne IP
naslove, vendar pri komunikaciji z zunanjim svetom prevzamejo IP naslov, ki je bil
dodeljen omrežju s strani internetnega ponudnika.
Transportni sloj
Transportni sloj skrbi za komunikacijsko sejo med dvema končnima točkama, ki med
seboj komunicirata. Na tem sloju se uporabljata največ dva protokola in sicer:
zanesljiv TCP protokol (angl. Transport Control Protocol), ki je povezavno orientiran,
in nezanesljiv UDP (angl. User Datagram Protocol) protokol, ki je nepovezavno
orientiran. Kateri od obeh bo izbran, je odvisno od uporabljene aplikacije.
Aplikacijski sloj
Aplikacijski sloj vsebuje vrsto protokolov, ki nudijo podporo različnim aplikacijam.
Najbolj poznani protokoli aplikacijskega sloja so: SMTP (angl. Simple Mail Transfer
Protocol), ki omogoča pošiljanje e-pošte, IMAP (angl. Internet Message Access
Protocol) in POP3 protokol (angl. Post Office Protocol), ki omogočata prejem epošte, FTP protokol (angl. File Transfer Protocol), ki omogoča prenos podatkov,
HTTP protokol (HyperText Transport Protocol), ki omogoča brskanje po spletu,
DNS (angl. Domain Name Service), ki omogoča pretvarjanje domenskih imen v IP
številko in obratno, in drugi.
Na sliki 1 so prikazana različna omrežja in protokoli, ki se uporabljajo na
posameznem sloju TCP/IP protokolnega slada.
Slika 1: Protokolni sklad TCP/IP
(povzeto po Anžič, 2002)
stran 5
Velika večina internetnih storitev za prenos podatkov uporablja enega od obeh
omenjenih transportnih protokolov (TCP ali UDP). Transportni sloj s pomočjo enega
od obeh transportnih protokolov multipleksira podatke iz aplikacijskega sloja v tok
podatkovnih paketov, pri tem pa za razlikovanje posamezne storitve med seboj
uporablja tako imenovana vrata (angl. Port). Vsaka storitev ima dodeljeno svojo
številko vrat, kar pomaga pri sledenju in razlikovanju med različnimi
komunikacijskimi tokovi, ki prehajajo skozi omrežje v istem času. Dogovorjeno je, da
so številke vrat pod vrednostjo 1023 rezervirane in se uporabljajo za označevanje
standardnih storitev oz. aplikacij. Tako npr. strežnik, ki gosti spletne strani, vedno
posluša in se odziva na zahteve odjemalcev na vratih 80. Če želimo pošiljati esporočilo, uporabljamo vrata 25, za sprejemanje e-sporočil pa odpiramo vrata 110.
Pri uporabi sistema domenskih imen oz. krajše DNS, o katerem bo govora v
nadaljevanju, vedno uporabljamo vrata 53. Odjemalci, ki so običajno v vlogi
iniciatorja komunikacije, uporabljajo dinamično dodeljene številke vrat nad
vrednostjo 1023. Razlog temu je ta, da odjemalci komunikacijo ponavadi vzpostavijo
prvi, zato morajo poznati IP naslov strežnika in storitev, ki jo potrebujejo. Na sliki 2 je
shematsko prikazano, katera vrata uporablja posamezna storitev aplikacijskega
sloja protokolnega sklada TCP/IP.
Slika 2: Številke vrat, ki jih posamezna internetna storitev uporablja
Eden najpomembnejših storitev na aplikacijskem sloju protokolnega sklada TCP/IP
je DNS (angl. Domain Name System) oz. sistem domenskih imen. Poznavanje te
storitve je pomembno za razumevanje delovanja e-poštnega sistema, zato je
storitev v nadaljevanju podrobneje opisana.
2.1.2
Sistem domenskih imen – DNS
Že v času predhodnika interneta, ARPANET-a, so se računalniki, povezani v mreži,
razlikovali z imeni in omrežnimi naslovi. Vsa imena in naslovi računalnikov so bili
zapisani v datoteki z imenom hosts.txt, ta datoteka pa je bila shranjena v vsakem
računalniku, ki je bil v omrežju. Datoteka je bila obvladljiva, vse dokler je bilo
omrežje majhno. S porastom števila povezanih računalnikov pa je kmalu postalo
jasno, da datoteka ni več obvladljiva, poleg tega pa je lahko vsebovala veliko
napačnih, že zastarelih zapisov. Kot rešitev tega problema je bila leta 1983
predstavljena specifikacija sistema domenskih imen oz. krajše DNS (angl. Domain
Name System).
stran 6
Glavna funkcija DNS sistema je prevajanje domenskih imen v IP naslov. Kot smo že
omenili pri razlagi internetnega sloja, mora imeti vsaka naprava, ki se povezuje v
žično ali brezžično omrežje, svoj unikatni IP naslov in svoj unikatni MAC naslov. Na
internetnem sloju je to logičen 32-bitni IP naslov (IPv4) oz. 128 bitni (IPv6), ki je
določen s strani omrežja, v sloju dostopa do omrežja pa je to strojni MAC (angl.
Media Acces Control) naslov, ki je določen z omrežno kartico.
Vrhnji del sistema domenskih imen oz. krajše TLD (angl. Top Level Domain) je
razdeljen na tri dele. Na splošni, generični del (.com, .edu, .gov…), na del, ki pokriva
posamezne države (.si, .uk, .us…), in na posebno vrhnjo domeno (.arpa), ki se
uporablja izključno za internetno infrastrukturo. Vsaka od teh zgornjih domen se v
več korakih kot drevo ponovno cepi na več poddomen, pri čemer lahko vsaka
končna domena pokriva ogromno število računalnikov. DNS deluje kot porazdeljena
baza, saj na nobenem mestu ni zbranih vseh informacij. Na vsaki končni DNS
lokaciji teče poseben domenski strežniški program, ki na eni strani komunicira z
zunanjimi DNS strežniki, na drugi pa z računalniki notranjega omrežja.
Popolno internetno domensko ime (angl. Fully Qualified Domain Name) računalnika,
povezanega v omrežje je sestavljeno iz imena računalnika ter niza domenskih imen,
ločenih s pikami, kot so ugnezdene v hierarhijo domen. Možnih je do 127 nivojev,
vendar so več kot štirje redki. Primer popolnega internetnega domenskega imena je
npr. tp21.fov.uni-mb.si, kjer je tp21 naziv končnega računalnika, .fov predstavlja
domeno, ki je bila dodeljena Fakulteti za organizacijske vede, uni-mb predstavlja
domeno računalniškega centra fakultete, kratica .si pa je okrajšava za Slovenijo.
Krovni nadzor in upravljanje vrhnjega DNS sistema izvaja neprofitna organizacija
ICANN (angl. Internet Corporation for Assigned Names and Numbers). ICANN ima
avtoriteto nad splošnimi domenami (com, gov), nima pa avtoritete nad državnimi
domenami, za katere skrbijo vlade posameznih držav. V Sloveniji je za slovensko
domeno .si odgovorna Akademska in raziskovalna mreža Slovenije (ARNES), za
registracijo posamezne drugostopenjske domene pa so odgovorna registrirana
akreditirana podjetja. Slika 3 prikazuje strukturo hierarhičnega sistema domenskih
imen.
stran 7
Slika 3: Struktura hierarhičnega sistema DNS
(po: Tanenbaum, 2003, str. 581)
DNS strežniki so po strukturi baza podatkov, ki poleg podatkov o logičnih imenih in
pripadajočih IP naslovih vsebujejo tudi druge zelo pomembne podatke, kot so npr.
podatki o odjemalčevi strojni in programski opremi, zapise o pooblastitvi DNS
drevesne cone drugemu strežniku, zapise strežnikov, ki sprejemajo e-sporočila za
določeno domeno itd. Pomen in tip zapisa v DNS bazi podatkov je prikazan v tabeli
1.
Tabela 1: Tip in pomen zapisa v DNS bazi
(Vir: Tanenbaum, 2003, str.583)
Tip
zapisa
A
PTR
CNAME
HINFO
NS
SOA
MX
Pomen
A (angl. Address) zapis kot eden najpomembnejših, nosi informacijo o
32-bitnem IP naslovu posameznega odjemalca.
PTR (angl. Pointer Record) zapis prevaja IP naslov v domensko ime.
Kadar se poslužujemo ukaza npr. nlslookup ''IP naslov'', nam PTR zapis
vrne podatke ime gostitelja. Zaradi svoje funkcije jo tudi imenujejo
obratna poizvedba (angl. Reverse lookups).
CNAME zapis omogoča ustvarjanje dodatnega (alias) imena v domeni,
ki kaže na primarno logično domeno. Prevaja odjemalčevo domače ime
(alias) v predpisano logično ime.
HINFO (angl. Host info) vsebuje informacije o strojni in programski
opremi odjemalca.
NS (angl. Name Server) zapis določuje ime imenskega strežnika
SOA (angl. Start of Authority) zapis vsebuje ime primarnega izvora
informacij, ki nosi podatke o coni, vsebuje e-naslov administratorja ter
unikatno serijsko številko cone.
MX (angl. Mail exchange) se uporablja za izmenjavo e-pošte. MX zapis
preslika domensko ime v spisek poštnih strežnikov, ki so odgovorni za
specifično domeno.
stran 8
2.2
ZGODOVINSKI RAZVOJ E-POŠTE
Zgodovina e-sporočanja sega v leto 1961, ko je Tehnološki inštitut iz Cambridge
Massachusetts (angl. Massachusetts Institute of Technology) predstavil svoj
operacijski sistem CTSS (angl. Compatible Time-Sharing System), ki je omogočal
časovno souporabo računalniških virov oziroma večopravilno izvajanje procesov.
CTSS operacijski sistem je omogočal uporabnikom, da so se s pomočjo klicne
povezave s svojimi terminali povezali na centralni računalnik (IBM 7094) ter na njem
shranjevali svoje datoteke. Ta zmožnost povezovanja na skupni enotni sistem pa je
vzpodbudila uporabnike in jim omogočila, da so svoje podatke začeli deliti med
seboj. Sistem souporabe in izmenjave podatkov se je koristno izkazal tudi pri
izmenjavi e-sporočil. Sprva so e-sporočila puščali v mapah, katere so poimenovali z
imenom osebe, kateri je bilo e-sporočilo namenjeno. Prejemnik e-sporočila se je
lahko nato na CTSS prijavil iz drugega terminala ter preveril vsebino svoje mape in
iztisnil njegovo vsebino. Kasneje so operacijski sistem CTSS začeli nadgrajevati,
eden od novih ukazov je bil tudi ukaz mail z dodatnimi argumenti, ki je omogočal
pošiljanje besedilnih sporočil tudi drugim uporabnikom (glej Van Vleck, 2001).
Leta 1971 sta bila narejena prva osnovna programa, ki sta omogočala uporabnikom
omrežja ARPANET, pošiljanje in prejemanje e-sporočil. To sta bila SNDMSG in
READMAIL. Delovala sta s pomočjo tedanjega izpopolnjenega omrežnega protokola
CPYNET. Protokol CPYNET se je prvenstveno uporabljal za eksperimentalno
izmenjavo datotek, Ray Tomlinson, raziskovalec na ameriškem ministrstvu za
obrambo, pa je protokol izpopolnil tako, da je, poleg osnovnega pošiljanja in
sprejemanja datotek, dodal funkcijo, ki je omogočala, da je bilo možno določeno
datoteko odpreti ter dodati novo vsebino. Datoteka je bila torej poštni predal z
določenim imenom, ki je omogočala drugim uporabnikom, da so vanjo dodajali svoja
e-sporočila. SNDMSG je omogočal uporabnikom e-sporočilo ustvariti, ga nasloviti
ter poslati prejemniku v njegov poštni predal (angl. Mailbox), READMAIL pa je
omogočal prejemnikom njihovo prebiranje. Oba programa sta podpirala le navadno
besedilo v 7-bitnem ASCII standardu, ki omogoča uporabo nabora le 128 znakov,
pri čemer so bili določeni znaki že rezervirani in se jih ni smelo uporabljati. Za
razlikovanje med lokalnimi in omrežnimi e-sporočili, se je avtor programa odločil, da
se uporabniškemu prijavnemu imenu oz. pošiljatelju doda znak '@', ki mu je sledilo
ime računalnika (glej Tomlinson, The first network email). Znak @ se tako še danes
uporablja v naslovih e-pošte kot ločnica med imenom in domeno.
Slika 4 prikazuje računalnika BBN-TENEXA in BBN-TENEXB iz leta 1971, ki sta si
preko omrežja ARPANET poslala prvo e-sporočilo ter terminal Teletype KSR-33, ki
je e-sporočilo natisnil.
stran 9
Slika 4: Računalnika BBN-TENEXA in BBN-TENEXB s terminalom Teletype KSR-33
(Vir: Murphy, The first email computer)
Prenos e-sporočil se je med uporabniki razmahnil do te mere, da je ob koncu
sedemdesetih prejšnjega stoletja predstavljal že 75% vsega prometa v omrežju
ARPANET. Naslednja razvojna stopnja programske opreme je omogočala pripravo
e-sporočil brez prijave na centralni sistem (angl. offline). Ko so bila e-sporočila
pripravljena za pošiljanje, se je uporabnik prijavil v sistem in jih odposlal.
V začetku sedemdesetih prejšnjega stoletja pa se je za izmenjavo datotek poleg
protokola CPYNET pojavil tudi protokol z imenom FTP (angl. File Transfer Protocol).
Protokol se uporablja še danes, v dobrih treh desetletjih pa je doživel mnogo
sprememb in izboljšav. Takratni FTP, ki je bil opisan z dokumentom RFC 385, je
dobil leta 1972 dodatna ukaza MAIL in MLFL in s tem postal konkurenčen protokol
za pošiljanje e-pošte. Ukaza sta standardizirala zmožnost prenosa e-sporočil. FTP
protokol je omogočil pošiljanje kopije posameznega e-sporočila vsakemu
naslovniku, imel pa je tudi nekaj pomanjkljivosti, in sicer:
• pošiljatelj ni prejel povratnega sporočila o dostavi,
• uporabniški vmesnik je bil slabo povezan s sistemom za pošiljanje,
• prejemnik ni mogel pooblastiti druge osebe za branje njegove e-pošte,
• sestavljanje in pošiljanje e-sporočila, ki bi poleg besedila vseboval tudi slike
ali zvočni zapis, ni bilo možno.
Kljub vsemu je FTP protokol postal standard za pošiljanje e-pošte po omrežju
ARPANET vse do zgodnjih osemdesetih prejšnjega stoletja, ko je prišlo do nastanka
in uporabe protokola SMTP (angl. Simple Mail Transfer Protocol). Protokol SMTP je
nastal leta 1982 pod avtorstvom Jonathana Postela, izdala pa ga je delovna skupina
za internetno tehniko IETF (angl. Internet Engineering Task Force). Po prvi
specifikaciji RFC 821, ki določa prenosni protokol in RFC 822, ki določa obliko esporočila, je bila poleg drugih izboljšav bistvena prednost SMTP protokola pred
FTP-jem njegova zmožnost pošiljanja enega e-sporočila v eno domeno več
stran 10
prejemnikom hkrati. Manjše revizije, ki so izboljšale protokol SMTP (RFC 2821 in
RFC 2822), so povzročile, da je SMTP postal internetni standard za pošiljanje epošte.
Leta 1984 je organizacija CCIT (fr. Comite Consultatif International de
Telegraphique et Telephonique), ki jo danes poznamo pod imenom ITU-T
(Mednarodna telekomunikacijska zveza – sektor za telekomunikacije) izdala nabor
standardov, ki je določal podatkovne komunikacije med omrežji za sporočilne
sisteme (angl. Data Communication Networks for Message Handling Systems).
Sistem se je imenoval X.400 in je postal konkurenčen SMTP protokolu, saj vsebuje
strukturirano naslavljanje, večjo učinkovitost prenosa multimedijskih sporočil in ima
že vgrajene varnostne mehanizme, katerih SMTP nima. Standard X.400, za razliko
od priporočil RFC za SMTP, ni brezplačen. Poleg tega je izredno kompleksen, saj je
bila dokumentacija objavljena v dveh obsežnih knjigah. Kot navaja Microsoft (glej
Microsoft, X.400, 2007) je SMTP po dveh desetletjih tekmovanja zaradi enostavnosti
in nizke cene implementacije prevladoval, X.400 pa se kot e-sporočilni sistem še
danes zaradi svojih prednosti uporablja v letalstvu in za vojaške namene.
2.3
DELOVANJE SODOBNE E-POŠTE
Delovanje sodobne e-pošte bi strnjeno opisal takole:
Pri pošiljanju vsakega e-sporočila sodelujeta dva glavna gradnika: uporabniški agent
oz. krajše MUA (angl. Mail User Agent), ki omogoča sestavljanje, pošiljanje,
pregledovanje in urejanje e-sporočil ter e-poštni transportni agent oz. krajše MTA
(angl. Mail Transfer Agent), ki ima nalogo prenosa e-sporočil. Ker e-sporočila lahko
prehajajo znotraj posameznega lokalnega omrežja ali pa prehajajo med različnimi
domenami dokler ne prispejo do poštnega strežnika prejemnika, e-poštni transportni
agent deluje v različnih funkcijah.
Poleg uporabniškega in transportnega agenta se dodatno v verigi pošiljanja še
pojavlja agent za prejemanje in posredovanje e-pošte (MSA), lokalni agent za
dostavo pošte (MDA) ter programska oprema za filtriranje e-pošte.
Za pošiljanje in prejemanje e-sporočil ter njihovo pregledovanje in urejanje se danes
uporablja več različnih protokolov aplikacijskega sloja TCP/IP protokolnega slada.
Glavni protokoli, ki pri teh opravilih sodelujejo so naslednji:
•
•
•
•
SMTP (angl. Simple Mail Transfer Protocol)
IMAP4 (angl. Internet Message Access Protocol version 4)
POP3 protokol (angl. Post Office Protocol version 3)
DNS (angl. Domain Name System)
SMTP protokol se uporablja pri pošiljanju e-sporočil, IMAP4 in POP3 protokola se
uporabljata za prejem e-sporočil, DNS pa služi kot storitev, ki ima nalogo, da na
podlagi e-naslova prejemnika poišče poštni strežnik prejemnika. Slika 5 prikazuje
proces pošiljanja in prejemanja e-sporočil ob podpori sistema domenskih imen DNS.
stran 11
Slika 5: Proces pošiljanja e-sporočila skozi omrežje
V nadaljevanju bom podrobno predstavil glavne gradnike e-poštnega sistema.
Opisal bom strukturo e-sporočila in predstavil protokole, ki se pri pošiljanju oz.
prejemanju e-sporočila uporabljajo.
2.3.1
Gradniki e-poštnega sistema
Odjemalec za e-pošto (MUA agent)
MUA agent je e-poštni odjemalec, programska oprema, ki omogoča uporabnikom
sestavljanje, pošiljanje, prejemanje, pregledovanje in urejanje e-sporočil. MUA agent
ima nalogo, da vsa e-sporočila pred pošiljanjem in ob sprejemanju ustrezno
preoblikuje v standardizirane formate. Da izvaja vse naštete funkcije, mora podpirati
večino standardiziranih protokolov za pošiljanje in prejemanje e-pošte. Če so nekdaj
pošiljali in sprejemali sporočila v ukazni vrstici, danes večina odjemalcev v grafični
obliki že vsebuje pred pripravljena polja, menije in sezname, ki uporabnikom olajšajo
sestavljanje sporočila. Primeri odjemalcev za e-pošto so: Microsoft Outlook, Outlook
Express, Lotus Notes, Thunderbird in Eudora.
Transportni agent (MTA agent)
Agent za prenos e-pošte ali transportni agent (angl. Mail Transport Agent) je
programska oprema, ki v ozadju, brez interakcije uporabnika, izvaja različne naloge.
MTA agent mora sprejemati e-sporočila od drugih MTA agentov (iz drugih domen)
ali pa sprejemati e-sporočila, ki prihajajo neposredno od MUA agentov (e-poštnih
odjemalcev), ki so v njegovem omrežju. Zaradi težav z neželeno e-pošto, lahko
izvaja prejem lokalne e-pošte tudi že samostojni MSA agent, ki ga bom opisal
kasneje. Če je prejeto e-sporočilo namenjeno v lokalno domeno MTA agenta,
posebni dostavni servis poskrbi, da se e-sporočilo usmeri v poštni predal
stran 12
prejemnika. Funkcija dostave je lahko del storitev MTA agenta, lahko pa za to skrbi
samostojni dostavni agent MDA (angl. Mail Delivery Agent). V kolikor pa je esporočilo namenjeno v drugo domeno, MTA agent poskrbi, da se e-sporočilo
posreduje naprej. MTA agenti za medsebojno sporazumevanje in pošiljanje esporočil uporabljajo SMTP oz. ESMTP protokol.
Agent za prejemanje in posredovanje e-sporočil (MSA agent)
MSA (angl. Mail Submission agent) agent je programska oprema, ki sprejema esporočila MUA agentov ter jih posreduje naprej MTA agentu. Veliko MTA agentov
deluje tudi v funkciji MSA agentov, toda obstaja programska oprema, ki izvaja
izključno nalogo sprejemanja e-sporočil ter njihovo posredovanje naprej MTA
agentu. Ker MSA agent neposredno sprejema e-sporočila MUA agentov, lahko
popravlja napake, ki so nastale v e-sporočilu. Tako lahko npr. doda v e-sporočilu
manjkajoči datum ali e-naslov z manjkajočim imenom domene pošiljatelja. V primeru
večje napake e-sporočilo zavrne ter javi napako pošiljatelju. Za razliko od MSA
agenta, MTA agent napak ne popravlja in prenese e-sporočila v obliki kot so bila
poslana. MSA agent ima npr. tudi možnost, da sprejema samo tista e-sporočila, ki
so namenjena v domeno, ki so pod okriljem lokalnega MTA agenta, vse ostale pa
zavrača.
MSA agent za razliko od MTA agenta zahteva od pošiljatelja (MUA agenta) tudi
avtentikacijo, v obliki uporabniškega imena in gesla, kar pomeni, da je vsako esporočilo izsledljivo. Ker so vsi pošiljatelji predhodno preverjeni oz. vsaj izsledljivi,
MSA agent ne potrebuje filtriranja e-pošte ali pa se to filtriranje izvaja v omejenem
obsegu.
2.3.2
Vloga sistema DNS pri e-pošti
Sistem domenskih imen deluje na naslednji način: odjemalec za e-pošto (MUA
agent), ki potrebuje podatke o nekem računalniku, pošlje poizvedbo najprej svojemu
lokalnemu DNS strežniku. Ta preveri, ali mu je odgovor na poizvedbo že znan in ga
ima zapisano v svojem medpomnilniku. V tem primeru takoj odgovori, v nasprotnem
pa poišče odgovor pri drugem DNS strežniku, za katerega ve, da pozna odgovor. Ta
komunikacija je odjemalcu skrita, saj zanj ni pomembno, ali je moral njegov lokalni
DNS strežnik opraviti poizvedbo določenega logičnega naslova pri številnih drugih
DNS strežnikih. Odjemalec odgovor vedno dobi od lokalnega in ne od zunanjega
strežnika. Sistem DNS ob zahtevi vira z nekega domenskega imena samodejno
izvede preslikavo v ustrezen IP naslov.
Delovanje sistema DNS za potrebe e-pošte lahko ponazorimo na naslednjem
primeru: Če želimo poslati e-sporočilo na e-naslov uporabnik@k2.net.si si moramo
najprej pridobiti informacijo, kje se nahaja in kakšen je IP naslov poštnega strežnika,
ki dostavlja e-sporočila za domeno k2.net.si. Postopek poizvedbe je naslednji:
Odjemalec s pomočjo lokalnega DNS strežnika ugotovi IP naslov svojega poštnega
strežnika ter mu posreduje e-sporočilo za prejemnika z e-naslovom
uporabnik@k2.net.si. Strežnik prebere v glavi sporočila domeno prejemnika
(k2.net.si) in naslovi svojo poizvedbo po tej domeni svojemu lokalnemu DNS
strežniku. Lokalni DNS strežnik že ima podatek o .si domeni, nima pa podatka o
domeni .k2net, zato naslovi svojo poizvedbo na .si DNS strežnik. V nadaljnjem
koraku DNS strežnik, ki vsebuje podatke o .si domenah, sporoči lokalnemu
strežniku nazaj, kateri DNS strežnik ima IP številko zapisa .k2net.si. V zadnjem
stran 13
koraku gre zahteva lokalnega DNS strežnika po IP številki domene .k2.net.si
neposredno na strežnik, ki vsebuje ta zapis. Podatek se potem posreduje nazaj
lokalnemu strežniku, le ta pa jo potem naprej sporoči izvornemu poštnemu
strežniku. Ko lokalni poštni strežnik končno prejme IP naslov ciljnega poštnega
strežnika, s pomočjo SMTP protokola z njim vzpostavi neposredno komunikacijsko
povezavo. DNS poizvedba odjemalca za IP naslov poštnega strežnika mx.k2net.si
je prikazana na sliki 6.
Slika 6: Postopek poizvedbe IP naslova strežnika
(povzeto po: Straus, 2002, str.18)
Programsko orodje, ki omogoča prevajanje domen v IP naslove in obratno, je
nslookup. Orodje je v veliko pomoč preiskovalcem pri iskanju izvornega pošiljatelja
e-sporočila in je že privzeti del operacijskega sistema Windows ali Linux (Unix). Na
svetovnem spletu je možno najti tudi veliko spletnih strani, kjer lahko s pomočjo
spletnega vmesnika, enako kot z orodjem nslookup, izvajamo poizvedbe za
posamezni IP naslov ali domeno.
2.3.3
Struktura e-sporočila
Osnovno strukturo e-sporočila pripravi e-poštni odjemalec, ko uporabnik izvede
ukaz pošiljanja e-sporočila. Ta je sestavljena iz osnovne glave e-sporočila, ki
vsebuje polja kot so 'From:'; 'To:'; 'Cc'; 'Date' in 'Subject', drugi del e-sporočila pa
predstavlja telo, vsebino e-sporočila. Ko e-sporočilo prispe do strežnika pošiljatelja
(MSA ali MTA agenta), programska oprema doda še ovojnico e-sporočila, ki vsebuje
polja 'From'; 'Reply-To', 'Received:' in 'Message-ID' ter časovne oznake. S prehodi
e-sporočila skozi omrežje vsak legalen MTA agent, ki e-sporočilo sprejme, v
ovojnico doda svoja identifikacijska polja (Received:), preostale podatke pa pusti
stran 14
nespremenjene. Končni strežnik prejemnika doda poleg svojega 'Received:' polja še
polje 'Return-Path:', katera vsebina (e-naslov pošiljatelja) je bila ustvarjena s SMTP
ukazom MAIL FROM. Ko prejemnik e-sporočilo odpre, vidi le podatke osnovne
strukture e-sporočila (osnovna glava in telo), ovojnica pa je vidna le preko
posebnega pogleda. Splošna struktura e-sporočila je prikazana na sliki 7. Iz slike je
razvidna osnovna glava e-sporočila s telesom ter dodana ovojnica.
Slika 7: Struktura e-sporočila
Obliko osnovnega e-sporočila, glavo, telo (brez ovojnice) in način kodiranja določata
Internetna standarda RFC 2822 in MIME (angl. Multipurpose Internet Mail
Extensions) oz. S/MIME (angl. Secure MIME), format ovojnice e-sporočila pa je
predpisan z internetnim standardom RFC 2821, ki opredeljuje tudi protokol, s
katerim e-sporočilo pošiljamo (SMTP).
Celotno glavo (ovojnica in osnovna glava) e-sporočila lahko na podlagi vrste
informacije, ki jo vsebuje posamezno polje, razdelimo na več logičnih enot:
Polja izvornega pošiljatelja
From: podatek iz glave e-sporočila. Polje vsebuje e-naslov, kot je napisan v
odjemalcu za e-pošto (podatek ni verodostojen in ga lahko ponaredimo).
From (brez dvopičja): podatek iz ovojnice e-sporočila. Polje običajno kreira strežnik,
ki je pošto sprejel. Vsebina polja se ustvari z ukazom MAIL FROM, ki ga generira
strežnik ob vzpostavitvi komunikacije z drugim strežnikom.
Sender: polje, ki opredeljuje e-naslov agenta, ki je bil odgovoren za pošiljanje
sporočila. Polje se uporablja le redko in še to v Usenet skupinah.
Reply-To: polje vsebuje e-naslov, kamor lahko prejemnik odgovori (podatek ni
verodostojen in ga lahko ponaredimo).
Ciljna naslovna polja
To: podatek iz ovojnice e-sporočila, ki vsebuje e-naslov primarnega prejemnika esporočila. Ukaz se ustvari z ukazom RCPT TO. Pogosto je ta del podatka izpuščen
ali pa je vključen v polje Received:.
Cc: E-naslov prejemnika, kateremu pošiljatelj pošilja e-sporočilo v vednost (Cc je
angleška okrajšava za Carbon Copy).
Bcc: E-naslov prejemnika, kateremu pošiljatelj pošilja e-sporočilo kot prikrito kopijo v
vednost (Bcc je angleška okrajšava za Blind Carbon Copy). Primarni prejemnik esporočila skritega prejemnika v poštnem odjemalcu ne vidi, podatek skritega
prejemnika pa je lahko viden v izvornem e-sporočilu (odvisno od nastavitev
poštnega strežnika).
stran 15
Identifikacijska polja
Message-ID: polje Message-ID je unikatna številka sporočila in je sestavljena iz treh
delov: unikatne številke, znaka @ ter ime_računalnika ali domene, iz katere se je
sporočilo poslalo (npr. Message-ID: 003001c6b1b6$96c25440$6401a8c0@mojPC).
Kot bomo videli kasneje, je polje Message-ID najpomembnejše polje, iz katerega
lahko z veliko gotovostjo ugotovimo izvornega pošiljatelja.
In-Reply-To: Polje se navezuje na izvorno sporočilo in polje Message-ID, uporablja
se, kadar odgovarjamo na e-sporočilo.
References: sklicevanje na predhodna e-sporočila. Polje se izpolni, ko odgovarjamo
na e-sporočilo.
Informacijska polja
Subject: polje, ki vsebuje kratek povzetek sporočila, ki je lahko zavajajoč.
Comments: polje, ki vsebuje dodatne podatke, ki so lahko zavajajoči.
Keywords: polje, ki vsebuje spisek ključnih besed, ki so lahko uporabna za
prejemnika.
Date: datum in čas, ko je bilo e-sporočilo poslano (točnost podatka je odvisna od
nastavitve računalnika pošiljatelja).
Polja po katerih lahko sledimo potovanju sporočila
Received: je polje, ki se nahaja v ovojnici sporočila. Polje Received: doda vsak
poštni strežnik skozi katerega e-sporočilo potuje. Z namenom zavajanja dodajajo
pošiljatelji v glavo e-sporočila dodatna Received polja z napačnimi podatki;
praviloma so zanesljivi le podatki vsebovani v oglatih oklepajih.
Return–Path: e-naslov pošiljatelja, ki ga samodejno doda končni poštni strežnik iz
podatka, ki je vsebovan v ovojnici e-sporočila.
Path: je polje, ki ga doda novičarski strežnik. Je najbolj verodostojni podatek do
mesta, kjer je bil lažen naslov vnesen. Vsebuje seznam vseh novičarskih strežnikov,
mimo katerih je članek potoval.
Delivered-To: je polje v ovojnici sporočila, ki nam pove, kam je sporočilo prispelo.
Standard RFC 822 omogoča razvijalcem tudi dodajanje lastnih polj, ki se začnejo z
nizom X-. V glavi sporočila tako pogosto zasledimo še polja, ki jih dodajo odjemalec
za e-pošto, poštni strežniki ali programska oprema za preverjanje neželenih esporočil oz. morebitne prisotnosti virusov in drugih škodljivih kod. V nadaljevanju je
podanih nekaj takih primerov:
X-Mailer: označuje naziv in verzijo poštnega odjemalca, programa, s katerega je bilo
e-sporočilo napisano in poslano (npr. Microsoft Outlook Express 6.00.2900.2869).
X-UIDL: unikatna identifikacijska številka, ki se zapiše v glavo e-sporočila ob
prejemu pošte iz zadnjega poštnega strežnika na lokalni računalnik.
X-Virus-Scanned: v kolikor je bilo sporočilo pregledano s protivirusnim programom,
je to zabeleženo v tem polju.
X-Priority: določa pomembnost sporočila (nekateri poštni strežnik polje ignorirajo).
X-Spam-Score: v kolikor se e-sporočila preverjajo z ''anti-spam'' filtrom, se v polje
vpiše številska vrednost, ki nam pove verjetnost, da je e-sporočilo neželeno.
Kot smo že omenili, so v prvih letih omrežja ARPANET pošiljali le besedilna esporočila, kjer so bili znaki omejeni z uporabo angleške slovnice (US-ASCII).
Razširitev nabora znakov, ki jih lahko uporabimo v sporočilu ter dodajanje vsebine v
obliki multimedije (aplikacije, slike, avdio, video), je prinesel nabor RFC standardov,
stran 16
ki so ga poimenovali s skupnim imenom MIME (angl. Multipurpose Internet Mail
Extensions). MIME sicer še vedno uporablja format, kot ga določa RFC 2822, toda
dodal je novo strukturo in način kodiranja tudi za ne-ASCII sporočila. Z MIME
standardom lahko v polje Subject: vpisujemo tudi šumnike in druge ne US-ASCII
znake, obenem pa je tudi opredelil nova polja v glavi e-sporočila, in sicer:
MIME-version: verzija MIME protokola. Sporočila, ki polja nimajo vsebovanega se
procesirajo kot golo, neobogateno besedilo (npr. Mime-version: 1.0).
Content-ID: je unikatni identifikator vsebine e-sporočila, ki uporablja enak format kot
polje Message-ID.
Content-Transfer-Encoding: je polje, ki nam pove, kako je polje Subject in telo esporočila kodirano. Če polje Subject in telo sporočila vsebuje tudi ne ASCII znake,
potem mora programska oprema uporabiti sintakso za MIME kodirno besedo.
Sintaksa uporablja niz ASCII znakov, kjer je del vsebine nespremenjen (vsebuje
ASCII znake) in del, kjer je uporabljena kodirna shema (beseda vsebuje ne ASCII
znake).
Oblika sintakse je naslednja: "=?znakovni_nabor?kodiranje?kodirano_besedilo?=".
Znakovni nabor (angl. Charset) je lahko kateri koli znakovni nabor, ki ga predpisuje
IANA. V Sloveniji največkrat uporabljamo nabor ISO-8859-2.
Kodiranje (angl. Encoding) je lahko Q, pripravljeno za tiskanje (angl. Quotedprintable) ali B, ki predstavlja kodiranje base64. Base64 je tudi primarno kodiranje
za dvojiška sporočila.
Kodirano besedilo (angl. Encoded text) je lahko Q ali base64 kodirano.
Za primer navajam e-sporočilo, kjer sem v polje 'Naslov e-sporočila' (Subject)
zapisal: 'č š ž nabor znakov'.
Poštni odjemalec s pomočjo MIME sintakse naslov spremeni v naslednji format:
Subject: =?ISO-8859-2?Q?=E8_=B9_=BE_nabor_znakov?=
Iz primera lahko ugotovimo, da je poštni odjemalec uporabil znakovni nabor ISO8859-2, sintaksa uporablja Q kodiranje, besedilo v naslovu: č š ž nabor znakov je
prevedeno v: =E8_=B9_=BE_nabor_znakov.
Content-Type: polje nam pove informacijo o tipu in formatu vsebine. Tabela 2
predstavlja vse tipe in formate vsebine.
stran 17
Tabela 2: MIME tipi in podtipi določeni s RFC 2045
(po A. Tanenbaum: Computer Networks)
Tip
Besedilo
(Text)
Večdelni
(Multipart)
Sporočilo
(Message)
Podvrsta
Navadni (Plain)
Opis
Neoblikovano besedilo: lahko je ASCII ali
ISO 8859
Obogateni (Enriched)
Omogoča večjo prilagodljivost formata
Mešan (Mixed)
Različni deli so neodvisni, vendar se bodo
prenesli skupaj. Prejemnik naj jih prejme v
istem vrstnem redu kot se pojavljajo v esporočilu.
Vzporeden (Parallel)
Podobno kot mešan, le da ni določen vrstni
red prejemanja delov.
Alternative
Različni deli so alternativne verzije iste
(Alternative)
informacije. Urejeni so po naraščajoči
zanesljivosti glede na original. Poštni
odjemalec naj bi prikazal najboljšo verzijo.
Izvleček (Digest)
Vsak del je kot definira RFC 822 e-sporočilo
RFC822
Telo predstavlja ovojnico e-sporočila v skladu
z RFC 822.
Delni (Partial)
Uporablja se za delitev sporočil, na način, ki
je transparentnejši za prejemnika
Zunanje telo (External Vsebuje kazalec na telo, ki se nahaja drugje
body)
Jpeg
Podoba v JPEG formatu
Gif
Podoba v GIF formatu
Mpeg
MPEG format
Podoba
(Image)
Video
(Video)
Avdio
Osnoven (Basic)
Enojni 8 bitni ISDN kanal (8 KHz)
(Audio)
Aplikacija
PostScript (PostScript) Adobe Postscript
(Application) Oktetni tok (Octet- Binarni podatki, sestavljeni iz 8-bitnih zlogov
stream)
S porastom zahtev uporabnikov po preverjanju avtentičnosti pošiljateljev,
zagotavljanju zaupnosti in celovitosti prenesenih sporočil, je MIME standard dobil
nadgradnjo, ki so jo poimenovali S/MIME (Secure MIME). S/MIME v e-poštno
arhitekturo dodaja funkcionalnost, ki omogoča avtentikacijo pošiljateljev z uporabo
digitalnega podpisa ter šifriranje vsebine e-sporočila. S/MIME dodaja tudi nov tip
(S/MIME-Type) polja, ki določa način ovijanja in šifriranja podatkov
(Application/pkcs7-MIME).
2.3.4
Pošiljanje e-pošte (SMTP)
Kot sem že omenil v uvodnem poglavju, večina današnjih poštnih sistemov za
pošiljanje e-sporočil med omrežji uporablja protokol SMTP (angl. Simple Mail
Transport Protokol) oz. njegovo nadgradnjo, razširjeni oz. naprednejši ESMTP (angl.
Extended/Enhanced).
stran 18
V notranjih zaključenih omrežjih (intranet), kot jih imajo poslovne, vladne,
izobraževalne in druge organizacije so v uporabi tudi drugi lastniški protokoli, ki so
vezani na programsko opremo, ki ne omogoča le izmenjave e-sporočil temveč
nudijo celovito rešitev za skupinsko sodelovanje (Microsoft Exchange, IBM Lotus
Notes, Novell Grupwise idr.). V takem sistemu se e-sporočila in drugi podatki (npr.
souporaba koledarjev), prenašajo z lastniškimi protokoli in formati e-sporočil, vendar
je izhod iz intranet omrežja vedno protokol SMTP in standardizirana oblika esporočila (RFC 2822).
SMTP deluje na aplikacijskem sloju TCP/IP protokola, za transport podatkov pa
uporablja TCP protokol, ki komunicira z aplikacijo na vratih 25. Kot bomo videli
kasneje, je ta številka vrat zelo pomembna, saj lahko z nadzorom komunikacije
skozi vrata 25 nadziramo in filtriramo promet e-sporočil. SMTP protokol je definiran
z internetnim standardom RFC 2821 (ESMTP z RFC 1869), ki natančno določa
proceduro vzpostavitve komunikacijske povezave, pošiljanja e-sporočil ter podiranje
povezave.
SMTP oz. ESMTP je relativno enostaven ASCII protokol, ki deluje v relaciji
odjemalec – strežnik. Protokol temelji na sedmih glavnih ukazih s katerimi MTA
agent komunicira s drugim strežnikom (MTA agentom) ali pa s poštnim odjemalcem
(MUA agentom). Vsi SMTP ukazi, ki so sestavljeni iz znakovnega niza, se začnejo z
osnovnim ukazom, ki mu sledi ukaz za prehod na začetek v novo vrstico ((<CRLF>)
angl. Carriage Return Line Feed) ali pa ukazu sledi presledek (<SP>) s
argumentom, ki se zapiše v ovojnico e-sporočila.
Osnovni ukazi so naslednji:
1. EHLO (ESMTP) ali HELO (SMTP)
2. MAIL FROM
3. RCPT TO
4. RSET
5. VRFY
6. DATA
7. QUIT
Navedeni ukazi so razloženi v nadaljevanju.
EHLO oz. HELO je ukaz, s katerim se pošiljateljev agent (MUA ali MTA) predstavi
sprejemnemu MTA agentu. Argument, ki sledi ukazu, vsebuje popolno internetno
domensko ime odjemalca FQDN (angl. Fully Qualified Domain Name).
MAIL FROM je ukaz, s katerim vzpostavimo SMTP transakcijo med odjemalcem in
strežnikom. Ukazu sledi presledek in e-naslov poštnega predala pošiljatelja. Zapis
sporočenega e-naslova poštnega predala se zapiše v glavo sporočila (ovojnico) kot
zapis Return-Path.
RCPT TO je ukaz, ki se uporablja za identifikacijo posameznega prejemnika esporočila. Ukazu sledi presledek in e-naslov prejemnika. SMTP omogoča pošiljanje
enega e-sporočila večjemu številu prejemnikom hkrati, zato je ukazov toliko, kot je
navedenih prejemnikov.
stran 19
DATA je ukaz s katerim povemo, da bomo začeli pošiljati podatke (e-sporočilo).
Pošiljanje podatkov se zaključi z dvojno sekvenco za prehod v novo vrstico
<CRLF>.<CRLF>.
RSET je ukaz s katerim povemo, da prekinjamo trenutno transakcijo e-sporočila.
Z ukazom VRFY zahtevamo od prejemnika, da potrdi argument, ki identificira
uporabnika ali njegov e-poštni predal.
QUIT je ukaz, s katerim zahtevamo od prejemnika, da potrdi prejem sporočila
(pošlje besedo 'OK'), nato pa se povezava prekine.
Pošiljanje e-sporočila poteka po naslednjem vrstnem redu:
Ko je e-sporočilo uporabnika pripravljeno na pošiljanje, uporabnikov računalnik
(MUA agent) vzpostavi TCP povezavo na vratih 25 (pri uporabi avtentikacije z
mehanizmom SMTH-AUTH se uporabi vrata 587) s svojim poštnim strežnikom, MTA
agentom. Kateri poštni strežnik mora uporabnik pri pošiljanju uporabiti (ter katera
vrata), mora biti zapisano v nastavitvah odjemalca za e-sporočila. Ker je v
nastavitvah odjemalca napisano samo domensko ime poštnega strežnika, mora
odjemalec poizvedbo za svoj IP naslov izvesti pri lokalnem DNS strežniku.
Če ima strežnik pravilne nastavitve, najprej preveri identiteto pošiljatelja in nato v
glavi sporočila prebere domeno prejemnika oz. prejemnikovo polno domensko ime
(FQDN), kamor mora biti e-sporočilo dostavljeno. Od tu naprej je e-sporočilo pod
nadzorom poštnega strežnika oz. MTA agenta. Če je prejemnikov poštni predal na
istem strežniku, se prenos sporočila vrši s pomočjo lokalnega dostavnega agenta
LDA (angl. Local Delivery Agent). V naslednjem koraku MTA agent izvede v DNS
strežniku poizvedbo za MX (angl. Mail Exchanger Record) zapis prejemnikove
domene (ker je za posamezno domeno lahko zadolženih več poštnih strežnikov,
mora imeti vsak strežnik svoj MX zapis v DNS bazi). Poizvedba mu vrne seznam
poštnih strežnikov, ki so zadolženi za to domeno, ter pripadajočo številko njihovega
prioritetnega seznama (nižja, ko je številka, višja je prioriteta).
MTA agent izbere iz seznama prvi naveden prednostni strežnik in z njim vzpostavi
SMTP sejo. Če strežnik MX zapisa nima, nadaljuje z naslednjim na seznamu, dokler
uspešno ne dostavi e-sporočila ali prejme povratno informacijo, da strežnik ni
dosegljiv (odgovor strežnika v angl.: 451 Requested action aborted: local error in
processing) oz. da prejemnik z navedenim e-naslovom ne obstaja (odgovor
strežnika v angl.: 550 Requested action not taken: mailbox unavailable). Ker lahko v
verigi prenosa e-sporočila nastopa več MTA agentov (še posebej, če ima uporabnik
nastavljeno preusmeritev e-sporočila na drugi e-naslov), sporočilo potuje od enega
poštnega strežnika do drugega, dokler ne prispe do strežnika, kjer ima prejemnik epoštni predal. Vsak strežnik, skozi katerega sporočilo prehaja, dodaja v glavi
(ovojnici) e-sporočila polje Received: in svoje podatke. Iz vsebine polja so razvidni
identiteta strežnika, čas prejema e-sporočila in kateremu poštnemu strežniku je bilo
e-sporočilo posredovano naprej.
Ko v procesu pošiljanja nastopata več kot dva strežnika, govorimo o posredovalnih
(angl. relay) strežnikih. Če je identiteta pravilna in skladna z nastavitvami strežnika,
strežnik nadaljuje s procesiranjem pošte. V primeru, da strežnik ni pravilno
nastavljen in ne preverja identitete (vklopljena funkcija Open Relay), lahko sprejema
stran 20
in pošilja e-pošto katerega koli uporabnika, torej tudi takega, ki ni del organizacije ali
omrežja. Kot bomo videli kasneje, razpečevalci neželene e-pošte Open Relay
strežnike uporabljajo za masovno pošiljanje neželenih e-sporočil, saj tako enostavno
zakrijejo svojo identiteto.
Tabela 3 prikazuje primer vzpostavitve povezave in pošiljanje e-sporočila.
Tabela 3: SMTP transakcija med pošiljateljem in prejemnikom
Pošiljatelj (MUA)
Prejemnik (MTA)
220 domena_prejemnika ESMTP Sendmail
8.8.8/8.8.8 ready at Thu, 27 Jul 2006
16:04:25 -0800
HELO domena_pošiljatelja
250 domena_prejemnika Hello
domena_pošiljatelja [IP_naslov], pleased to
meet you
MAIL FROM:<ime_pošiljatelja@domena>
250 OK
RCPT TO: <urban@domena>
250 OK
RCPT TO: <joze@domena>
550 No such user here (ni takega
uporabnika)
DATA
354 Start mail input:
End with <CRLF><CRLF>
From: uporabnik@domena
To: urban@domena, joze@domena
Subject: Diploma
Posiljam diplomo. Lep pozdrav, Urban
250 OK (Message Accepted)
QUIT
221 ime_prejemnika@domena
Service closing Transmission Channel
Iz tabele 3 je razvidno, da obstaja razlika med pošiljateljem, ki je naveden v polju
MAIL FROM in pošiljateljem, ki je naveden v polju From:. MAIL FROM in argument,
ki mu sledi, je e-naslov, ki ga samodejno vpiše strežnik pošiljatelja, sam zapis pa je
del ovojnice e-sporočila. Ko e-sporočilo prispe na strežnik prejemnika, se podatek
prepiše v glavo e-sporočila v polje Return-Path: Zapis From: predstavlja podatek,
kot je vpisan v poštnem odjemalcu pošiljatelja in se skozi celotno pot do poštnega
odjemalca prejemnika ne spreminja.
2.3.5
Proces sprejemanja e-pošte
Za pregled oz. pobiranje e-pošte lahko uporabimo dva protokola: POP3 in IMAP4.
Katerega bomo uporabili, je odvisno do programske opreme strežnika, kjer so
shranjena e-sporočila, ter od e-poštnega odjemalca (MUA agenta), ki ga
uporabljamo za pregled/pobiranje e-pošte.
stran 21
POP3 protokol
POP3 (angl. Post Office Protocol Version 3) je protokol aplikacijskega sloja, ki
omogoča pobiranje in hkrati brisanje e-sporočil s poštnega strežnika. POP3 je
opredeljen v standardu RFC 1939, ki definira tri faze, ki se izvršijo ob zahtevi
uporabnika za pobiranje pošte:
1. avtorizacija uporabnika
2. transakcija
3. posodobitev
Ob vzpostavitvi povezave e-poštnega odjemalca (MUA agenta) s poštnim
strežnikom (MTA agentom), se mora odjemalec najprej predstaviti z uporabniškim
imenom in geslom, ki je zahtevan za dostop do e-poštnega predala. Pri tem moramo
razlikovati avtorizacijo, ki se izvaja pri dostopu do poštnega predala, od avtorizacije,
ki je zahtevana v okviru dostopa do MSA agenta. Če je avtorizacija uporabnika
uspešna, sledi druga faza, v okviru katere se e-sporočila iz strežnika prenesejo na
lokalno delovno postajo, na strežniku pa se e-sporočila označijo za brisanje. V tretji
fazi se e-sporočila na strežniku izbrišejo.
Osnovni ukazi, ki pri tem sodelujejo, so:
1. USER (uporabniško ime)
2. PASS (geslo)
3. STAT (ukaz nam sporoči število sporočil, ki nas čakajo v predalu ter njihovo
skupna velikost)
4. LIST (s tem ukazom se nam v vsaki vrstici izpišejo posamezna sporočila in
njihova velikost)
5. RETR (ukazu sledi številka sporočila, ki ga želimo prenesti)
6. DELE (ukazu sledi številka sporočila, ki ga želimo brisati)
7. QUIT (prekinitev povezave)
Primer komunikacije s POP3 protokolom med poštnim odjemalcem Eudora in
poštnim strežnikom je sledeči:
Eudora connect to port 110 on smtp1.ponudnik.si (strežnik potrdi, da posluša ukaze
poštnega odjemalca)
+OK QPOP (version 2.2)
Sledi procedura preverjanja uporabniškega imena in gesla.
USER uporabniško_ime (pošiljanje uporabniškega imena prejemnika)
+OK Password required for ……
PASS geslo_uporabnika (pošiljanje gesla prejemnika)
+OK user has 1 message 726 octets (uporabnik ima 1 sporočilo dolgo 726 oktetov)
UIDL (Unique-ID listing)
+OK uidl command accepted
1 179c8f888f99dc4ad6rg55 (vsako sporočilo ima unikatno ID številko, ki se zapiše v
glavo sporočila-polje X-UIDL)
RETR 1 (odjemalec želi sprejeti prvo sporočilo)
+OK 726 octets
(strežnik pošilja sporočilo)
DELE 1
+OK Message 1 has been deleted (prvo sporočilo se pobriše iz strežnika – ukaz je
pogojen z nastavitvami odjemalca)
stran 22
QUIT
+OK POP server at smtp1.ponudnik.si signing off (strežnik se odjavi)
IMAP protokol
IMAP (angl. Internet Message Access Protocol) protokol (RFC 2060) je uporaben
predvsem za mobilne uporabnike oz. za uporabnike, ki nimajo dovolj pasovne širine
za prenos e-sporočil na lastni računalnik. IMAP omogoča in obenem zahteva, da
uporabnik prebira e-sporočila neposredno na strežniku. Po prekinitvi povezave esporočila še vedno ostanejo na strežniku in so dostopna tudi drugim uporabnikom.
IMAP s pomočjo velikega nabora ukazov omogoča uporabnikom, da e-sporočila na
strežniku sestavljajo, brišejo ali prebirajo le delčke sporočila. Če npr. prejmemo v epoštni predal e-sporočilo, ki vsebuje poleg besedila tudi priponko z video
posnetkom, ki zavzema veliko prostora, lahko z IMAP protokolom na strežniku
preberemo le besedilni del e-sporočila, celotni del pa prenesemo kasneje, ko smo
na strežnik povezani s širokopasovno povezavo. Z uvedbo storitve spletne pošte se
IMAP počasi umika iz masovne uporabe.
2.3.6
Spletna pošta (angl. Webmail)
V zadnjem času uporabniki vse več uporabljajo spletne brskalnike, s katerimi
dostopajo do namenskih spletnih aplikacij, ki jim omogočajo sestavljanje,
sprejemanje, pošiljanje in upravljanje s e-sporočili. Te spletne aplikacije na eni strani
komunicirajo s poštnim SMTP/IMAP/POP3 strežnikom, na drugi strani pa generirajo
preko spletnega HTTP strežnika zahteve uporabniškega brskalnika po upravljanju z
e-sporočili v obliki HTML kode.
Ker je spletna pošta spletna aplikacija, se za prenos podatkov od spletnega
strežnika do uporabniškega brskalnika uporablja HTTP (angl. Hypertext Transfer
Protocol) protokol, ki deluje na vratih 80. Spletni strežniki imajo vgrajene vse
potrebne mehanizme za avtorizacijo uporabnika pri dostopu do poštne baze in
njenim upravljanjem. Spletna pošta lahko deluje tudi kot samostojna brezplačna
storitev ponudnikov, ki ponujajo uporabnikom več 100 MB prostega prostora na
njihovih diskovnih sistemih. Prav tako organizacije in internetni ponudniki ponujajo
svojim uporabnikom poleg klasičnega dostopa preko poštnega odjemalca tudi
spletni dostop do poštnih predalov. Primer brezplačnih ponudnikov spletne e-pošte
so slovenski Email.si ali ameriški Googlov Gmail, Microsoftov Hotmail, Yahoo in
drugi. Slabost brezplačne e-pošte je v vprašljivi zaupnosti shranjenih e-sporočil ter v
motečih reklamnih sporočilih, ki se pojavljajo ob pregledovanju e-sporočil.
Največja prednost spletne e-pošte je v tem, da ima uporabnik dostop do svoje epošte iz kateregakoli terminala (osebni in delovni računalnik, dlančnik, mobilni
telefon idr.), ki ima ustrezen brskalnik in lahko vzpostavi internetno povezavo. Druga
večja prednost je v večji zaščiti lokalnega terminala pred škodljivo programsko kodo,
ki se lahko skriva v prejetih sporočilih, saj lahko že preko brskalnika izbrišemo vsa
problematična e-sporočila še preden jih s pomočjo poštnega odjemalca prenesemo
na lokalni računalnik.
stran 23
2.4
GLAVNE POMANJKLJIVOSTI SODOBNE E-POŠTE
Sodobna e-pošta ima kar nekaj pomanjkljivosti, ki jih s pridom izkoriščajo
razpečevalci neželene e-pošte. SMTP protokol, kot glavni protokol za prenos esporočil med različnimi omrežji, ne preverja podatkov pošiljatelja, niti privzeto ne
preverja veljavnosti domene. Nadalje polje 'Reverse Path:', ki se ustvari z ukazom
MAIL FROM, je lahko po SMTP standardu (RFC 2821) celo prazno, brez vnesene
identitete pošiljatelja. Protokol omogoča, da je katerikoli del v e-sporočilu lahko
ponarejen (glej OECD, 2006). To je izvedljivo na nivoju seje, v ovojnici sporočila ali
v glavi e-sporočila.
Da je zelo enostavno ponarediti podatke pošiljatelja, bom prikazal na naslednjem
primeru. V svojem odjemalcu za e-pošto Outlook Express sem ustvaril nov poštni
račun z izmišljenimi podatki pošiljatelja. Proces kreiranja tega računa je prikazan na
sliki 8.
Slika 8: Nastavitve poštnega odjemalca Outlook Express s izmišljenimi podatki
pošiljatelja
Z nastavitvami, ki so vidne na zgornji sliki, sem poslal e-sporočilo na drugi e-naslov.
Ob pregledu prejetega e-sporočila in ob analizi njegove glave (glej sliko 9), sem
ugotovil, da so podatki pošiljatelja enaki tistim, ki sem jih vpisal pri kreiranju lažnega
e-računa. Dobil sem torej e-sporočilo od izmišljenega pošiljatelja. Poskusil sem tudi
pošiljati e-sporočilo z neregistrirano domeno, vendar mi je pravilno, poštni strežnik
mojega internetnega ponudnika e-sporočilo zavrnil. V primeru, da bi pri pošiljanju
izbral Open Relay poštni strežnik, bi bilo e-sporočilo poslano brez osnovnih
preverjanj identitete pošiljatelja. Slika 9 prikazuje vsebino e-sporočila, kot je
prikazana na spletnem odjemalcu za e-pošto, ter prejeto izvorno e-sporočilo.
stran 24
Return-Path: <heker@krneki.si>
Reply-To: <heker@krneki.si>
From: <heker@krneki.si>
Date: Sat, 25 Aug 2007
13:46:59 +0200
Organization: Krneki
Slika 9: Prejeto e-sporočilo s izmišljenimi podatki pošiljatelja
Tako, kot sem ponazoril v zadnjem primeru, tudi ''spamerji'' razširjajo neželeno epošto s identiteto, ki sploh ne obstaja. Zavedati se moramo tudi, da se običajno vsa
e-sporočila pošiljajo kot golo besedilo, kar pomeni, da lahko vsak z dovolj znanja in
ustrezno programsko opremo (npr. Ethereal) e-sporočila prestreže ter prebere
njihovo vsebino. Enako velja tudi za spletno e-pošto, razen, če ponudnik storitve ne
omogoča varne šifrirane SSL (angl. Secure Socket Layer) ali TLS povezave (angl.
Transport Layer Security).
2.5
PRIMER ANALIZE PREJETEGA E-SPOROČILA
Pri odločitvi, ali naj prejetemu e-sporočilu zaupamo ali ne, igrajo bistveno vlogo
podatki v glavi e-sporočila. Kako si s podatki v glavi e-sporočila, ki smo ga prejeli,
pomagamo, bom prikazal na primeru. Glava e-sporočila običajno ni neposredno
vidna v uporabniškem vmesniku odjemalca za e-pošto, zato jo moramo priklicati s
pomočjo menija. Podrobnosti celotnega e-sporočila lahko običajno vidimo tako, da v
programu za e-pošto z desno tipko miške kliknemo na posamezno sporočilo ter
izberemo 'Podrobnost sporočila' (angl. Properties/Details). V Prilogi 1 je opisan
postopek, kako lahko na najpogosteje uporabljenih odjemalcih za e-pošto
pogledamo izvirno obliko sporočila in jo po potrebi shranimo na računalnik ali
iztisnemo.
Glava e-sporočila ima v izvirni obliki strukturo podobno naslednjemu zapisu:
Delivered-To: urban.kunc@gmail.com
Received: by 10.114.60.16 with SMTP id i16cs1076640waa;
Sat, 7 Jul 2007 09:37:43 -0700 (PDT)
Received: by 10.82.100.1 with SMTP id x1mr4312958bub.1183826262374;
Sat, 07 Jul 2007 09:37:42 -0700 (PDT)
Return-Path: <alenka.brezavscek@fov.uni-mb.si>
Received: from mars.fov.uni-mb.si (mars.fov.uni-mb.si
[193.2.122.12])
by mx.google.com with ESMTP id
f7si10685498nfh.2007.07.07.09.37.41;
Sat, 07 Jul 2007 09:37:42 -0700 (PDT)
Received-SPF: pass (google.com: domain of alenka.brezavscek@fov.unimb.si designates 193.2.122.12 as permitted sender)
Received: from localhost (localhost [127.0.0.1])
by mars.fov.uni-mb.si (Postfix) with ESMTP id 7A92266CD9F
for <urban.kunc@gmail.com>; Sat, 7 Jul 2007 18:37:40 +0200
(CEST)
stran 25
Received: from kab506b (tp21.fov.uni-mb.si [193.2.122.85])
by mars.fov.uni-mb.si (Postfix) with SMTP id 88A1566CD9B
for <urban.kunc@gmail.com>; Sat, 7 Jul 2007 18:37:36 +0200
(CEST)
Message-ID: <009301c7c0b5$daabbc50$18eefea9@fovdomain.fov.unimb.si>
From: "Alenka Brezavscek" <alenka.brezavscek@fov.uni-mb.si>
To: "Urban Kunc" <urban.kunc@gmail.com>
References:
<5ab8b8ec0707020754i405934cbi95c74b514805b1aa@mail.gmail.com>
Subject: Re: Diploma
Date: Sat, 7 Jul 2007 18:42:48 +0200
MIME-Version: 1.0
Content-Type: multipart/alternative;
boundary="----=_NextPart_000_0090_01C7C0C6.9DF75C40"
X-Priority: 3
X-MSMail-Priority: Normal
X-Mailer: Microsoft Outlook Express 6.00.2900.2869
X-MimeOLE: Produced By Microsoft MimeOLE V6.00.2900.2869
X-Virus-Scanned: by amavisd-new / Sophie & ClamAV at fov.uni-mb.si
Analiza e-sporočila običajno poteka od spodaj navzgor, kakor sledi:
X-Virus-Scanned: by amavisd-new / Sophie & ClamAV at fov.uni-mb.si
Iz polja X-Virus-Scanned: lahko razberemo, da poštni strežnik pošiljatelja deluje
na Linux platformi ter da je bilo e-sporočilo pregledano s protivirusnima programoma
Sophie (Sophos) in ClamAV. Amavisd služi kot vmesnik med MTA agentom in
programi za preverjanje virusov.
X-MimeOLE: Produced By Microsoft MimeOLE V6.00.2900.2869
Polje X-MimeOLE: nam pove, da je bilo sporočilo poslano z Microsoft MimeOLE
knjižnico, ki je nameščena na poštnem odjemalcu pošiljatelja.
X-Mailer: Microsoft Outlook Express 6.00.2900.2869
Polje X-Mailer: pove, da je pošiljatelj pri sestavljanju in pošiljanju sporočila
uporabil Microsoft Outlook Express, ki je privzeti odjemalec na Windows
operacijskem sistemu.
Polja X-Priority: ter X-MSMail-Priority: nam povesta, da je bilo sporočilo
poslano brez prioritete (normal).
Polje Content-Type se nanaša na MIME standard, ki določa tip vsebine. V našem
primeru, gre za tip vrste multipart/alternative, ki omogoča, da se lahko sporočilo
prikaže na različne načine (kot obogateno besedilo ali golo besedilo), v odvisnosti
od nastavitev oz. vrste poštnega odjemalca.
Polje MIME-Version: nam pove verzijo MIME standarda. V našem primeru gre za
verzijo 1.0.
Polje Date: nam pove datum in čas pošiljanja sporočila. Poleg tega izvemo tudi, da
gre za čas, ki je dve uri za Greenwich časom. Gre za sistemski podatek, prebran iz
operacijskega sistema odjemalca. Podatek ni vedno točen.
stran 26
Polje Subject: nam pove, kakšen je naslov Zadeve sporočila.
Iz polja References: lahko ugotovimo, da se e-sporočilo navezuje na predhodno že
poslano e-sporočilo, kar je tudi razvidno iz polja Subject: Re: (angl. Reply).
Iz polja To: lahko razberemo e-naslov prejemnika e-sporočila.
Iz polja From: lahko razberemo e-naslov pošiljatelja e-sporočila. Vsebina polja se
ustvari ob ukazu za pošiljanje sporočila. Polja From (ovojnica sporočila) in From:
najlažje ponaredimo, zato podatkoma praviloma ne smemo vedno zaupati.
Polje Message-ID: je eno najpomembnejših polj, s pomočjo katerega lahko z veliko
gotovostjo ugotovimo, iz katere domene je bilo e-sporočilo poslano. Vsebina polja je
sestavljena iz unikatne številke, ki jo doda poštni sistem, znaka @ in polnega naziva
domene. Iz našega primera lahko ugotovimo, da je bilo e-sporočilo poslano iz
domene fovdomain.fov.unimb.si. Zapis se nahaja v ovojnici e-sporočila.
Sledijo polja Received:, ki nam povedo preko katerih poštnih strežnikov je esporočilo potovalo, dokler ni prispelo do končnega poštnega strežnika prejemnika.
Tako kot polje Message-ID, je polje Received: podatek, iz katerega lahko
razberemo pošiljatelja.
Iz prvega polja od spodaj Received: lahko razberemo, da je bilo e-sporočilo
ustvarjeno na računalniku z imenom kab506b. Glede na poimenovanje, bi lahko
ugibali, da gre za računalnik, ki se nahaja v kabinetu številka 506b. Drugi podatek v
istem polju nakazuje, da je popolno internetno ime računalnika (FQDN) tp21.fov.unimb.si in da ima dodeljeno IP številko 193.2.122.85 (from kab506b
(tp21.fov.uni-mb.si [193.2.122.85])). S pomočjo orodja nslookup (glej sliko
10) ali spletne storitve Whois, lahko ugotovimo, da je IP številka 193.2.122.85
dodeljena Fakulteti za organizacijske vede Kranj, ki ima rezerviran naslovni prostor
od 193.2.122.0 - 193.2.122.255. Ker se domena in IP naslov ujemata, lahko z veliko
zanesljivostjo trdimo, da polje v glavi ni bilo ponarejeno.
Slika 10: Uporaba orodja nslookup v ukazni vrsti Windows
Tretji podatek v istem polju Received:(by mars.fov.uni-mb.si (Postfix) with
ESMTP id 7A92266CD9F) nam pove, da je bilo e-sporočilo poslano s pomočjo
stran 27
razširjenega (angl. Extended) SMTP protokola na poštni strežnik z imenom
mars.fov.uni-mb.si, na katerem teče program Postfix, e-sporočilu pa je bila
dodeljena unikatna številka 7A92266CD9F. Transakcija pošiljanja in pripadajoča
unikatna številka se praviloma zavede tudi v strežniške zapise. Iz naslednjega
podatka lahko razberemo e-naslov prejemnika (for urban.kunc@gmail.com) ter
natančen datum in čas, ko je bilo sporočilo poslano. Če primerjamo podatek v polju
Date: ter datum in čas naveden v zadnjem polju Received:, ugotovimo, da se
časa ne ujemata. Običajno je čas v polju Received: natančnejši, saj strežniki za
svojo referenčno uro in sinhronizacijo časa uporabljajo zanesljiv vir ter NTP (angl.
Network Time Protocol) protokol. Podatek CEST nam pove, da je sistem nastavljen
na centralni evropski poletni čas (angl. Central European Summer Time).
Naslednje polje Received: nam pove, da gre za lokalni računalnik (tp21.fov.unimb.si), sporočilo pa je bilo predano strežniku: mars.fov.uni-mb.si. S pomočjo
nslookup orodja (glej sliko 10) ali Whois spletne poizvedbe, lahko ugotovimo, da ima
poštni strežnik z domeno mars.fov.uni-mb.si dodeljen IP naslov 193.2.122.12, kar je
tudi razbrati v naslednjem Received: polju. Ker se IP naslov, dobljen s poizvedbo
nslookup, in zapis v polju Received: ujemata, lahko z veliko zanesljivostjo trdimo,
da polje ni ponarejeno.
Iz polja Received-SPF: je razvidno, da ima poštni strežnik vgrajen modul za
zaznavanje avtoriziranih in neavtoriziranih domen (SPF) ter, da je domena fov.unimb.si pravilna in delujoča, zato e-sporočilo spusti naprej (angl. pass).
Iz naslednjega polja Received: lahko razberemo, da je strežnik mars.fov.uni-mb.si
usmeril e-sporočilo na Googlov strežnik z imenom mx.google.com ter da mu je
dodelil transakcijsko številko ESMTP id f7si10685498nfh.2007.07.07.09.37.41.
Polje Return-Path: doda v glavo sporočila končni transportni sistem (MTA agent),
ko sporočilo prispe v poštni predal prejemnika. V kolikor bi prejemnik na sporočilo
odgovoril (angl. Reply), bi se sporočilo usmerilo na e-naslov, ki je zapisan v polju
Return-Path:. Zapis se nahaja v ovojnici e-sporočila.
Zadnji dve polji Received: nakazujeta, da je sporočilo potovalo še čez dva lokalna
poštna strežnika podjetja Google (rezervirana IP naslova: 10.82.100.1 in
10.114.60.16), preden se je končno usmerilo v poštni predal prejemnika
(Delivered-To:).
stran 28
3
NEŽELENA E-POŠTA
3.1
OPREDELITEV POJMA NEŽELENA E-POŠTA
Na splošno bi neželeno e-pošto lahko opredelili kot tisto, ki je nenaročena in
neželena, obenem pa vsebuje nezakonito ali žaljivo vsebino. Neželena e-pošta je
praviloma poslana z namenom trženja izdelka ali storitve, poslana je množično
večjemu številu prejemnikom hkrati, e-naslov prejemnika je nelegalno pridobljen,
identiteta pošiljatelja pa je izmišljena.
Množično pošiljanje e-pošte z namenom trženja so prvič zasledili leta 1978 v
omrežju ARPANET. Takratno podjetje DEC se je odločilo, da bo za oglaševanje
svojega novega računalnika DEC-20 izbralo e-pošto. E-sporočila z oglasom za nov
računalnik so bila poslana na vse e-naslove na ameriški zahodni obali. Podjetje je
bilo zaradi množičnega pošiljanja e-sporočil brez soglasja prejemnikov kaznovano,
ker so kršili pravila uporabe omrežja ARPANET, ostali uporabniki pa so bili na to
opozorjeni.
V angleški literaturi je za pojem neželena e-sporočila uporabljen izraz ''spam'', kratici
UCE 1 ali UBE 2 , pošiljatelja neželenih e-sporočil pa poimenujejo ''spamer''.
Naj kot zanimivost obrazložim izvor besede ''spam''. Spam je sicer registrirani
zaščitni znak multinacionalnega podjetja Hormel Foods Corporation, ki proizvaja
konzervirano obdelano šunko (glej sliko 11).
Slika 11: SPAM konzervirana obdelana šunka
(Vir: Hormel foods)
V skeču Letečega cirkusa Monty Python (angl. Monty Python Flying Circus)
skandiranje besed "spam, spam'' preglasi ostale dialoge, zaradi česar se leta 1994
začne beseda ''spam'' uporabljati za nenaročeno oglaševanje po e-pošti.
1
2
UCE - Unsolicited Commercial E-mail (nenaročena komercialna e-pošta)
UBE - Unsolicited Bulk E-mail (nenaročena množična e-pošta)
stran 29
Glavne značilnosti, ki so povezane s neželeno e-pošto, so: kršenje zasebnosti,
nelegalnost, neprijetna vsebina, zavajanje in varljive ponudbe. Prejemnik se esporočil enostavno ne more ubraniti, povzroča mu izgubo časa s pregledovanjem in
odstranjevanjem, posledično pa lahko ob nepozornem brisanju pošte izbriše tudi
drugo, sicer zelo pomembno e-sporočilo. Če za prejemnika e-sporočil lahko trdimo,
da nima stroškov, razen izgube časa s pregledovanjem in brisanjem e-sporočil,
neželena e-sporočila povzročajo stroške organizacijam, predvsem internetnim
ponudnikom in operaterjem prenosnih poti. Ker imajo internetni ponudniki in
operaterji stroške z implementacijo in vzdrževanjem filtrirnih sistemov, se strošek
posredno prenese na končnega uporabnika ali pa je zaradi tega nižja kvaliteta
storitev. Če hipotetično predpostavimo, da zaposleni dve minuti dnevno pregledujejo
in brišejo neželena e-sporočila, lahko globalno ugotovimo, da prihaja do velikanske
izgube denarja zaradi širjenja neželene e-pošte.
V Združenih državah so s CAN-SPAM zakonom opredelili ''spam'' le za komercialna
e-sporočila (angl. Commercial Electronic Mail), torej tista e-sporočila, katerih glavni
namen je komercialno oglaševanje ali promocija komercialnega izdelka ali storitve
(vključno s komercialno vsebino objavljeno na spletni strani). Zakonske določbe
prepovedujejo in kaznujejo pošiljanje neželenih komercialnih e-sporočil, hkrati pa je
še vedno zagotovljena svoboda govora in dovoljeno pošiljanje e-sporočil z
nekomercialno vsebino: ankete, peticije, politična in verska propaganda, sporočila
dobrodelnih organizacij.
V primerjavi z ZDA, evropska Direktiva 2002/58/ES (glej Directive 2002/58/EC) kot
neželeno e-pošto opredeljuje vsa e-sporočila, ki so poslana z namenom
neposrednega trženja, torej tudi tista e-sporočila, pri katerih primarna korist ni le
finančna. Tako bi lahko med neželena e-sporočila uvrstili tudi tista, ki oglašujejo
politično ali religiozno misel. Pomembno je torej razlikovati med izrazoma
komercialno e-sporočilo in e-sporočilo poslano z nameni neposrednega trženja.
Po navedbah Organizacije za gospodarsko sodelovanje in razvoj (angl.
Organisation for Economic Co-operation and Development, krat. OECD) ni enotne
mednarodne definicije za besedo ''spam'', saj vsaka zakonodaja pojem različno
interpretira. Tudi v slovenski zakonodaji pojem terminološko ni posebej opredeljen,
opredeljena pa je dovoljena in nedovoljena raba e-pošte oz. e-komunikacij z nameni
neposrednega trženja (glej ZEKom-UPB1, Uradni list RS z dne 15.2.2007). Medtem
ko v ZDA ''spam'' klasificirajo tisto e-pošto, ki je poslano večjemu številu
prejemnikov hkrati, je v Evropski uniji že sama uporaba e-pošte poslane z nameni
neposrednega trženja brez predhodne privolitve prejemnika, opredeljena kot kršitev
(glej Direktiva 2002/58/EC, člen 13, 2002 in CAN-SPAM Act, 2003, § 1037).
V zvezi z e-sporočili in neposrednim trženjem naj navedem še primer razsodbe
nemškega deželnega sodišča v Münchnu. Sodišče je leta 2002 razsodilo, da
pošiljanje e-sporočil z namenom neposrednega trženja brez predhodnega soglasja
zavezuje tudi politične stranke. To velja tudi v primeru, ko same niso pošiljatelj,
temveč zgolj omogočajo pošiljanje e-sporočil njim neznanim tretjim osebam (glej
Landgericht München I, 2002). V nemškem primeru je neka politična stranka na
svoji spletni strani omogočala svojim obiskovalcem pošiljanje e-razglednic, pri
čemer je bil kot pošiljatelj navedena politična stranka, ne pa obiskovalec, ki je poslal
e-razglednico. Sodišče se je sicer strinjalo, da politična stranka e-razglednic ni
poslala sama, vendar pa je z omogočanjem storitve pošiljanja e-razglednic, voljno in
stran 30
bistveno prispevala h končni protipravnosti in je tako odgovarjala kot sostorilec (glej
Jančič Bogataj, 2007).
Na podlagi omenjenega primera, lahko interpretiramo, da je v EU za pošiljanje
kakršnihkoli e-sporočil poslanih z namenom neposrednega trženja potrebno vedno
pridobiti predhodno soglasje. E-sporočila, ki npr. propagirajo politično ali versko
idejo lahko tako predstavljajo enako moteč in nezaželen element za prejemnika kot
je oglaševanje zdravilnega zelišča. Slovenski Zakon o volilni in referendumski
kampanji (ZVRK) pa v času volitev dovoljuje uporabo t.i. telekomunikacijskih
sporočil, vendar mora biti poleg impresuma naveden tudi naročnik take vsebine (glej
ZVRK, Uradni list RS z dne 11.5.2007).
3.2
UREDITEV OPT-IN IN OPT-OUT
Beseda ''opt'' etimološko izvira iz francoske besede opter oz. iz latinske besede
optare, ki pomenita 'sprejeti odločitev' s posebnim ozirom na korist nečesa. Izraza
OPT-IN in OPT-OUT sta v neposredni povezavi s privolitvijo prejemnika za prejem
e-sporočil, poslanih z namenom neposrednega trženja.
Če primerjamo zakonodajo ZDA in Evropske unije ugotovimo tudi, da imata celini
različen pristop k vprašanju, kdaj lahko pošiljatelj pošilja prejemniku/om e-sporočila
(komercialna/poslana z namenom neposrednega trženja). Ureditev oz. načelo OPTIN, kot jo upoštevajo v Evropski uniji, nalaga pošiljateljem, da ne smejo pošiljati esporočil z namenom neposrednega trženja, dokler nimajo od prejemnika izrecnega
predhodnega soglasja. V nasprotju z evropsko zakonodajo ameriški CAN-SPAM
ACT priznava OPT-OUT načelo, ki pravi, da se prejemniku lahko pošilja
komercialna e-sporočila, vendar samo toliko časa, dokler sam ne izrazi želje, da
komercialnih e-sporočil ne želi več prejemati. Za tovrstno ureditev torej ni predpogoj,
da je pošiljatelj s prejemnikom v že vzpostavljenem poslovnem odnosu, niti ni
potrebno imeti njegovega predhodnega soglasja. Vendar v kolikor prejemnik
zahteva prekinitev prejemanja je po CAN-SPAM zakonu kaznivo, če pošiljatelj
legalne zahteve po odjavi ne upošteva.
Prejemnik ima tako po ameriški kot po evropski zakonodaji pravico do odjave oz. do
izbrisa iz seznama prejemnikov e-sporočil (komercialnih/poslanih z namenom
neposrednega trženja), vendar je prejemnikova legalna zahteva po prekinitvi
prejemanja lahko zelo vprašljiva. Praksa je pokazala, da je odjava povzročila, da je
prejemnik po tem dejanju začel dobivati še več neželenih e-sporočil, kajti z odjavo je
prejemnik potrdil obstoj in veljavnost svojega e-naslova. Tako so razpečevalci
neželene e-pošte OPT-OUT funkcijo izkoristili še za množičnejše razmnoževanje
''spama''.
V
kontekstu
odjave
od
nadaljnjega
prejema
e-sporočil
(komercialnih/poslanih z namenom neposrednega trženja) je zato smiseln
razmislek, komu odgovarjamo na prejeto neželeno e-pošto.
Pred letom 2002 so države, ki so že imele uveden ''anti-spam'' zakon, narekovale
OPT-OUT pristop, med njimi ga je imela uvedenega tudi Evropska skupnost (glej
Directive 2000/31/EC). Z vedno večjim zavedanjem družbe o škodljivosti ''spama'' in
zlorabami zmožnosti odjave od nadaljnjega prejema e-sporočil, pa se počasi in
zanesljivo v zakonodajah uveljavlja OPT-IN pristop, ki je tudi v veljavi v Sloveniji.
stran 31
Slovenija je to pravilo dosledno izpeljala v Zakonu o varstvu potrošnikov (glej ZVPotUPB2 45. a člen), kasneje pa ga je tudi uvedla v Zakonu o elektronskih
komunikacijah (glej ZEKom-UPB1 109. člen).
3.3
ANALIZA RAZLOGOV ZA POŠILJANJE NEŽELENE E-POŠTE
Glavni razlog je v tem, da razpečevalci neželenih e-sporočil s tem služijo denar,
bodisi neposredno tako, da sami tržijo izdelke ali storitve, bodisi da to storitev
izvajajo za druge organizacije. V množici prejemnikov neželenih e-sporočil, ki jih
razpečevalci pošiljajo na milijone e-naslovov, je vedno prisoten majhen odstotek
ljudi, ki je pripravljena naročiti izdelek ali storitev, ki je oglaševana v prejetem esporočilu.
Del zaslužka pa predstavlja tudi trženje že zbranih e-naslovov. Največji ''spamerji''
imajo zbirke e-naslovov, ki presegajo več sto milijonov naslovov. Vedno se najdejo
take organizacije, ki so pripravljene plačati za e-naslove, še posebej, če so naslovi
urejeni po interesnih skupinah.
Z vidika dobička, ki ga prinaša razpošiljanje neželene e-pošte, imajo posredno s tem
dolgoročno korist tudi podjetja, ki izdelujejo namensko programsko/strojno opremo
za filtriranje neželene e-pošte. Tovrstna oprema ni vedno brezplačna in prinaša
izdelovalcem programske in strojne opreme nemajhen zaslužek. Poleg tega je
potrebno programsko in strojno opremo stalno nadgrajevati z novimi zmožnostmi,
podobno kot pri izdelovalcih protivirusne programske opreme.
Načinov, kako se razpečevalci neželene e-pošte dokopljejo do e-naslovov je več,
najpogosteje pa e-naslove pridobivajo iz:
• novičarskih diskusijskih skupin, klepetalnic, forumov (obstajajo primeri, ko je
uporabnik v nekaj minutah po registraciji v klepetalnico prejel neželeno esporočilo),
• spletnih strani na katerih so napisani e-naslovi (razpečevalci se poslužujejo
robotov, majhnih aplikacij, ki samodejno pregledujejo HTML vsebino spletnih
strani in iščejo zapis: <a href="mailto:x.y@domena.xy">),
• javnih imenikov (V Sloveniji: PIRS, IUS Software, Poslovni register Slovenije,
imeniki notarjev, odvetnikov, prevajalcev, telefonski imeniki, iBon, imeniki
internetnih ponudnikov),
• neposrednega sporočanja (ICQ, IRC, MSN Messanger, Skype),
• formularjev, ki jih izpolnjujemo za naročilo izdelka ali za registriranje na
spletnih straneh,
• verižnih pisem (obljubljanje sreče in hitrega zaslužka, nagovori k pomoči
bolnim in socialno šibkim),
• piškotkov (angl. cookies), kjer se zbirajo podatki o navadah uporabnikov,
• virusov in parazitskih (vohunskih) programov in trojanskih konjev, ki kradejo
in pošiljajo imenike iz terminalne opreme brez vednosti uporabnikov,
• brezplačnih programov z dodatno funkcionalnostjo (adware, spyware),
• seznama e-naslovov, ki so brezplačno ali proti plačilu na voljo na različnih
spletnih straneh (propadla dot.com podjetja, nelegalni prodajalci),
• z ugibanjem e-naslovov (uporaba naključnih besed, črk in znakov
x.y@hotmail.com, x.y@gmail.com...),
stran 32
•
•
•
•
s pomočjo spletnih hroščev (Web bugs), ki se nahajajo v e-sporočilih
(preverjanje veljavnosti e-naslovov, potrditev prejema e-sporočila),
strežniških zapisov z e-naslovi,
spletnih dnevnikov (angl. Weblogs),
od posrednikov, ki razpolagajo z bazami e-poštnih naslovov (angl. Email
Service Bureau).
Razpečevalce neželenih e-sporočil je zelo težko ustaviti, ker je e-pošta kot
tehnologija enostavna za uporabo in ne zahteva dodatnih stroškov, kot jih povzroča
pošiljanje komercialnih sporočil po klasični pošti. Dodatna težava, ki jo ''spamerji'' s
pridom izkoriščajo, je neurejena zakonodaja v posameznih državah. Analize, ki so jo
opravili evropski nacionalni regulatorji, kažejo, da največ neželene e-pošte navkljub
ameriškemu CAN-SPAM Act zakonu, ki določa pravila razpošiljanja komercialnih esporočil, prihaja iz Združenih držav Amerike. Naslednji problem, ki slabi zakonodajo,
je njena togost. Počasni procesi sprejemanja zakonov ne morejo slediti hitro
spreminjajoči se tehnologiji, tako da so novi zakoni zaradi zastarelosti precej
neučinkoviti.
3.4
STATISTIKA NEŽELENE E-POŠTE
Podatki o statistiki neželenih e-sporočil so osupljivi. Dnevno naj bi bilo v povprečju
poslano preko 61 milijard neželenih e-sporočil, pri čemer so v letu 2007 zaznali kar
63% porast. Statistike kažejo, da po vsebini predstavlja največji delež neželene epošte ponudba izdelkov in storitev (25%), sledijo jim finance s ponudbo hitrega
zaslužka (20%), z 15% sledi ponudba namenjena odraslim (pornografija), 7%
spletno gostovanje in izdelovanje spletnih strani, ponudba zdravil in pripomočkov
predstavlja 7%, zavajanje kupcev v obliki investiranja in piramidnih shem predstavlja
7%, ponudba počitnic, iger na srečo ter spletnih igralnic predstavlja 6%, ostalo pa
predstavlja verska, politična in druga vsebina (glej Evett, 2006). Ob pregledovanju
še drugih spletnih strani podjetij, ki izvajajo statistiko neželenih e-sporočil,
ugotavljam, da se deleži posameznih kategorij sporočil sicer rahlo spreminjajo,
vendar ostaja vrstni red nespremenjen.
Po statistiki, ki jo izvaja mednarodna neprofitna organizacija Spamhaus (glej
Spamhaus), ki se ukvarja s sledenjem in raziskavami pri razpečevanju neželene epošte, Združene države Amerike daleč prednjačijo.
V tabeli 4 je podan seznam držav, od koder je dne 24.7.2007, prišlo največ
neželene e-pošte.
stran 33
Tabela 4: Seznam držav od koder prihaja največ neželene e-pošte
(Vir: Spamhaus)
Vrstni
red
1
2
3
4
5
6
7
8
9
10
Država
ZDA
Kitajska
Rusija
Velika Britanija
Japonska
Južna Koreja
Nemčija
Kanada
Francija
Nizozemska
Delež
v%
51,84
12,99
6,70
4,81
4,70
4,61
4,42
3,54
3,38
3,02
4%
3%
3%
4%
ZDA
Kitajska
5%
Rusija
5%
Velika Britanija
Japonska
51%
5%
Južna Koreja
Nemčija
Kanada
7%
Francija
Nizozemska
13%
Po podatkih organizacije Spamhaus z dne 24.7.2007 (glej Spamhaus) so med
desetimi največjimi razpečevalci kar štirje iz Rusije, dva iz Ukrajine, po en
razpečevalec prihaja iz ZDA, Avstralije, Hong Konga in Izraela. S svojo aktivnostjo
daleč prednjačita Leo Kuvayev iz Rusije ter Alex Blood iz Ukrajine. Vendar v veliko
primerih ne gre več samo za posameznike temveč za dobro organizirano združbo
visoko usposobljenih strokovnjakov z dobrim znanjem in poznavanjem delovanja
interneta in programiranja.
3.5.
NAČINI RAZŠIRJANJA NEŽELENE E-POŠTE
Razpečevalci neželene e-pošte se za razširjanje ''spama'' poslužujejo različnih
tehnik, od uporabe tehničnih mehanizmov do socialnega inženiringa, vse pa z
namenom, da prikrijejo svojo identiteto in zavedejo prejemnika. Te tehnike
vključujejo lažno predstavljanje, pošiljanje neželene e-pošte preko okuženih
računalnikov, kakor tudi izrabe odprtih posredovalnih poštnih strežnikov.
Lažno predstavljanje je način, kjer ''spamer'' namenoma spremeni IP naslov svojega
računalnika ali pa spremeni glavo sporočila, ki nosi podatke o pošiljatelju in
prejemniku ter prenosne podatke. Ker sta IP naslov in glava sporočila bistvena
podatka, iz katerih lahko identificiramo izvornega pošiljatelja, nas lahko napačni
podatki popolnoma zavedejo. Primer lažnega prestavljanja so strežniki s storitvami,
ki omogočajo prepošiljanje e-sporočil, pri tem pa zakrijejo pravega pošiljatelja in
maskirajo njegov IP naslov. S tujko jih imenujemo 'Anonymous remailer' (anonimni
ponovni pošiljatelj). Strežnik, ki prejme e-sporočilo pošiljatelja, odstrani ali spremeni
podatke, vsebovane v glavi e-sporočila ter doda svoje podatke. Če e-sporočilo
potuje čez enega ali več takih strežnikov, se lahko popolnoma zakrije sled
izvornega pošiljatelja. Večina teh strežnikov je postavljenih v državah, ki nimajo
urejene zakonodaje.
Pri razpečevanju neželene e-pošte uporabljajo ''spamerji'' za dostop do interneta
tako širokopasovno žično kot tudi brezžično (angl. Wi-Fi) povezavo. Če ima pri
stran 34
žičnem dostopu do omrežja nadzor internetni ponudnik, velikokrat upravljavec
brezplačnega odprtega brezžičnega omrežja nima podatkov o uporabnikih, ki se
povezujejo v njegovo omrežje. Upravljavec sicer ob vzpostavitvi nove povezave dobi
podatek o terminalni opremi (prenosnik, dlančnik idr.), ki se želi priklopiti na omrežje,
vendar so ti podatki običajno zabrisani ali ponarejeni. Na ta način je priklop
razpečevalca v internet v večini primerov nezabeležen in skoraj nemogoče izsledljiv.
Po raziskavah ugledne evropske institucije ENISA (angl. European Network and
Information Security Agency) so okuženi računalniki, ki jih imenujemo zombiji danes
najmnožičnejši pošiljatelji neželenih e-sporočil (glej ENISA, 2006). Gre za
računalnike, ki so bili zaradi slabe zaščite in nevednosti uporabnikov okuženi s
škodljivo programsko opremo kot so virusi, črvi ali trojanski konji. Škodljiva
programska oprema se lahko brez vednosti in privolitve uporabnika namesti na
računalnik ob obisku določene spletne strani (še posebej so nevarne spletne strani s
pornografijo), z datoteko, prejeto po e-pošti ali z neposrednim sporočanjem (IRC,
MSN Messenger, Skype…) in s prenosom podatkov iz drugega računalnika oz.
prenosnega medija (disketa, USB disk, CD, DVD...). Če za viruse in črve lahko
rečemo, da predvsem uničujejo ali poškodujejo podatke na disku računalnika, so
trojanski konji tisti, ki na računalniku odpirajo vrata, preko katerih ima lahko ''heker''
možnost oddaljenega upravljanja računalnika in dostop do podatkov (glej
Brezavšček, 2007). Ko je dostop do računalnika odprt, ''heker'' na njem namesti
dodatno programsko opremo, ki mu daje neštete možnosti zlorabe.
Razpečevalci povezujejo okužene računalnike –''zombije'' v tako imenovana botnet
omrežja. ''Botnet'' je žargonsko ime za skupino računalnikov, za katere je značilno,
da uporabljajo skupno distribuirano programsko opremo in so vodeni z enega
mesta. Tako omrežje lahko šteje tudi več tisoč računalnikov. V ''botnet'' omrežju na
ukaz ''spamerja'' razpošiljajo e-sporočila v obliki ''spama'', iz računalnika pošiljajo
osebne podatke ali druge podatke zaupne narave. Velikokrat tako zlorabljene
računalnike množično uporabljajo za napad na druge sisteme, npr. napadejo
določeno domeno ali računalnik v internetu, česar posledica je nedelovanje njegove
internetne storitve. Organizaciji ali državni inštituciji lahko to posledično prinese
ogromno škodo, tako materialno kot nematerialno (izguba ugleda).
Drugi najbolj pogost način razširjenja neželene e-pošte je s pomočjo poštnih
strežnikov, ki omogočajo posredovanje (angl. relay) e-sporočil, brez zahteve po
avtentikaciji pošiljatelja. Gre za tako imenovane odprte strežnike (angl. Open Relay
ali Open Proxy), ki so nastavljeni tako, da lahko skozenj kdorkoli, ne samo lokalni
uporabnik, pošilja ali posreduje e-sporočila. Funkcija Open Relay oz. posredovanje
pošte je bila v začetkih uporabe e-pošte običajno privzeta nastavitev poštnih
strežnikov. Strežniki so bili večinoma povezani s počasnimi telefonskimi linijami,
zato je bilo ceneje in enostavneje, da je e-pošta prehajala od strežnika do strežnika,
dokler ni dosegla ciljnega strežnika prejemnika. Filtriranje e-sporočil in hitrost
prenosa ni bila prioriteta, prenos oglasnih e-sporočil pa je bil s predpisom
prepovedan. Čeprav ima večina izkušenih administratorjev poštnih strežnikov
funkcijo Open Relay izklopljeno, lahko v internetu še vedno najdemo množico
strežnikov, kjer je funkcija vklopljena in jo razpečevalci izkoriščajo za masovno
pošiljanje neželene e-pošte brez vednosti upravljavca poštnega strežnika. Pravilno
nastavljen poštni strežnik sme procesirati le tista e-sporočila, ki izvirajo iz istega
omrežja, oz. sprejemati zahtevo za pošiljanje le od avtoriziranih računalnikov oz.
uporabnikov. Iz povedanega lahko zaključimo, da lahko administratorji poštnih
stran 35
strežnikov s pravilnim upravljanjem takih strežnikov bistveno pripomorejo k
omejevanju razširjanja neželene e-pošte.
stran 36
4
MODEL PREPREČEVANJA NEŽELENE E-POŠTE
Kot je bilo že uvodoma omenjeno, enostavna in enolična rešitev za preprečevanje
širjenja neželene e-pošte ne obstaja. Dokler bo obstajala možnost, da pošiljatelji s
razpošiljanjem neželene e-pošte posredno ali neposredno služijo denar in pri tem
nimajo izgube, se bo invazija razpošiljanja nadaljevala. Razpečevalci so dobro
organizirani in posedujejo nadpovprečno visoko stopnjo tehničnega znanja.
Nemalokrat kažejo ugotovitve raziskovalcev tudi na to, da so razpečevalci ''spama''
povezani z organiziranim kriminalom, kot so npr. kreditne prevare, trgovina z
nedovoljenimi zdravili in pornografijo.
Navkljub vsemu pa obstaja več načinov, kako širjenje neželene e-pošte preprečiti ali
vsaj omejiti. Glede na pristop, bi ukrepe za zaščito pred ''spamom'' razdelil na
naslednje tri sklope:
1. tehnični mehanizmi za preprečevanje neželene e-pošte,
2. vzpostavitev učinkovite zakonodaje,
3. ozaveščanje uporabnikov e-pošte.
(a Te
vt hn
en i č
tik ni
m
se acij eh
zn a, an
am filt iz
i) rira mi
nj
e,
Čeprav vsak od naštetih mehanizmov doprinese k uspešnemu zmanjšanju
razširjanja neželene e-pošte, sem prepričan, da le učinkovit skupen pristop lahko
pripomore k zajezitvi problema, kar je prikazano na sliki 12.
Vz
p
uč ostav
i
za nko itev
ko
no vite
da
je
Model
preprečevanja
neželene
e-pošte
Ozaveščanje
uporabnikov
Slika 12: Model preprečevanja neželene e-pošte
V nadaljevanju bodo posamezni sklopi ukrepov podrobneje razdelani. Podani bodo
priporočila, ki bodo uporabna tako za končne uporabnike kakor tudi za upravljavce
poštnih strežnikov.
stran 37
4.1 TEHNIČNI MEHANIZMI ZA PREPREČEVANJE NEŽELENE EPOŠTE
Celovita tehnična rešitev, ki bi zagotavljala popolno zaščito zoper neželeno e-pošto,
na žalost ne obstaja. Količino neželene e-pošte pa lahko omejimo z različnimi
ukrepi, ki jih lahko, kot je prikazano na sliki 13 implementiramo na različnih nivojih
potovanja e-sporočila. Posamezno rešitev lahko implementiramo na nivoju poštnega
strežnika pošiljatelja, na nivoju strežnika prejemnika, na nivoju uporabnika kot tudi
na vseh vmesnih omrežnih napravah in strežnikih skozi katere potuje e-sporočilo.
Slika 13: Prikaz zaščite na posameznih segmentih
4.1.1
Tehnične rešitve na strežniku pošiljatelja
Najbolj uspešen pristop za zajezitev neželene e-pošte se lahko izvaja na mestu, kjer
e-pošta prihaja v omrežje. To je običajno na mestu strežnika internetnega
ponudnika ali strežnika organizacije. Rešitve, ki jih lahko izvajamo na izvornem
strežniku (strežniku pošiljatelja) obsegajo različne metode in pristope. Najpogosteje
so v uporabi naslednje:
• nadzor prometa na vratih 25,
• preverjanje avtentičnosti domene in pošiljatelja,
• uporaba seznamov,
• obračunavanje storitve pošiljanja e-sporočil.
Nadzor prometa na vratih 25
Kot smo že omenili pri razlagi delovanja SMTP protokola, ki skrbi za pošiljanje esporočil, se e-sporočila pošiljajo po TCP protokolu z uporabo vrat 25. Če bi
analizirali promet med odjemalcem in strežnikom, bi ugotovili, da vsakokrat, ko
odjemalec vzpostavi povezavo in pošilja e-sporočila, pri tem uporablja vrata 25. Če
na strani izvornega SMTP strežnika torej preverjamo, kateri odjemalci uporabljajo
vrata 25, lahko s pomočjo usmerjevalnika ali požarne pregrade promet pošte
filtriramo. V kolikor je promet normalen in ne odstopa od povprečja, lahko promet
spuščamo naprej, v nasprotnem pa filtriramo. Pri filtriranju tukaj ne preverjamo
vsebine komunikacije, ker je to po zakonu prepovedano, lahko pa preverjamo in
nadziramo količino prometa, ki je bila poslana skozi določena vrata. Količino
prenesenega poštnega prometa lahko tako zaznavamo na minuto, na uro ali na dan.
stran 38
Seveda moramo razlikovati med velikimi organizacijami, ki imajo veliko poštnega
prometa in med posamezniki.
Če se računalnik domačega uporabnika okuži s trojanskim konjem in tako postane
''zombi'' in del omrežja ''botnet'', lahko to internetni ponudnik zazna, saj računalnik
odda v določenem časovnem obdobju bistveno več prometa (najbrž ''spama''), kot je
to običajno.
Preverjanje avtentičnosti domene in pošiljatelja
Za preverjanje avtentičnosti domene pošiljatelja obstaja kar nekaj metod.
Najosnovnejša je tista, kjer strežnik preverja, če domena, ki je zapisana v glavi esporočila, obstaja. Ko strežnik e-sporočilo prejme, preveri zapis v polju From in
zapis MX, ki se nahaja v DNS strežniku pošiljatelja. Če se podatka ne ujemata, esporočila ne sprejme in ga zavrne.
V izogib ponarejanju naslova domene pošiljatelja je nastal dodatek k protokolu
SMTP, ki se imenuje SPF (angl. Sender Policy Framework). Le ta omogoča poštnim
strežnikom enostavno zaznavanje avtoriziranih in neavtoriziranih strežnikov za
določeno domeno. To pomeni, da so v bazi DNS zapisani in objavljeni samo tisti IP
naslovi poštnih strežnikov, ki so avtorizirani za pošiljanje e-sporočil. Podatek, ki ga
SPF preverja je zapis MAIL FROM, ki se nahaja v ovojnici e-sporočila. Že med
SMTP dialogom med strežniki, preko DNS poizvedbe, prejemnikov strežnik preveri
pošiljateljevo domeno in IP naslov za SPF zapis. Na podlagi zapisa lahko dobimo
naslednje odgovore:
•
•
•
•
•
•
•
Pass – strežnik je avtoriziran za pošiljanje pošte za domeno primer.com
Fail – domena primer.com prepoveduje pošiljanje pošte s strežnika xxx.xxx.com
SoftFail – domena “misli”, da strežnik ni avtoriziran za pošiljanje pošte, vendar
tega ne trdi
Neutral – domena ima “mešane občutke” glede pošiljateljevega strežnika “niti
DA niti NE”
None – domena je brez SPF zapisa ali domena ne obstaja
TempError – napaka pri preverjanju SPF zapisa
PermError – SPF ne more biti pravilno interpretiran – napačna sintaksa zapisa
SPF
Na podlagi rezultatov se mora prejemnikov strežnik odločiti, kako se bo odzval na esporočilo.
Podoben princip preverjanja avtentičnosti domene je tudi mehanizem imenovan
Sender ID. Po tem principu se preverja glava e-sporočila (RFC 2822) in ne ovojnica
(MAIL FROM), kot pri mehanizmu SPF. Sender ID je sicer lastniški Microsoftov
protokol, ki izhaja iz mehanizma SPF, vendar ima svoj algoritem preverjanja
domene, imenovan PRA (angl. Purported Responsible Address) (glej Mehnle,
2007).
Naslednji možen način avtentikacije domen poštnih strežnikov in zagotavljanje
integritete e-sporočila je sistem, ki so ga poimenovali domenski ključi (angl.
DomainKeys). Gre za popolnoma nov standard, ki ga je sprejela organizacija IETF
(angl. Internet Engineering Task Force) maja 2007, čeprav začetki uporabe ključev
segajo že v leto 2004, ko jih je uvedlo podjetje Yahoo. Standard v sistem prenosa eUrban Kunc: Model preprečevanja neželene elektronske pošte
stran 39
sporočil uvaja nov protokol DomainKey Identified Mail, ki zagotavlja tako celovitost
samega e-sporočila kot preverjanje avtentičnosti pošiljatelja. Ko prvi strežnik
pošiljatelja prejme e-sporočilo od odjemalca, na glavi in telesu e-sporočila izvede
zgoščevalno funkcijo, na podlagi katere dobi izvleček (prstni odtis) e-sporočila.
Dobljeni prstni odtis šifrira s svojim privatnim ključem domene (asimetrični RSA
šifrirni mehanizem). Rezultat je digitalni podpis s identifikacijo domene pošiljatelja.
Digitalni podpis doda kot samostojno DKIM glavo obstoječemu e-sporočilu ter vse
skupaj pošlje naprej poštnem strežniku prejemnika. V procesu pošiljanja e-sporočila
skozi omrežje lahko katerikoli MTA agent, ki sprejeme e-sporočilo izvede
preverjanje podpisa, vendar običajno to izvaja le strežnik prejemnika. Ko SMTP
strežnik prejemnika e-sporočilo prejme, mora preveriti podpisano DKIM glavo s
pomočjo pošiljateljevega javnega ključa, ki je dosegljiv v DNS sistemu (nov zapis v
DNS-u: _DomainKeys). Poizvedba v DNS vrne javni ključ domene pošiljatelja, s
katerim sprejemni strežnik preveri prstni odtis v glavi e-sporočila ter obenem
preračuna prstni odtis na telesu e-sporočila. Če je preverjanje uspešno, ima strežnik
zagotovilo, da je pošiljatelj pravi. DomainKeys je neodvisen od SMTP protokola in
deluje v skladu s standardom RFC 2822, ki določa glavo in telo e-sporočila (glej
Alman, DomainKeys Identified Mail).
Poleg SPF zapisa in DomainKeys obstajajo še nekateri drugi pristopi, vsem pa je
skupno, da poskušajo zagotoviti mehanizem, ki bi zagotavljal preverjanje
avtentičnosti domene in onemogočal lažno predstavljanje pošiljatelja.
Avtentikacijo pošiljatelja e-sporočila je omogočila nadgradnja SMTP protokola, ki se
imenuje ESMTP (Extended/Enhanced SMTP). SMTP-AUTH se lahko uporablja kot
dodaten element identifikacije, ki omogoča, preverjanje pošiljatelja, preden
sprejmemo njegovo e-pošto. V kolikor ima strežnik funkcijo SMTH-AUTH
implementirano, se mora vsak pošiljatelj pred pošiljanjem e-sporočila identificirati z
uporabniškim imenom in geslom, s tem pa tudi preprečimo, da strežnik ni zlorabljen
za pošiljanje s strani neregistriranih uporabnikov. Za razliko od klasičnega SMTP
protokola, ki pri sporazumevanju s drugo stranjo uporablja vrata 25, se pri uporabi
ESMTP protokola v komunikaciji običajno uporabljajo vrata 465 ali 587, vrata 25 pa
so lahko za vse komunikacijske seje na požarni pregradi zaprta. SMTH-AUTH je
podprt tako v odjemalcih za e-pošto kot v programski opremi poštnih strežnikov.
Slika 14 nam prikazuje, kje lahko na poštnem odjemalcu Outlook Express nastavimo
SMTH-AUTH. Z gumbom Settings dopišemo še zahtevano uporabniško ime in
geslo, na jezičku Advanced v polju za Outgoing mail (SMTP) pa vpišemo številko
vrat 465 ali 587 (odvisno od internetnega ponudnika). Uporabniško ime in geslo, ki
se ga vpiše v razdelku 'Incoming Mail Server', se uporablja za preverjanje
uporabnika pri dostopu do poštnega predala, ne pa za avtentikacijo pošiljatelja.
stran 40
Slika 14: Prikaz nastavitve SMTH-AUTH na poštnem odjemalcu Outlook Express
Uporaba seznamov
Pri razlikovanju ''dobrih'' in ''slabih'' poštnih strežnikov so nam lahko v pomoč
seznami. Poznamo več vrst takih seznamov. Glede na njihovo uporabo se delijo na
bele, sive in črne sezname. Večino seznamov delujejo po principu preverjanja
domene ali IP naslova pošiljatelja.
Beli seznami predstavljajo seznam domen, IP naslovov strežnikov in pošiljateljev,
katerim lahko zaupamo in praviloma ne pošiljajo neželena e-sporočila. V kolikor je
pošiljatelj že zapisan v bel seznam, se e-sporočilo samodejno procesira naprej v epoštni predal prejemnika.
Večina legalnih poštnih strežnikov je nastavljena tako, da v primeru nedosegljivosti
strežnika prejemnika, e-sporočilo začasno shrani, po preteku določenega časa pa
ga ponovno poskuša poslati. To funkcijo uporabljajo sivi seznami. Ko strežnik
prejemnika e-sporočilo prejme, najprej preveri strežnik pošiljatelja, e-naslov
pošiljatelja ter e-naslov prejemnika s podatki, ki jih ima v bazi. Če je trojica naštetih
podatkov že na belem seznamu, torej preverjena, strežnik procesira e-sporočilo
naprej v poštni predal prejemnika. V nasprotnem oddaljeni strani namenoma
odgovori, da predaja zaradi začasne napake ni uspela, obenem pa si to zapiše v
svojo bazo. Legalni poštni strežnik običajno po nekem obdobju e-sporočilo pošlje
ponovno, za razliko od strežnika razpečevalca, ki običajno e-sporočil ne pošilja
ponovno. Ko oddaljeni strežnik e-sporočilo ponovno pošlje čez določen čas, filter esporočilo procesira naprej do poštnega predala prejemnika, obenem pa podatke o
pošiljatelju zavede v beli seznam, kar pomeni, da ga bo ob prejemu njegovega
naslednjega e-sporočila spustil naprej brez preverjanja.
Črni seznami predstavljajo sezname domen, IP naslovov strežnikov in pošiljateljev
od katerih množično prihaja neželena e-pošta, zato je e-poštni promet iz teh
strežnikov blokiran ali vsaj omejen.
stran 41
Eden ta hip najbolj popularnih, ''črnih'' seznamov, ki ni edini, se gradi v okviru
prostovoljnega projekta Spamhaus, ki je v pomoč mnogim internetnim ponudnikom,
vladam, velikim ponudnikom brezplačne e-pošte in še mnogim drugim upraviteljem
poštnih strežnikov. Spamhaus je odgovoren za tri vrste seznamov: SBL seznam
(angl. Spamhaus Block List), XBL seznam (angl. Exploits Block List) in za PBL
seznam (angl. Policy Block List). SBL seznam je črni seznam in vsebuje IP naslove
''spam'' združb in internetnih ponudnikov, od katerih masovno prihaja neželena epošta.
XBL seznam združuje IP naslove računalnikov, ki so bili okuženi s škodljivo kodo in
ki običajno brez vednosti lastnikov masovno pošiljajo neželeno e-pošto. V ta
seznam spadajo tudi strežniki, ki delujejo v funkciji posredovalnega poštnega
strežnika (Open Relay). PBL seznam združuje nabor dinamičnih in statičnih IP
naslovov, katerim ni dovoljeno vzpostavljati neposredne SMTP povezave brez
predhodnega dovoljenja. PBL seznam izvaja predvsem razmejitev med legitimnimi
in nelegitimnimi IP naslovi, s katerih lahko prispe e-pošta. Na osnovi podatka iz
februarja 2007 (glej Schwartzman, 2007) je v PBL seznamu preko 226 milijonov IP
naslovov, ki so blokirani.
Vsi ponudniki, ki so naročeni na storitev uporabe seznamov (DNSBL – Domain
Name Service Black List), domeno, IP ali e-naslov pošiljatelja vsakega e-sporočila
primerjajo s podatki in kriteriji, ki so zavedeni v posameznem seznamu. V kolikor je
odgovor pozitiven, (pošiljatelj je na listi blokiranih), se vsa e-pošta s tega e-naslova
ali IP številke zavrže oz. onemogoči prehod naprej. Slabost teh seznamov je v tem,
da se na seznamu lahko znajdejo tudi strežniki nedolžnega internetnega ponudnika,
ki gosti pošiljatelja. Da ne bi prihajalo do zavračanja e-pošte s strani nedolžnega
internetnega ponudnika, se črne sezname lahko uporablja le kot pomožni
pripomoček pri ugotavljanju verjetnosti, da je neko e-sporočilo neželeno. Črni
seznam se zato praviloma kombinira z drugimi filtrirnimi rešitvami.
Obračunavanje storitve pošiljanja e-sporočil
Eden od modelov preprečevanja neželene e-pošte, ki je tema burnih polemik, je
plačilo po poslanem e-sporočilu. Gre verjetno za najbolj skrajni ukrep, ki bi ga morali
uvesti, da bi preprečili masovno pošiljanje neželene e-pošte. Ideja je, da bi moral
pošiljatelj za vsako poslano e-sporočilo plačati zelo majhen znesek. Naj za primer
omenim, da tudi za SMS sporočila plačujemo, pa čeprav se pošiljajo po nadzornem
kanalu mobilnega omrežja in ne zasedajo veliko pasovne širine (največ 160
znakov). V primeru običajnega uporabnika e-pošte, je količina e-sporočil majhna in
ne bi povzročala velikih stroškov. V primeru organizacij je ta količina že bistveno
večja, kar pomeni, da bi bili tudi stroški večji. Če hipotetično vzamemo, da uporabnik
dnevno pošlje 100 e-sporočil in da za posamezno e-sporočilo plača 0.1 centa,
potem je to 3 € na dan oz. 36 € letno. To pa je že strošek, ki bi ga moral plačati
uporabnik za profesionalno programsko opremo, s katero se bori zoper neželeno epošto. V primerjavi s razpečevalci, ki dnevno pošiljajo preko milijon neželenih esporočil, je ta znesek bistveno večji.
Ideja sloni na centralizirani arhitekturi strežnikov, ki obdelujejo vse zahteve po
pošiljanju e-sporočil. Če želi pošiljatelj poslati e-sporočilo, svojo zahtevo naslovi
neposredno na centralni strežnik, ki preveri, če ima pošiljatelj odprt račun z
ustreznim finančnim kritjem za pošiljanje e-sporočil. Če račun in kritje obstaja,
strežnik pošlje pošiljatelju šifrirano potrdilo (ključ), z računa odšteje sorazmerni del
plačila za poslano e-sporočilo, ključ in serijsko številko pa shrani. Ko sprejemni
stran 42
računalnik e-sporočilo pošiljatelja prejme, pošlje generirano serijsko številko
centralnemu strežniku in v potrditev zahteva ključ s katerim preveri, če je bilo esporočilo plačano. Centralni strežnik pošlje prejemniku v potrditev plačila ključ,
transakcijo pošiljanja in preverjanja plačila pa zaključi.
Drugi način obračunavanja pošiljanja e-sporočil, ki ga predlagajo pri Microsoftu, ni
plačilo v denarju, temveč obračunavanje po času obdelave vsakega e-sporočila.
Projekt, na katerem delajo raziskovalci Microsofta, so poimenovali Penny Black in
ima analogijo britanskemu poštnemu sistemu v tridesetih letih prejšnjega stoletja.
Britanski poštni sistem je pred letom 1930 zaračunaval pošiljanje pisem na podlagi
teže pisma ter oddaljenosti prejemnika, račun pa je moral poravnati prejemnik in ne
pošiljatelj. Z uvedbo znamke imenovane Penny Black, se je obračunavanje pisem
poenotilo na skupno, enotno nizko ceno, strošek pošiljanja pa se je prenesel na
pošiljatelja. Podobno zdaj razmišlja Microsoft, ki predlaga, da bi moral vsak
pošiljatelj e-sporočila, ki ga prejemnik ne pozna, dokazati, da je za vsako e-sporočilo
porabil določeno količino svojih strojnih zmogljivosti (procesnih, pomnilniških..).
Pristop je čisto ekonomski. V kolikor bi se ta model sprejel, bi za razpečevalca, ki
pošilja milijone e-sporočil dnevno, pomenilo, da bi moral investirati ogromno denarja
v strojno opremo. (glej Microsoft, Project Penny Black).
4.1.2
Tehnične rešitve na strežniku prejemnika
Tehnične rešitve, ki jih izvajamo na strežniku prejemnika so lahko naslednje:
•
•
•
•
•
preverjanje avtentičnosti domene in strežnika pošiljatelja;
uporaba seznamov poštnih strežnikov;
določanje meje e-sporočil, ki jih še sprejmemo iz pošiljateljevega strežnika;
preverjanje vsebine e-sporočil,
izračunavanje kontrolne vsote (prstnega odtisa).
Ciljni strežnik oz. strežnik prejemnika je običajno tisti del prenosne poti, kjer je
najbolj problematično implementirati ustrezno tehnično rešitev. Če predstavlja esporočilo za nekoga koristno informacijo, je lahko to isto e-sporočilo za drugega
neželeno. S tega stališča je zato zelo težko najti rešitev, ki bo ustrezala obema
stranema. Kljub vsemu je zelo zaželeno tudi na ciljnem strežniku vzpostaviti
mehanizem filtriranja. E-poštni predal uporabnika je omejen, zaradi česar lahko
velika količina prejete neželene e-pošte povzroči zavračanje legitimnih e-sporočil, po
drugi strani pa zahteva od uporabnika, da ima za dostop do interneta in svojega
poštnega strežnika dovolj veliko pasovno širino, da bo lahko prenesel vsa esporočila na svoj računalnik. To še posebej velja za mobilne uporabnike in pa tiste,
ki še vedno uporabljajo klicno PSTN ali ISDN modemsko povezavo.
Preverjanje avtentičnosti domene, strežnika pošiljatelja in uporaba seznamov
Podobno kot smo na izvornem strežniku preverjali avtentičnost domene in strežnika
pošiljatelja, lahko tako preverjanje izvedemo tudi na strežniku prejemnika. Prav tako
zmanjšamo količino neželene e-pošte, če uporabljamo sezname. Še posebej
uspešni so se izkazali sivi seznami (angl. Greylist), kateri proces sem opisal v
prejšnjem poglavju.
stran 43
Določanje meje e-sporočil, ki jih še sprejmemo iz pošiljateljevega strežnika
Bolj konzervativen pristop pri filtriranju e-pošte dosežemo, če določimo mejo esporočil, ki smo jih pripravljeni sprejeti od strežnika pošiljatelja v določenem
časovnem obdobju. Če bomo prejeli več e-sporočil, kot nam dopušča nastavljena
meja, se izvorni strežnik obvesti o tem, da mora poskušati kasneje. Tudi čas
zakasnitve, ko je strežniku dovoljeno ponovno pošiljati, lahko dinamično nastavimo.
Zgornja meja e-sporočil, ki jo določimo, naj bo izbrana na podlagi izkušenj in
statistike. Malo verjetno je, da je eno samo e-sporočilo, ki je namenjeno petdesetim
ali več prejemnikom v eni sami domeni, legalno. Način omejevanja števila e-sporočil
z enega vira lahko v številnih primerih zajezi napad na domeno z ugibanjem enaslova prejemnikov (glej Donnerhacke, Teergrubing FAQ).
Preverjanje vsebine e-sporočil
V e-sporočilu lahko tudi preverjamo vsebino, vendar je to z vidika varstva zasebnosti
zelo sporno. Lahko se na podlagi politike odločamo, da npr. vse priponke esporočila, ki vsebujejo izvršljive datoteke (.scr, .exe, .bat….) ali stisnjene datoteke
(.zip, .rar), brišemo ali posredujejo v karanteno. Enako morajo filtrirni mehanizmi
preverjati e-sporočila, ki vsebujejo slike (angl. Image spam) ali kodo zapisano v
HTML obliki e-sporočil. V karanteno moramo prestaviti tudi vsa tista e-sporočila, za
katere lahko z gotovostjo trdimo, da vsebujejo škodljivo programsko kodo. Enako so
lahko problematični MS Word datoteke, Excel ali Adobe PDF, kajti tudi v njih se
lahko skrivajo makro ukazi ali pa prikrito oglaševanje.
Izračunavanje prstnega odtisa e-sporočila
Eden od praktičnih pristopov k filtriranju e-sporočil je tudi način, kjer vsakemu
prejetemu e-sporočilu izračunamo kontrolno vsoto (prstni odtis), dodamo število
prejemnikov, ki so sporočilo prejeli, podatek pa shranimo v podatkovno bazo.
Vsakokrat, ko strežnik prejme novo e-sporočilo, se kontrolna vsota na e-sporočilu
sprotno izračuna in preverja z že zapisanimi vnosi, shranjenimi v podatkovni bazi.
Če vnosa v bazi ni, se ga doda, če pa vnos že obstaja, se preveri število
prejemnikov, ki so že prejeli isto e-sporočilo. Če število prejemnikov istega sporočila
z isto kontrolno vsoto presega določeno vrednost, se e-sporočilo zavrže, v
nasprotnem pa se v baznem zapisu število prejemnikov poveča za 1. Tako
preverjanje lahko implementiramo le na enem strežniku, ki ima veliko poštnih
predalov. Primer tega so lahko npr. internetni ponudniki, ki imajo veliko svojih
uporabnikov (glej Rhyolite Software, 2007).
Ne glede na to, kakšen pristop filtriranja je bil na strani strežnika prejemnika
uporabljen, uporabnik mora ohraniti možnost, da se sam odloča ali se za njegov epoštni predal izvaja filtriranje e-sporočil ali ne. V poslovnih sistemih in drugih pravnih
subjektih naj bo to opredeljeno v pravilnikih, zaposleni pa morajo biti o tem
obveščeni. V kolikor pa se filtriranje e-sporočil izvaja, naj e-sporočila, ki so ocenjena
kot neželena, dobijo ustrezno oznako (npr. ***SPAM***) iz katere je hitro razvidna
narava e-sporočila. Uporabnik pa se naj v nadaljevanju sam odloča, kako bo ravnal
s e-sporočilom.
stran 44
4.1.3
Omejevanje neželene e-pošte na nivoju končnega uporabnika
Če je bilo potrebno na strežniški strani izvajati bolj pasivne ukrepe, smo lahko na
strani odjemalca bistveno bolj agresivni. Uporabnik je namreč edini, ki se lahko sam
odloča, katera e-sporočila so za njega neželena in katera niso. Najpogosteje so v
uporabi naslednji trije pristopi:
• statično filtriranje,
• adaptivno filtriranje,
• uporaba seznamov pošiljateljev.
Kot pri vseh drugih načinih filtriranja, je tudi tukaj kombinirana uporaba vseh treh
mehanizmov najbolj uspešna.
Statično filtriranje
Statično filtriranje je najbolj osnovno filtriranje e-sporočil. Uporabnik s pomočjo
predhodno definiranih pravil določi, kaj se bo s prejetim e-sporočilom zgodilo. Če esporočilo izpolnjuje eno od določenih pravil, se ga lahko briše, kopira, usmeri v
določeno pred pripravljeno mapo ali posreduje naprej drugemu prejemniku.
Mehanizem odločanja temelji na podlagi vsebine, ki jo programska oprema lahko
prebere v poljih glave ali telesa prejetega e-sporočila. Primeri takih so:
• E-naslov pošiljatelja,
• Naslov zadeve,
• Datum e-sporočila,
• Tipi priponk,
• Format sporočila (besedilo ali HTML).
Slika 15 prikazuje primer pravil, ki jih lahko nastavimo na poštnem odjemalcu
Outlook Express
Slika 15: Primer uporabe pravil statičnega filtriranja
stran 45
Statično filtriranje je pri razpoznavi neželene e-pošte velikokrat neuspešno, ker si
razpečevalci vedno znova izmišljujejo nove ključne besede ali spreminjajo
obstoječe. Če smo nastavili filter za brisanje e-sporočil, ki vsebujejo besedo viagra,
lahko v naslednjem e-sporočilu dobimo to besedo kot vi@gra. Filter besede ne bo
prepoznal in bo e-sporočilo uvrstil med regularna e-sporočila. Enako je z e-naslovi
pošiljateljev.
Adaptivno filtriranje
Bolj uspešen pristop k filtriranju e-sporočil je adaptivno statistično filtriranje. Med
najbolj popularnimi predstavniki takega filtriranja je Bayesian filtriranje. Bayesian
filtriranje deluje na principu uporabe statističnih metod, s katerimi e-sporočila
analiziramo in kategoriziramo v posamezne skupine. Določene besede imajo
določeno verjetnost (npr. beseda viagra), da jih lahko opredelimo kot neželene.
Bayesian filter, ki je del programske opreme poštnega strežnika ali odjemalca za epošto, učimo tako, da mu v njegov slovar dodajamo besede, ki so za nas moteče, in
predstavljajo verjetnost, da gre za neželeno e-pošto. Z vsako dodatno besedo, ki se
pojavi v e-sporočilu in ki je vsebovana v slovarju prepovedanih besed, filter dviguje
verjetnost, da gre za neželeno e-sporočilo. Ko število prepovedanih besed doseže
določen prag, filter e-sporočilo premakne v določeno mapo ali ga izbriše.
Novejši pristop z Bayesian metodo je način, kjer ponudnik ''anti-spam'' programske
opreme v internetu postavi enega ali več strežnikov, ki se povezujejo s programsko
opremo, ki je nameščena kot dodatek k odjemalcu za e-pošto. Ko uporabnik prejeto
e-sporočilo zaznamuje kot neželeno, se nad celotnim e-sporočilom izvede
zgoščevalna funkcija, ki mu dodeli unikatni prstni odtis. Zgoščen podatek o esporočilu (prstni odtis) se samodejno zavede v programski opremi postavljenih
strežnikov. Na ta način nastaja velikanska baza neželenih e-sporočil. Če je isto esporočilo prejelo več sto tisoč uporabnikov in so ga v programski opremi
zaznamovali kot neželeno, lahko filter v programski opremi že pri sprejemanju esporočil v centralni bazi samodejno preverja, ali je prejeto e-sporočilo na seznamu
neželenih in ga samodejno briše ali premakne v določeno mapo. (glej Graham,
2002).
Bistvena prednost adaptivnega filtriranja pred statičnim je torej predvsem ta, da se
preverja celotno e-sporočilo, ne pa samo posamezne besede ali pošiljatelji, ki se
neprestano spreminjajo.
Seznami pošiljateljev
Eden od načinov filtriranja e-sporočil je tudi oblikovanje seznama pošiljateljev, ki so
naši člani družine, prijatelji ali poslovni partnerji (beli seznam) in, ki jim dovoljujemo,
pošiljanje e-sporočil, ali pa tistih, ki jim ne zaupamo in njihova e-sporočila
samodejno brišemo (črni seznam).
Če bi izvajali filtriranje samo na podlagi črnega seznama, bi bili dolgoročno zelo
neuspešni, saj razpečevalci neželenih e-sporočil neprestano spreminjajo in
ponarejajo svoje e-naslove. Beli seznam je bistveno boljši pristop, saj uporabnik
sam ročno dodaja na seznam oz. v imenik e-naslove oseb, ki jim zaupa. Beli
seznam se je najbolj prijel v programih neposrednega sporočanja, kot so npr.
Skype, MSN Messenger idr..
Postopek preverjanja pošiljatelja je sledeč:
stran 46
Ko e-sporočilo prispe, program preveri, ali je pošiljateljev e-naslov na beli listi. Če je,
e-sporočilo procesira naprej v mapo prejetih e-sporočil, v nasprotnem pa so možni
trije načini, kako se lahko obravnava e-sporočilo:
1. e-sporočilo se prestavi v karanteno, kjer čaka na ročno pregledovanje
vsebine,
2. e-sporočilo gre skozi preostale mehanizme filtriranja (statično ali adaptivno
filtriranje),
3. izvede se preverjanje, ali je pošiljatelj e-sporočila človek ali stroj
V kolikor moramo pošiljatelja preverjati, programska oprema samodejno pošlje
pošiljatelju e-sporočilo, v katerem mu pošlje sliko, sestavljeno iz kombinacije črk in
številk, ki jih mora pošiljatelj potrditi. Če je na strani pošiljatelja programska oprema
s skripto ukazov, ki samodejno razpošilja neželena e-sporočila, prejete kombinacije
črk in številk iz slike ne bo znala razbrati, zato na zahtevo ne bo znala odgovoriti. V
nasprotnem pa, če je pošiljatelj izvornega e-sporočila človek, iz slike ne bo težko
prepoznati kombinacije ter jo poslati nazaj v potrditev. Ko prejemnik potrditev
pošiljatelja prejme, se njegov e-naslov samodejno uvrsti na beli seznam. Vsako
naknadno e-sporočilo s strani tega pošiljatelja se bo kasneje legitimno uvrstilo v epoštni predal prejemnika.
Sistem preverjanja, ki ugotavlja ali je pošiljatelj človek ali stroj, srečamo v tuji
literaturi pod kratico CAPTCHA (angl. Completely Automated Public Turing to tell
Computers and Humans Apart) oz. Turingov test. CAPTCHA se najpogosteje
uporablja za preprečevanje samodejne prijave na spletne storitve, pri ustvarjanju
novega spletnega e-računa (npr. Yahoo, MSN Hotmail, Gmail idr.) ali za
preprečevanje množičnega razpošiljanja neželenih e-sporočil.
Primer CAPTCHA oz. Turingovega testa je ponazorjen na sliki 16. Vidimo, da test
vsebuje kombinacijo črk in številk (X29JTUN3), ki jih ljudje lahko preberemo, stroj pa
brez izredno velike procesne zmogljivosti in ustrezne programske opreme tega ni
sposoben narediti.
Slika 16: CAPTCHA test
Žal ima pa sistem zahteva–odgovor tudi pomanjkljivosti. Če pošiljatelju potrdimo
obstoj svojega e-naslova, s tem, da mu pošljemo zahtevo po potrditvi, lahko v
prihodnje pričakujemo še več njegovega ''spama''. Druga slabost je v tem, da
pošiljatelj, ki je morda poslal legalno povpraševanje po izdelku ali storitvi, ni
pripravljen na zahtevo odgovarjati in bo povpraševanje poslal drugemu ponudniku.
Kot smo lahko prebrali, obstaja veliko metod in pristopov za filtriranje e-sporočil. Ker
nobena od posameznih navedenih metod ni popolnoma uspešna je najučinkovitejše,
da kombiniramo vse navedene principe filtriranja. Najbolj smo lahko uspešni, če
neželena e-sporočila filtriramo čim bližje izvoru, torej na mestu, kjer se računalnik ali
strežnik pošiljatelja vključuje na internetno omrežje. Na tem mestu je filtriranje
naloga predvsem internetnih ponudnikov oz. operaterjev (angl. Internet Service
Provider), ki spremljajo količino prometa s strani njihovih uporabnikov. Po slovenski
stran 47
zakonodaji slovenski operaterji ne smejo nadzirati vsebine prometa, morajo pa
sprejeti in upoštevati vse tehnične in organizacijske ukrepe ter postopke, da
zagotavljajo varnost svojega omrežja in svojih storitev (glej ZEKom-UPB1 UL. RS
13/2007). Operater tako ni dolžan niti ne sme pregledovati vsebine e-pošte
posameznikov, lahko pa zaznava neobičajna odstopanja od povprečja ter zgostitve
v prometu, ki prihajajo iz določenega IP naslova. Velika večina slovenskih
internetnih ponudnikov kljub vsemu omogoča svojim uporabnikom pregled in
samodejno razvrščanje e-pošte s pomočjo enega ali več naštetih mehanizmov
filtriranja.
Žal pa je v svetu, kar nekaj večjih internetnih ponudnikov, ki zaradi zaslužka
prodajajo svoje storitve razpečevalcem neželene e-pošte ali pa ne naredijo ničesar,
da bi preprečili masovno pošiljanje neželenih e-sporočil, ki izvira iz njihovega
omrežja. Po podatkih organizacije Spamhaus (glej Spamhaus) največ neželenih esporočil prihaja iz omrežij ponudnikov: verizon.com, xo.com, att.net,
vsnlinternational.com in yipes.com.
Zavedati pa se moramo, da so lokalna omrežja, strežniki, delovni in domači
računalniki neprestano cilj napadalcev, ki poskušajo izkoristiti varnostne
pomanjkljivosti posameznega informacijskega vira. Če nimamo ustrezno varnega
računalnika, nam tudi filtrirni sistemi nič ne pomagajo. Napadalci neprestano iščejo v
računalniškem sistemu najšibkejšo točko skozi katero se lahko nemoteno
pritihotapijo v sistem in ga poskušajo izrabiti v svoje namene. Običajno gre za krajo,
uničenje ali poškodovanje zaupnih podatkov ali pa izrabljeni sistem uporabijo za
napad na druge sisteme. Za pridobitev dostopa napadalci uporabljajo socialni
inženiring ali pa tehnične pripomočke. Z vidika tehnike je običajno najšibkejša točka
pomanjkljivo programirana ali pa slabo nastavljena programska oprema. Ameriški
Nacionalni inštitut za standardizacijo in tehnologijo (angl. National Institute of
Standards and Technology) je izdal tudi posebno priporočilo, ki obsega vse
potrebne ukrepe, ki bi jih morali upoštevati pri planiranju, nameščanju, nastavljanju
in upravljanju poštnega sistema (glej Tracy, M., Jensen, W., Scarfone, K.,
Butterfield, J., 2007). Proizvajalci programske opreme nam odpravljajo varnostne
luknje s pripravo popravkov, servisnih in varnostnih paketov, ki jih je potrebno redno
nameščati na ogroženo in ranljivo računalniško opremo. Zaradi grožnje okužbe
računalniškega sistema z virusi, črvi, trojanskimi konji ali drugim vohunskim
programjem, ki omogoča nepooblaščeno in pritajeno spremljanje stanje sistema ali
aktivnosti njenih uporabnikov, je obvezen del programske opreme informacijskega
sistema in posameznega računalnika tudi programje, ki zazna okužbo in pravočasno
ukrepa. Ranljivost sistema zmanjšamo le s celovitim sistemskim pristopom
implementacije varnostnih rešitev, dokumentiranjem rešitev, neprestanim
preverjanjem stanja in posodabljanjem.
Nastavitve odjemalca za e-pošto
Poleg zavedanja tveganja, da je celotna programska oprema brez stalnega
posodabljanja lahko ranljiva za vdore ali okužbe z virusom, je prav tako zelo
pomembno, da tudi odjemalec za e-pošto pravilno nastavimo, saj privzete nastavitve
niso vedno najboljše oz. povečujejo tveganje.
Veliko lahko že naredimo, če upoštevamo nekaj osnovnih pravil, ki jih je zapisal
Microsoft (glej Microsoft, Best practices to prevent spam) in drugi avtorji. Microsoft
npr. predlaga, da v odjemalcu za e-pošto preprečimo samodejni prikaz vsebine
stran 48
prejetih e-sporočil. V nastavitvah odjemalca se lahko nastavi, da je v glavnem oknu
uporabniškega vmesnika viden samo pošiljatelj, ne pa tudi sama vsebina esporočila. Na ta način lahko še pred ogledom celotnega e-sporočila, sporočilo
zbrišemo. Praksa je pokazala, da ''spamerji'' v neželena e-sporočila vstavljajo tudi
izvršljive škodljive datoteke, ki se ob odpiranju e-sporočila samodejno, brez vednosti
uporabnika namestijo na računalnik in zaženejo. V kolikor ni nameščene
programske opreme za zaznavo tovrstnih anomalij, lahko škodljiv program začne
delovati v funkciji poštnega strežnika ali kako drugače škodljivo izrablja računalnik.
Velikokrat dobivamo tudi e-sporočila, ki se oblikovana v obliki spletne strani (HTML
kode). Oblika je sicer zelo priročna, saj lahko poleg besedila vsebuje še statične in
utripajoče slike, povezave, e-sporočilo je lahko obogateno s različno pisavo in
zgleda kot revija. Žal pa je tako, da podjetja kot tudi razpečevalci neželene e-pošte
obliko HTML izrabljajo v svoje namene. V HTML kodo je možno vstaviti elemente, ki
na e-sporočilu izgledajo kot majhne nevidne slikovne točke. Ko prejemnik esporočilo odpre, se zažene HTML koda, naloži slike v e-sporočilu in obenem
samodejno pošlje še informacijo pošiljatelju, kolikokrat in kdaj je bilo e-sporočilo
odprto. Bolj izkušeni pošiljatelji znajo celo v HTML kodo namestiti ukaz, ki povzroči,
da se pri odpiranju e-sporočila odpre brskalnik s škodljivo spletno stranjo, kjer na
njej v najboljšem primeru samo prejmemo piškotek, ki zabeleži prejemnikov IP
naslov, e-naslov in ime brskalnika, ki je uporabljen in še kakšne druge podatke idr.
Priporočilo zatorej velja, da v e-poštnem odjemalcu izklopimo samodejni prikaz slik v
HTML kodi, na spletnem brskalniku pa nastavimo ustrezno varnost in način
sprejemanja piškotkov in način njihovega brisanja (glej InfoWorld, 2000).
4.2
OZAVEŠČANJE UPORABNIKOV E-POŠTE
4.2.1
Priporočila za končne uporabnike
Velika večina zaposlenih in dobro podkovanih uporabnikov interneta ima danes več
kot en e-poštni naslov. Uporabnik ima lahko svoj e-naslov v organizaciji, kjer dela,
drugega, ki ga je dobil preko internetnega ponudnika ter včasih tudi tretjega, ki si ga
je pridobil z vpisom na enega od brezplačnih spletnih portalov, kot so Gmail, Yahoo,
Hotmail in drugi. Če se želimo izogniti veliki količini neželene e-pošte moramo izbrati
e-naslov, ki ga je težko uganiti z uporabo slovarjev. Čim bolj je e-naslov zapleten,
težje ga je uganiti, zato je smiselna uporaba kombinacije številk in črk. Uporabljajmo
različne e-naslove za različne priložnosti. Uporabljajmo en naslov, ko komuniciramo
s družino ali prijatelji in drugega, ko kupujemo izdelke preko spleta, zahtevamo
informacije ali ko se prijavljamo na forume in druge podobne liste. Za registracijo na
posamezne spletne strani se lahko tudi poslužujemo enkratnih e-poštnih naslovov
ali pa e-naslova, ki ga lahko hitro opustimo.
Če že moramo objaviti svoj e-naslov na spletnih straneh, je pomembno na kakšen
način to storimo. Razpečevalci neželene e-pošte uporabljajo robote (angl. Internet
bots), posebne aplikacije, ki preiskujejo spletne strani ter v njihovi kodi iščejo zapis
mailto. Mailto je zapis s katerim se v HTML kodi označi e-naslov. Uspešno
preprečujemo samodejno zajemanje e-naslovov z uporabo dodatnih spletnih
obrazcev ali pa na spletnih straneh uporabimo kodo javascript, kjer roboti e-naslova
ne prepoznajo (glej Thomason, 2001).
stran 49
V nadaljevanju je naveden primer javaskript kode, ki jo vpišemo v HTML kodo
namesto oznake mailto s katero lahko na spletni strani uspešno maskiramo objavo
e-naslova (Primer velja za e-naslov: telebajsek@gmail.com, ki je v HTML kodi
vpisan kot: <a href="mailto:telebajsek@gmail.com">Moj e-naslov</a>).
<script language=javascript>
var contact = "Moj e-naslov"
var email = "Telebajsek"
var emailHost = "gmail.com"
document.write("<a href=" + "mail" + "to:" + email + "@" + emailHost ">" + contact +
"</a>")
</script>
Drugi uporaben način skrivanja e-naslova na spletnih straneh je uporaba posebnih
HTML znakov. V HTML kodi zamenjajte znak @ z znaki '@'.
Primer:
Link: <a href="mailto:telebajsek@gmail.com">Moj e-naslov</a>
E-naslov lahko spletnih strani prikažemo tudi kot sliko v formatu GIF ali JPG.
Na neželena e-sporočila nikoli ne odgovarjamo. Če dobimo e-sporočilo od
neznanega pošiljatelja ali e-sporočilo s sumljivim naslovom, ga nemudoma
izbrišemo še preden ga odpremo. Veliko uporabnikov naredi napako in odgovori
pošiljatelju. S tem potrdi obstoj svojega e-naslova in posledično zagotovi prejem še
večje količine neželene e-pošte. Poleg tega se v e-sporočilu lahko nemalokrat skriva
tudi virus, trojanski konj ali drugi škodljivi program, ki se aktivira ob odpiranju esporočila.
Nikoli ničesar ne kupujte, kar je oglaševano v prejetem neželenem e-sporočilu niti
ne uporabljajte povezav, ki so v njih navedena.
Sporna e-sporočila so tudi sporočila, ki so del verižnega pisma. Tudi na tovrstna
sporočila ne odgovarjamo in jih ne posredujemo naprej, saj s tem posledično tudi
sami pripomoremo k nepotrebnemu razširjanju neželenih e-sporočil.
Ko se prijavljamo na spletne portale in druge spletne storitve, kjer se zahtevajo enaslov in/ali drugi osebni podatki, je smiselno dobro prebrati splošne pogoje ter
preveriti vsebino pogodb in obrazcev, ki jih izpolnjujemo. Preverimo tudi
verodostojnost ponudnika. Organizacije neredko v svojih pogojih uporabe prikrito
dodajajo sporna (nezakonita) določila ali pa so v spletnih obrazcih že privzeto
označena polja, ki dovoljujejo ponudniku pošiljanje oglasnih sporočil ali nezakonito
uporabo osebnih podatkov (glej Federal Trade Commisson, 2002).
Ustrezno zavarujte osebne in druge zaupne podatke, ki jih imate na računalniku.
Uporabljajte varna gesla ter jih redno menjavajte. Ob pošiljanju zaupnih e-sporočil
uporabljajte digitalno potrdilo. Bodite tudi pozorni, če se začne računalnik po
prejemu sumljivega e-sporočila ali namestitvi novega programa neobičajno obnašati
(počasno odzivanje programov, večina spletnih strani se počasi odpira).
Priporočila za končne uporabnike lahko združim v naslednje točke:
• uporabljajte različen e-naslov za različne priložnosti;
stran 50
•
•
•
•
•
•
•
•
•
•
•
kjer imate možnost, si izberite kompleksen e-naslov;
na spletnih straneh uporabljajte e-naslov, tako, da ga ne bo mogoče samodejno
zajeti s spletnimi roboti;
ne odgovarjajte na neželena e-sporočila in ne sledite povezavam navedenih v
njem;
verižnih pisem ne posredujte naprej;
dobro preberite vsebino spletnih obrazcev in preverite verodostojnost
ponudnika;
nameščajte si le legalno kupljeno programsko opremo in jo stalno posodabljajte
z varnostnimi popravki;
namestite si programsko opremo za odkrivanje škodljivih programov in
neželenih e-sporočil;
bodite pozorni pri e-sporočilih, kjer pošiljatelj od vas zahteva vaše osebne ali
druge zaupne podatke (Phishing);
na računalniku ustrezno zavarujte osebne in druge zaupne podatke;
uporabljajte varna gesla ter jih redno menjavajte;
uporabljajte digitalno potrdilo ter po potrebi z njim šifrirajte e-sporočilo.
4.2.2 Priporočila za poslovne subjekte, ki uporabljajo e-pošto za neposredno
trženje
Z namenom, da tudi v Sloveniji vzpostavimo prakso zaupanja e-poslovanja v relaciji
podjetje – podjetje ter podjetje - kupec priporočam, da pošiljatelji e-sporočil z
namenom neposrednega trženja upoštevajo naslednja navodila:
•
•
•
•
•
•
•
•
•
pošiljajte e-sporočila le tistim prejemnikom, pri katerih imate njihovo predhodno
soglasje ali že vzpostavljen poslovni odnos;
v kolikor obdelujete osebne podatke kupca oz. naročnika, imejte njegovo
predhodno soglasje, vzpostavite katalog zbirke podatkov, zbirko pa prijavite
Informacijskemu pooblaščencu;
vodite in neprestano posodabljajte evidenco prejemnikov in tistih, ki so se
odjavili;
glava e-sporočila naj vsebuje vaše prave veljavne podatke;
vsebina e-sporočila naj bo jasno razpoznavna že v polju Zadeva;
e-sporočilo naj vsebuje spletno povezavo ali e-naslov, kjer se prejemnik lahko
odjavi od nadaljnjega prejemanja vaših e-sporočil. Vzpostavite samodejni
mehanizem, ki bo izvedel zahtevano odjavo, prejemnika pa obvestil o
izvedenem dejanju;
v e-sporočilu naj bo na vidnem mestu vaš poln naslov ter drugi podatki, kjer
lahko prejemnik dobi dodatne informacije;
e-sporočilo naj ne bo preveliko in naj ne vsebuje zlonamerne kode, ki bi lahko
zlorabila zaupanje prejemnika ali poškodovala programsko opremo;
če imate na spletnih straneh vzpostavljeno možnost registracije novega
naročnika ali kupca, vzpostavite mehanizem, ki bo preverjal vpisan e-naslov
novega uporabnika in onemogočal zlorabo.
Predlog preverjanja novega uporabnika: Z vašega e-naslova smo prejeli
registracijo na našo storitev. Za dokončanje registracije, kliknite na spodnjo
povezavo….Če menite, da je prišlo do zlorabe vašega e-naslova, ali da se je
stran 51
•
•
namesto vas prijavil kdo drug, lahko zbrišete uporabniški račun na tej
povezavi….;
nov naročnik ali kupec naj bo ob registraciji natančno seznanjen, za kaj daje
svoje soglasje in v kakšne namene se bodo uporabljali njegovi podatki. Ob
registraciji in izpolnjevanju obrazca naj kupec ali naročnik sam odkljuka stvari, ki
jih želi prejemati, ne pa da so polja že privzeto izpolnjena;
če ponujate pošiljanje e-sporočil neposredno iz spletne strani, naj bo to
omogočeno le registriranim uporabnikom, onemogočeno pa naj bo množično
pošiljanje na več e-naslovov hkrati. Iz poslanega e-sporočila naj bo razvidna
identifikacija registriranega uporabnika s pravim imenom in veljavnim enaslovom.
4.3
VZPOSTAVITEV UČINKOVITE ZAKONODAJE
Za boj proti neželeni e-pošti niso dovolj le tehnični mehanizmi zaščite temveč je
nujna podpora ustrezne zakonodajne regulative. Neželena e-pošta je problem, ki se
zaradi masovnega širjenja dotika različnih sfer družbe. Vpliva na telekomunikacijske
storitve, varstvo potrošnikov, e-poslovanje, s škodljivo programsko opremo posega
na področje varstva osebnih podatkov, kraje identitete in drugih groženj. Ker je
neželena e-pošta globalen problem, zahteva povezovanje in sodelovanje držav
vsega sveta. Pri pravni presoji oz. pravni ureditvi glede pošiljanja neželene e-pošte
je treba tehtati interese trgovcev in potrošnikov. Kar je za podjetje na eni strani tržni
prijem, je lahko za potrošnika na drugi strani vdor v zasebnost oz. njegovo pravico
do nedotakljivosti.
Zaradi ekonomskih, političnih in kulturoloških razlik med državami in celinami doslej
še ni enotnega zakonodajnega pristopa zoper neželeno e-pošto, ki bi bil sprejet na
mednarodni ravni. Treba je določiti smernice, ki bi bile enako sprejete v vseh
državah sveta. Smernice bi lahko združil v naslednje točke:
1. Z namenom, da povečamo zaupanje ljudi v e-sporočilne sisteme, bi morali
zagotoviti dostopnost e-storitev, učinkovito delovanje, varnost ter ustrezno
cenovno stroškovno naravnano poslovanje internetnih ponudnikov in
operaterjev. Z masovnostjo, kot so jo sedaj dosegla neželena e-sporočila, je že
ogrožena zaupnost uporabe e-pošte in ima negativen vpliv na zmogljivost
globalnih komunikacijskih omrežij.
2. Neželena e-pošta bi morala biti v vsaki zakonodaji prepovedana. Zakonodaja
sama sicer ne bo ustavila razpečevalcev, lahko pa ima močan vpliv še posebej s
strogim nadziranjem in sankcioniranjem kršiteljev.
3. Za omejevanje neželene e-pošte bi morale potekati aktivnosti na vseh nivojih:
preprečevanje razpečevalcem, da jih pošiljajo (dolžni poskrbeti internetni
ponudniki), zmanjšanje njene količine, ko potuje čez posamezna omrežja (dolžni
poskrbeti operaterji) in zmanjšanje količine, ki bi jo lahko sicer prejeli končni
uporabniki (dolžne poskrbeti organizacije in internetni ponudniki).
4. Količina neželene e-pošte se lahko zmanjša s strogimi prepovedmi uporabe
tehnik in programske opreme za zajemanja e-naslovov. Spodbujati bi morali
stran 52
implementacijo splošnih pogojev uporabe omrežja in storitev, dovoljevati
internetnim ponudnikom, da blokirajo razpečevalce neželene e-pošte, spodbujati
k uporabi filtrov in spodbujati učinkovito sodelovanje med operaterji, internetnimi
ponudniki in regulatorji z namenom reševanja problema neželene e-pošte.
Pri pripravi ustrezne zakonodaje bi zato zakonodajalec moral upoštevati štiri
osnovna načela (glej OECD, 2005):
• Jasno usmeritev, ki mora biti tudi zajeta v vladnih strategijah;
• Enostavnost postopkov (zakonodaja bi morala biti kratka in enostavna);
• Učinkovitost implementacije z izvajanjem sankcij in ustreznimi standardiziranimi
postopki;
• Zmožnost mednarodnega povezovanja na nivoju zakonodaje, izmenjave
informacij in sodelovanja na področju preiskav.
Za izdelavo ustreznega regulatornega pristopa k ''anti-spam'' usmeritvi je zato
potrebno poiskati elemente, ki bodo na enostaven in učinkovit način zajele vsa
področja, ki jih mora pokrivati zakonodaja s področja neželene e-pošte.
Naj naštejem vsaj najbolj bistvene elemente, ki morajo biti zakonsko opredeljene v
zakonodaji:
Vrsta storitve in uporabljene prenosne tehnologije
Postavlja se vprašanje, ali naj pojem neželeno e-sporočilo zajema samo e-pošto
(email), ali naj bo ta pojem širši in vključuje tudi e-sporočila na splošno: kratka
sporočila (SMS), multimedijska sporočila (MMS), neposredno sporočanje (IM), esporočila preko mobilnih telefonov, VoIP;
Narava e-sporočila
Ali lahko spadajo med neželena samo komercialna e-sporočila, ali pa tudi vsa tista,
ki so poslana z namenom neposrednega trženja (tudi e-sporočila s politično, versko
in ideološko vsebino)?
Privolitev za prejem e-sporočila
Ali je zahtevana predhodna privolitev prejemnika za prejem komercialnega ali esporočila poslanega z namenom neposrednega trženja, je eno od bistvenih
vprašanj, ki jo mora razrešiti zakonodajalec.
Naslov za odjavo od nadaljnjega prejemanja e-sporočil
Zakonodajalec lahko predpiše, ali bi moral imeti naslovnik možnost odjave od
nadaljnjega prejemanja e-sporočil pošiljatelja (tudi, če je enkrat že podal privolitev
prejema). Predpisati mora, kateri naslov (elektronski, fizičen, oba) mora biti podan v
e-sporočilu in način odjave (brezplačna odjava ali plačljiva, čas realizacije odjave..).
Označevanje e-sporočil
Zakonodajalec lahko predpiše, ali se morajo e-sporočila (komercialna/poslana z
nameni neposrednega trženja) posebej označevati ali ne. V ZDA je to predpisano s
zakonom in obvezno, v Evropski skupnosti teh zahtev v zakonodaji ni.
stran 53
Pošiljatelj in naročnik
Zakonodaja bi morala predpisati, kdo je kršitelj - samo pošiljatelj neželenih esporočil ali tudi naročnik.
Poleg omenjenih elementov bi morala zakonodaja ustrezno prepovedati in
sankcionirati neavtorizirano vstopanje v drug zaščiten ali nezaščiten informacijski
sistem, neavtorizirano uporabo računalniških virov (zombi, botnet), krajo digitalnih
podatkov, ohromitev storitev strežnikov (angl. Denial of Service), napadanje z
ugibanjem e-naslovov (angl. Harvesting), sleparjenje (angl. Phishing) idr.
stran 54
5
ANALIZA OBSTOJEČE SLOVENSKE ZAKONODAJE
Na nivoju Evropske unije je leta 2002 Direktiva 2002/58/ES Evropskega parlamenta
in Sveta (angl. Directive 2002/58/EC of the European Parliament and of the Council)
postavila okvir za reševanje težav s področja obdelave osebnih podatkov in varstva
zasebnosti na področju e-komunikacij. Direktivo so z manjšimi ali večjimi popravki
prevzele v svojo zakonodajo skoraj vse članice Evropske unije.
Na nivoju Združenih držav Amerike je bil leta 2004 sprejet zakon imenovan CANSPAM ACT (angl. Controlling the Assault of Non-Solicited Pornography and
Marketing Act), ki je začel posegati in urejati področje neželenih komercialnih esporočil.
Pravna regulacija v Evropi obsega pet direktiv, ki so bile pripravljene kot smernice
državam Evropske unije za pripravo zakonov ali dopolnitev zakonov z vsebino
členov direktiv, kot sta jih priporočila Evropski parlament in Svet Evrope v boju proti
neželeni e-pošti. Direktive so naslednje:
•
•
•
•
•
Direktiva o obdelovanju osebnih podatkov in varstvu zasebnosti na področju
telekomunikacij – Directive 97/66/EC (Telecommunications Privacy Directive);
Direktiva o zasebnosti in elektronskih komunikacijah – Directive 2002/58/EC (EPrivacy Directive);
Direktiva o varstvu posameznikov pri obdelavi osebnih podatkov – Directive
95/46/EC (Data Protection Directive);
Direktiva o pogodbah na daljavo – Directive 97/7/EC (Distance Contracts
Directive);
Direktiva o elektronskem poslovanju – Directive 2000/31/EC (E-Commerce
Directive).
Slovenska zakonodaja s področja varstva osebnih podatkov, elektronskih želenih in
neželenih komunikacij ter e-poslovanja izhaja iz evropskih direktiv. Ker direktive niso
obvezujoče, so pa priporočilo držav članicam EU, jih je tudi Slovenija z večjimi ali
manjšimi popravki implementirala v svoje zakone. Vsi štirje elementi: varstvo
osebnih podatkov, varnost in zaupnost e-komunikacij, neželene komunikacije in
neželena škodljiva programska oprema ter e-poslovanje so nedeljivo povezani tudi z
neželeno e-pošto.
V Sloveniji področje neželenih e-sporočil urejajo štirje zakoni:
• Zakon o elektronskih komunikacijah: (v nadaljevanju: ZEKom-UPB1)
• Zakon o varstvu potrošnikov: (v nadaljevanju ZVPot-UPB2)
• Zakon o elektronskem poslovanju na trgu: (v nadaljevanju: ZEPT)
• Zakon o varovanju osebnih podatkov: (v nadaljevanju: ZVOP-1)
ZEKom-UPB1 je specialni zakon, ki se prvenstveno ukvarja z vsemi vrstami ekomunikacijami, vključno z neželenimi (109. člen). Zakon sicer govori o naročnikih,
vendar v razlagi uporabljenih izrazov lahko preberemo, da se to nanaša na pravne
kot fizične osebe.
ZVPot-UPB2 obravnava pravice potrošnikov in potrošnic pri ponujanju, prodajanju in
drugih oblikah trženja blaga in storitev s strani podjetij vključno z uporabo e-pošte
(45. a člen).
stran 55
ZEPT se nanaša na storitve informacijske družbe, zlasti pri e-poslovanju med
poslovnimi subjekti. Zakon v svojem 6. členu obravnava obveznosti ponudnikov
storitev pri uporabi komercialnih e-sporočil.
ZVOP-1 je sistemski zakon, ki določa pravice, obveznosti, načela in ukrepe, s
katerimi se preprečujejo neustavni, nezakoniti in neupravičeni posegi v zasebnost in
dostojanstvo posameznika oziroma posameznice pri obdelavi osebnih podatkov.
Zakon v 72. in 73. členu določa katere, na kakšen način in kdaj lahko upravljavec
uporablja osebne podatke posameznika, med katerimi je tudi e-naslov, za namene
neposrednega trženja.
Kot smo že navedli v poglavju ureditve OPT-OUT in OPT-IN načela, Slovenija
dosledno uporablja načelo OPT-IN.
V prvem odstavku 45. a člena ZVPot-UPB2 lahko preberemo:
Podjetje lahko uporablja sistem klicev brez posredovanja človeka, faksimile napravo
in elektronsko pošto samo z vnaprejšnjim soglasjem posameznega potrošnika, ki
mu je sporočilo namenjeno.
Ter prvi odstavek 109. člena ZEKom-UPB1:
Uporaba samodejnih klicnih sistemov za opravljanje klicev na naročnikovo
telefonsko številko brez človekovega posredovanja (klicni avtomati), faksimilnih
naprav ali elektronske pošte za namene neposrednega trženja je dovoljena samo na
podlagi naročnikovega predhodnega soglasja.
Iz obeh zakonov je tako jasno in nedvoumno razvidno, da mora pošiljatelj, ki želi
poslati e-sporočilo z namenom neposrednega trženja imeti od slovenskega
prejemnika (potrošnika–ZVPot-UPB2 oz. naročnika–ZEKom-UPB1) njegovo
predhodno soglasje. V dosedanji praksi obravnavanja prijav v Sloveniji, se je štelo
kot prekršek tudi vsako e-sporočilo, ki je bilo poslano le enemu samemu prejemniku
brez njegovega predhodnega soglasja.
Vendar tako kot v EU, so tudi v Sloveniji sprejeli izjemo, ki prevlada nad splošnim
pravilom prvega odstavka 109. člena ZEKom-UPB1 ter prvim odstavkom 45. a člena
ZVPot-UPB2. Izjema, ki so jo implementirali v 109. členu ZEKom-UPB1 določa, da
lahko ne glede na splošno prepoved fizična ali pravna oseba, ki od kupca svojih
izdelkov ali storitev pridobi njegov e-naslov za e-pošto (drugi odstavek 109. člen
ZEKom-UPB1):
• ta naslov uporablja za neposredno trženje svojih podobnih izdelkov ali storitev,
• vendar mora kupcu dati možnost, da kadarkoli na brezplačen in enostaven način
zavrne takšno uporabo njegovega elektronskega naslova.
Glede na opredelitev, določeno v drugem odstavku 109. člena ZEKom-UPB1, se
šteje, da je Slovenija prevzela tako imenovani mehki OPT-IN (angl. Soft OPT-IN)
princip privolitve. Mehki OPT-IN pomeni, da pošiljatelj lahko pošilja e-sporočila z
namenom neposrednega trženja, če je že v poslovnem odnosu s prejemnikom
(kupcem) ter ob predpostavki, da je bil e-naslov pridobljen legalno in ob soglasju
kupca neposredno ob nakupu izdelka, ne pa da je pridobljen s pomočjo javno
dostopnih virov (imenikov) ali preko izmenjave z drugimi spletnimi trgovci. Pridobitev
e-naslova mora biti seveda izvedena na način, da je kupec natančno seznanjen s
stran 56
pogostostjo pošiljanja in vrsto obvestil, ki jih bo dobival s pomočjo e-pošte. Izdelki ali
storitve ponujeni preko e-pošte morajo torej biti podobni že opravljenemu nakupu ne
pa kakršnikoli.
V zvezi z javnimi imeniki bi želel izpostaviti še naslednje. Objava e-naslova v javnih
imenikih ne pomeni samodejnega predhodnega soglasja vpisnika za prejem esporočil, ki bodo poslana z namenom neposrednega trženja od kogarkoli, ki ima
dostop do imenika, četudi je imenik povsem legalno kupljen ali pa dostopen na
svetovnem spletu. V zvezi s pridobivanjem predhodnega soglasja in pošiljanjem esporočil z nameni neposrednega trženja je tudi Slovenska knjiga kot založnik
Poslovnega imenika Republike Slovenije na svojih spletnih straneh objavila
informacijo, da se pridobljeni podatki iz njihovega imenika lahko uporabijo le, če so
izpolnjeni vsi pogoji 109. člena Zakona o elektronskih komunikacijah (glej Slovenska
knjiga).
V zvezi z varstvom in zasebnostjo osebnih podatkov, moram omeniti tudi Zakon o
varstvu osebnih podatkov (ZVOP-1), ki v prvem odstavku 72. člena pravi:
Upravljavec osebnih podatkov lahko uporablja osebne podatke posameznikov, ki jih
je zbral iz javno dostopnih virov ali v okviru zakonitega opravljanja dejavnosti, tudi
za namene ponujanja blaga, storitev, zaposlitev ali začasnega opravljanja del z
uporabo poštnih storitev, telefonskih klicev, elektronske pošte ali drugih
telekomunikacijskih sredstev (v nadaljnjem besedilu: neposredno trženje) v skladu z
določbami tega poglavja, če drug zakon ne določa drugače.
Določba, da je neposredno trženje v skladu s ZVOP-1 dopustno izvajati, če drug
zakon ne določa druga, nas nedvoumno vodi na ZEKom-UPB1, ki je specialni zakon
in ki je napisan v skladu s 13. členom Direktive 2002/58/ES o komunikacijski
zasebnosti. Ko govorimo o neposrednem trženju s pomočjo e-komunikacij so torej
zavezujoče določbe 109. člena ZEKom-UPB1 (glej Musar, 2006).
Če govorimo o zbiranju e-naslovov, ki jih je pošiljatelj pridobil v okviru zakonitega
opravljanja dejavnosti, bo že sama hramba e-naslovov v zbirkah podatkov
predstavljala obdelavo osebnih podatkov (3. točka 6. člena ZVOP-1). V tem primeru
mora upravljavec baz zbranih osebnih podatkov upoštevati tudi vsa določila ZVOP1, ki pa je sistemski zakon na področju varstva osebnih podatkov. To vključuje
izdelavo kataloga zbirk podatkov, zagotovljeno ustrezno zavarovanje podatkov
(pravilnik), objavljeno mora biti, kaj boste vodili in koliko časa, zbirka pa mora biti
prijavljena v register Informacijskega pooblaščenca (obrazec). Pri tem se moramo
zavedati, da podlago za hrambo osebnih podatkov lahko dobimo le z osebno
privolitvijo posameznika, ki naj ne vsebuje le privolitve za neposredno trženje,
temveč tudi privolitev za vključitev e-naslova 3 v zbirko podatkov in njegovo hrambo
v njej. Osebna privolitev je lahko pisna, ustna ali druga ustrezna privolitev
posameznika (14. točka 6. člena ZVOP-1). V zvezi s principom OPT-IN ter tem ali je
bila pridobljena primerna privolitev za obdelavo podatkov ali ne, je Informacijski
pooblaščenec pripravil naslednja navodila (glej Musar, 2006, str. 380):
3
E-naslov je osebni podatek, če se lahko z njim določi posameznika ali če je z njim
posameznik določljiv (glej Informacijski pooblaščenec, 2007
stran 57
1. jasno morajo biti izražene vse mogoče neočitne uporabe in razkritja
podatkov o potrošniku;
2. navedeno mora biti dejstvo, ali bodo podatki o potrošniku posredovani
drugim uporabnikom;
3. navedene morajo biti vse posledice za potrošnika, ki izhajajo iz uporabe ali
razkritja osebnih podatkov;
4. navedeno mora biti podano v takšni obliki, ki bo razumljiva večini morebitnih
potrošnikov.
V zvezi z velikostjo in postavitve besedila pa Informacijski pooblaščenec še svetuje:
• velikost pisave mora biti vsaj tako velika kot pisava v preostalem delu obrazca;
Če navedeni pogoj ni izpolnjen, je
• pomembno, da je pisava dovolj velika, da jo potrošnik opazi;
• besedilo mora biti berljivo;
• obvestilo mora biti postavljeno poleg oziroma postavljeno tako, da ga potrošnik
vidi med izpolnjevanjem obrazca oziroma da pritegne uporabnika;
• obrazec mora vsebovati opozorilo potrošniku, da natančno prebere vse
podrobnosti.
Drugi odstavek 109. člena ZEKom-UPB1 tudi določa, da mora fizična ali pravna
oseba dati kupcu možnost brezplačne in enostavne zavrnitve njegovega e-naslova.
Tej določbi lahko zadostimo s tem, da na vidnem mestu e-sporočila navedemo
spletno povezavo, ki omogoča kupcu, da s klikom nanjo prepove nadaljnjo uporabo
svojega e-naslova za namene neposrednega trženja.
V zvezi z zahtevo za prenehanje uporabe osebnih podatkov je upravljavec dolžan v
15 dneh ustrezno preprečiti uporabo osebnih podatkov za namene neposrednega
trženja ter o tem v nadaljnjih 5 dneh pisno ali na drug dogovorjen način obvestiti
posameznika, ki je to zahteval (73. člen ZVOP-1).
Če ZEKom-UPB1 v drugem odstavku nalaga pošiljatelju, da mora imeti kupec
možnost zavrnitve uporabe svojega e-naslova, v četrtem odstavku istega člena tudi
zahteva, da se e-sporočil z namenom neposrednega trženja ne sme pošiljati brez
veljavnega naslova:
4. odstavek 109. člena ZEKom-UPB1: Elektronske pošte za potrebe neposrednega
trženja brez veljavnega naslova, na katerega lahko prejemnik pošlje zahtevo za
prekinitev takega neposrednega trženja, ni dovoljeno pošiljati.
V kolikor je torej poslano e-sporočilo z namenom neposrednega trženja, mora po
zakonu vsako e-sporočilo vsebovati tudi poln veljaven naslov pravne ali fizične
osebe. Pri tem priporočam, da je naslov na vidnem mestu e-sporočila ter berljiv z
dovolj veliko pisavo.
Kot sem navedel že uvodoma v tem poglavju, v zvezi s komercialnimi e-sporočili
govori tudi ZEPT. Tudi ZEPT in ZEKom-UPB1 se prepletata v poglavju, ko govorita
o zahtevani identifikaciji pošiljatelja. Tako ZEPT kot ZEKom-UPB1 namreč
prepovedujeta pošiljanje (komercialnih–ZEPT oz. z namenom neposrednega
trženja-ZEKom-UPB1) e-sporočil s skrito ali prikrito identiteto.
stran 58
6. člen ZEPT: Ponudnik storitev lahko pošilja komercialna sporočila, ki so del
storitev informacijske družbe, če je nedvoumno navedena fizična ali pravna oseba.
4. odstavek 109. člena ZEKom-UPB1: Elektronske pošte za potrebe neposrednega
trženja s skrito ali prikrito identiteto pošiljatelja, v imenu katerega se sporočilo
pošilja, ni dovoljeno pošiljati.
Ko govorimo o skriti ali prikriti identiteti pošiljatelja, ne gre samo za zahtevo po
veljavnem fizičnem ali e-naslovu, temveč se to tudi nanaša na vse podatke v glavi esporočila, ki morajo odražati pravo identiteto pošiljatelja in ne smejo biti spremenjeni
v procesu pošiljanja, prenosa skozi omrežje ali ob hranjenju na poštnem strežniku
prejemnika.
V zvezi s komercialni e-sporočili v 6. členu ZEPT ponudnikom storitev informacijske
družbe zakon še nalaga:
• prejemnik storitve se mora vnaprej soglašati s pošiljanjem;
• komercialno sporočilo mora biti kot tako jasno razpoznavno (pošiljatelj mora na
vidnem mestu označiti, da gre za oglas ali ponudbo;
• jasno in nedvoumno morajo biti navedeni pogoji za sprejem posebnih ponudb, ki
so povezane s popusti, premijami in darili, ki morajo biti kot taki nedvoumno
označeni;
• jasno in nedvoumno ter lahko dostopno morajo biti navedeni pogoji za
sodelovanje v nagradnih tekmovanjih ali igrah na srečo, ki morajo biti kot taki
jasno razpoznavni.
Nadzor ter prekrškovne in kazenske sankcije
Če želimo zakone izvajati in uveljavljati tudi v praksi, moramo imeti tudi ustrezne
vzvode, s katerimi lahko kaznujemo kršitelje za njihove ugotovljene prekrške. Ker je
glavno gonilo razpečevalcev, finančna korist, morajo biti kazni tako visoke, da
onemogočijo njihovo dejavnost. Tudi v vseh omenjenih zakonih so opredeljene
kazni za ugotovljene prekrške. V nadaljevanju so povzete kazenske določbe vseh
štirih zakonov:
ZEKom-UPB1 (49., 50. in 51. točka prvega in drugega odstavka 152. člena ZEKomUPB1):
Z globo od 20.864,63 € do 41.729,26 € se za prekršek kaznuje pravna oseba in
globo v razponu od 2.086,46 do 4.172,93 EUR za odgovorno osebo pravne
osebe, če:
• (49) elektronski naslov kupca uporablja za neposredno trženje, kljub temu,
da je kupec tako neposredno trženje odklonil (drugi odstavek 109. člena);
• (50) uporablja elektronske komunikacije za neposredno trženje brez
soglasja naročnika (prvi odstavek 109. člena oziroma tretji odstavek 109.
člena);
• (51) pri neposrednem trženju z uporabo elektronskih komunikacij uporablja
lažno identiteto ali lažni naslov (četrti odstavek 109. člena).
ZVPot-UPB2 (22. in 23. točka prvega odstavka 77. člena ZVPot-UPB2)
Samostojni podjetnik posameznik se kaznuje za prekršek z globo od 4172,92 €
do 20864,63 €, pravna oseba pa z globo od 12518,77€ do 41729,26 €, če:
stran 59
• (22) uporablja sistem klicev brez posredovanja človeka, faksimile napravo
in elektronsko pošto brez vnaprejšnjega soglasja potrošnika, ki mu je bilo
sporočilo namenjeno (prvi odstavek 45.a. člena)
• (23) potrošniku pošilja sporočila, ki so namenjena sklenitvi pogodbe za
dobavo kateregakoli blaga ali katerekoli storitve, čeprav potrošnik izjavi, da
jih ne želi več prejemati (tretji odstavek 45. a člena).
ZEPT (prvi odstavek 20. člena ZEPT)
Z globo od 12.518,78 € do 41.729,26 € se kaznuje za prekršek ponudnik
storitev, ki opravlja dejavnost kot pravna oseba, če:
• pošilja komercialna sporočila v nasprotju s prvim odstavkom 6. člena.
ZVOP-1 (prvi , drugi in tretji odstavek 94. člena ZVOP-1)
• (1) Z globo od 2.086,46 € do 4.172,93 € se kaznuje za prekršek pravna
oseba ali samostojni podjetnik posameznik, če v skladu s tem zakonom
obdeluje osebne podatke za namene neposrednega trženja in ne ravna v
skladu z 72. ali 73. členom;
• (2) Z globo od 417,29 € do 1251,88 € se kaznuje za prekršek iz prejšnjega
odstavka tudi odgovorna oseba pravne osebe ali samostojnega podjetnika
posameznika;
• (3) Z globo od 208,64 € do 834,58 € se kaznuje za prekršek posameznik,
ki stori dejanje iz prvega odstavka tega člena.
Na podlagi dosedanjih prijav in statistik APEK, Tržnega inšpektorata RS in
Informacijskega pooblaščenca lahko rečemo, da k sreči v Sloveniji doslej nismo
zabeležili primera kršitve množičnega pošiljanja neželene e-pošte. Kot kažejo
podatki, je šlo v večini primerov za posamične kršitve, kjer pošiljatelji niso bili
ustrezno seznanjenimi z določbami omenjenih zakonov. Vendar pa obstajajo
zabeleženi primeri kršitve zaradi neprimerne uporabe SMS sporočil v namene
oglaševanja.
Zaradi nespoštovanja ZEKom-UPB1 je APEK v letu 2005 obravnaval trinajst prijav,
izdanih pa je bilo šest opozoril. V letu 2006 je prejel sedemnajst pritožb, izdana so
bila štiri opozorila, dve odločbi o prekršku s plačilom povprečnine in ena odločba o
prekršku s plačilom globe. V letu 2005 je Tržni inšpektorat RS obravnaval
dvaindvajset prijav, ugotovljenih je bilo šest kršitev. V Letu 2006 so prejeli dvajset
prijav, pri čemer je šlo pri večini za nenaročena SMS sporočila, ugotovljenih pa je
bilo sedem kršitev. Informacijski pooblaščenec je na svojih spletnih straneh objavil
štiri mnenja, štiri prijave pa je posredoval naprej v reševanje na APEK.
Omenjene inštitucije svetujejo naj v primeru, ko prejemnik ugotovi, da pošiljatelj
izhaja iz Slovenije in da pošilja e-sporočila v nasprotju z določbami ZEPT (poslovni
subjekti) ali ZVPot-UPB2 (potrošniki), prijavo naslovi na Tržni inšpektorat Republike
Slovenije, v primeru kršenja ZEKom-UPB1 pa se prijava naslovi na Agencijo za
pošto in elektronske komunikacije Republike Slovenije. V primeru ugotovljene
kršitve varstva osebnih podatkov oz. določb ZVOP-1 prijave obravnava Informacijski
pooblaščenec.
V primeru, da neželena e-pošta izhaja iz držav EU, se pritožbo naslovi na APEK,
prijava pa bo v skladu s dogovorom posredovana regulatorju države pošiljatelja, ki je
stran 60
zadolžen za reševanje neželenih e-sporočil. Ne glede na to od kod izhaja neželena
e-pošta, (EU, tretje države) je smiselno nasloviti prijavo tudi na internetnega
ponudnika, ki gosti pošiljatelja. Običajno imajo vsi internetni ponudniki e-naslov v
obliki sintakse 'abuse@domena' (npr.abuse@siol.net), kamor lahko podamo prijavo.
Povzetek temeljnih določb pri pošiljanju e-sporočil z namenom neposrednega
trženja
V zvezi s pošiljanjem e-sporočil z nameni neposrednega trženja bi vse štiri
navedene zakone lahko strnil v naslednje bistvene točke:
1. uporaba e-sporočil za namene neposrednega trženja je dovoljena le ob
izrecnem predhodnem soglasju prejemnika, razen, če že nismo z njim v
poslovnem odnosu in imamo njegovo nedvoumno osebno soglasje, da lahko
uporabljamo njegov e-naslov za neposredno trženje;
2. če izpolnjujemo zgoraj navedeni pogoj, mora biti naše e-sporočilo jasno
razpoznavno, vsebovati mora možnost odjave in poln veljaven naslov;
identiteta pošiljatelja mora biti nedvoumna;
3. naslovnik ima pravico kadarkoli zavrniti nadaljnjo uporabo svojega enaslova,
4. morebitna odjava mora biti realizirana v 15 dneh po prejemu zahteve, v
nadaljnjih 5 dneh pa mora biti naslovnik pisno ali drug dogovorjen način
obveščen o odjavi;
5. v kolikor obdelujemo e-naslov in druge osebne podatke kupca ali naročnika,
moramo imeti v ta namen njegovo osebno soglasje, obenem pa mora biti
zbirka podatkov zabeležena v registru Informacijskega pooblaščenca;
6. v primeru kršenja enega od štirih navedenih zakonov so zagrožene visoke
kazni.
stran 61
6.
TEŽAVE
PONUDNIKOV
ZAKONODAJE
OPERATERJEV
IN
PRI
SPOŠTOVANJU
INTERNETNIH
OBSTOJEČE
Čeprav so regulativni ukrepi in zakonodaja osnova boja zoper vse neželene
komunikacije, je zakonodaja velikokrat premalo okretna, zakoni pa se ne uspejo
tako hitro prilagajati novo nastalim razmeram, kot se spreminja tehnologija in načini
vsiljevanja neželene e-pošte s pomočjo e-komunikacij. Problem neželene e-pošte
ne zaznavajo samo končni uporabniki, temveč tudi oglaševalci, ki želijo na legalen
način pristopiti k kupcu. Če oglaševalci na eni strani lahko ozaveščajo legalne
pošiljatelje, na kakšen lahko pristopijo k svojemu kupcu, imajo na drugi strani
internetni ponudniki in operaterji veliko vlogo pri nadzoru svojega omrežja in
uvajanju tehničnih in organizacijskih ukrepov, ki preprečujejo zlorabo omrežja. To
jim nalaga tudi zakonodaja, saj je tudi v ZEKom-UPB1 na podlagi 4. člena Direktive
2002/58/ES nedvoumno zapisano, da morajo izvajalci javnih komunikacijskih
storitev vsak zase ali po potrebi skupaj sprejeti ustrezne tehnične in organizacijske
ukrepe, da zagotovijo varnost svojega omrežja oziroma svojih storitev (102. člen
ZEKom-UPB1). Kakšni so tehnični in organizacijski ukrepi ni posebej opredeljeno,
morajo pa ob upoštevanju tehnološkega razvoja in stroškov njihove izvedbe,
zagotoviti takšno raven varnosti in zaščite, ki ustreza predvidenemu tveganju.
V pomoč operaterjem, je APEK izdal tudi smernice, ki naj bodo vodilo operaterjem
pri pripravi in izvajanju ustreznih ukrepov (glej APEK, 2006). Smernice bi lahko
strnili v naslednje tri točke:
1. Vsak operater mora dokumentirati, vzpostaviti, vzdrževati, nadzorovati in
nenehno izboljševati sistem za upravljanje varovanja informacij, kot je to
opisano v naslednjih dokumentih:
a. Standardi SIST ISO/IEC 27001:2006 in SIST ISO/IEC 17799:2005 ali
b. Priporočila ITU-T X.1051.
2. Vsak operater mora izdelati načrt za neprekinjeno poslovanje (angl.
Business Continuity Plan) in načrt za ponovno vzpostavitev (angl. Disaster
Recovery Plan), ki sta osnovana na varnostni politiki in sistemu za
upravljanje varovanja informacij ter ju dokumentirati, vzpostaviti, vzdrževati,
nadzorovati in nenehno izboljševati.
3. Vsak operater se mora prepričati, ali njihovi postopki in infrastruktura
ustrezajo zahtevam teh smernic.
Z vidika zakonodajnih ukrepov in z vidika zaščite uporabnikov internetni ponudniki
nimajo obveze, da aktivno ukrepajo pri zatiranju neželene e-pošte, niti nimajo
komercialnega interesa, da blokirajo ali omejujejo prihajajoči ali odhajajoči promet s
neželeno e-pošto.
Operaterji so v položaju, ko jim evropska Direktiva kot tudi nacionalna zakonodaja
prepoveduje vse oblike nadzora oziroma prestrezanja, kot so poslušanje,
prisluškovanje, snemanje, shranjevanje in posredovanje komunikacij (103. člen
ZEKom-UPB1 oz. 5. člen Direktive 2002/58/ES) na drugi strani pa zahteva
učinkovite in varne storitve. Temelj zasebnosti je ravno varnost in zaupnost osebnih
podatkov pri shranjevanju in prenosu skozi komunikacijsko omrežje. Nobeden ne bi
smel imeti dostop do informacij, ki so naslovljene neposredno na prejemnika.
stran 62
Ker pa neželena e-pošta operaterjem povzroča stroške v obliki večjih zahtev po
procesni moči stikal, usmerjevalnikov in strežnikov ter zahtev po večji kapaciteti
diskovnih sistemov poštnih strežnikov, je seveda razumljivo, da morajo tudi ustrezno
ukrepati, če ne želijo, da ne bodo ogrožene njihove storitve, z vidika dosegljivosti,
zanesljivosti in prepustnosti. Po drugi strani pa implementacija ustreznih filtrirnih
sistemov, omogoča operaterjem, da lahko ponudijo uporabnikom višjo kakovost
storitve in s tem posledično večje zaupanje v njihove storitve. Ustrezna cena in
kakovost storitev pa omogoča operaterjem zadržanje obstoječih uporabnikov in
pridobivanje novih.
Vprašanje je torej, kako zagotoviti zaupnost in varnost komunikacij ter obenem
zagotavljati učinkovite in varne storitve brez prestrezanja in blokiranja neželenih esporočil in drugega škodljivega prometa.
Meja med zagotavljanjem varnosti in zaupnosti je torej zelo tanka. Glede na zahteve
po zaupnosti komunikacij, so tako operaterji upravičeno lahko mnenja da, s
filtriranjem prometa ter npr. blokiranjem posameznih uporabnikov ali nabora IP
naslovov, delujejo v navzkrižju z evropsko kot nacionalno zakonodajo. V pomoč
operaterjem in evropskih regulatorjev, je Evropska delovna komisija Working Party
29 izdala mnenje (glej Working party 29, 2006), v katerem se je opredelila do
spornih vprašanj.
Komisija se je v navedenem dokumentu postavila na stališče, da je filtriranje
dovoljeno, vendar samo z namenom zaščite proti virusom in neželeno e-pošto in
pod pogojem, da ni ogrožena zaupnost komunikacije in podatkov. Z vidike zaščite
proti virusom, morajo operaterji vzpostaviti takšen način filtriranja, kjer bo vsebina esporočila in njene priponke ostala tajna in ne bo vsebina razkrita nobenemu
drugemu razen prejemniku. Nadalje, nameščena programska oprema mora jamčiti
zadostno zaupnost tudi, če je najden virus ter tudi, če je pregledana vsebina, se
mora to izvesti samodejno in se jo ne sme uporabljati za druge namene.
V zvezi s pregledovanjem e-sporočil, je komisija bila mnenja, da morajo operaterji
na podlagi 4. člena Direktive, ki govori o zagotavljanju ustreznih tehničnih in
organizacijskih ukrepih, obenem tudi poskrbeti za kvalitetne in učinkovite storitve, ki
vključujejo tudi učinkovit prenos e-sporočil. Ravno zahteva po učinkovitosti pa daje
operaterjem vso pravico, da implementirajo filtriranje kot ''anti-spam'' ukrep.
Pripravljavci dokumenta so bili mnenja, da v kolikor ne bodo dovoljeni ustrezni
mehanizmi zaščite zoper neželeno e-pošto, lahko pride do blokiranja internetnega
prometa, lahko resno škoduje zanesljivosti prenosa, varnosti in učinkovitosti epoštnih storitev v celoti.
V začetku leta 2006 je Evropske agencija za varnost omrežij in informacij – ENISA
(angl. European Network and Information Security Agency) izvedla raziskavo s
katero je želela ugotoviti v kolikšni meri so operaterji in internetni ponudniki držav
EU implementirali ustrezne organizacijske in varnostne ukrepe, kot so zahtevani na
podlagi zakonodaje posamezne države ter v skladu s evropsko Direktivo
2002/58/ES. Vprašalnik, ki je jim bil posredovan s pomočjo regulatorjev posameznih
evropskih držav se je predvsem nanašal na vprašanje varnosti ter neželenih
komunikacij. Rezultati raziskave so bili zelo zanimivi, zato jih bom na kratko
prestavil.
stran 63
Prvo in eno najbolj pomembnih vprašanj je bilo, kakšne organizacijske in tehnične
ukrepe so sprejeli z namenom zaščite njihovih storitev.
Tabela 5 prikazuje, koliko odstotkov operaterjev je uvedlo posamezne ukrepe za
zaščito svojih storitev.
Tabela 5: Ukrepi pri varovanju storitev
Vstopno filtriranje
86%
Karantene za okužene računalnike
75%
Filtriranje vsebine
65%
Izstopno filtriranje
55%
Nadzor prometa
52%
Odmetavanje (blokiranje) prometa
razpečevalca
41%
Zaščita imenskih strežnikov
25%
0%
20%
40%
60%
80%
100%
Kot je bilo za pričakovati, največji poudarek varovanja in nadzora dajejo pri
vstopnem prometu, pri varovanju drugih omrežij, pa je ta odstotek bistveno manjši
(Izstopno filtriranje). Kar je zelo spodbudno, velika večina operaterjev ima
vzpostavljeno karanteno za okužene računalnike oz. na splošno za računalnike, ki
pošiljajo neobičajno veliko prometa. Kot lahko vidimo iz tabele še najmanj varnosti
posvečajo zaščiti imenskih strežnikov. Glede na izredno pomembno vlogo, ki jo
igrajo imenski strežniki v omrežju, bi si upal trditi, da bi moral biti ta odstotek
varovanja bistveno večji, kot pa je pokazala praksa. V prvi vrsti bi morali vzpostaviti
varni DNS oz DNSSEC (angl. Domain Name System Security Extensions).
Zanimive ugotovitve so podali tudi rezultati, kakšne ukrepe izvajajo operaterji, ko
ugotovijo, da imajo v svojem omrežju razpečevalca neželene e-pošte.
Tabela 6 nam podaja rezultate ugotovitev.
stran 64
Tabela 6: Ukrepi pri ugotovitvi, da je v omrežju razpečevalec
Priznamo, da je nekaj naših strank
razpečevalcev
13%
1%
Ne naredimo ničesar, a bi si želeli več
19%
Ne vplivamo na vsebino komunikacije
Dovoljujemo le promet s poštnim
strežnikom ponudnika
28%
Tiste, ki ne pošiljajo spama postavimo na
bel seznam
6%
Njihove strežnike postavimo na siv
seznam, dokler ne prenehajo s ''spamom''
22%
Njihove strežnike postavimo na črn
seznam
45%
Prepovemo škodljiva dejanja v splošnih
pogojih
87%
65%
Seznanimo jih s pravnimi posledicami
0%
20%
40%
60%
80% 100%
Rezultati kažejo, da večina operaterjev že s splošnimi pogoji prepoveduje pošiljanje
neželene e-pošte. Veliko operaterjev tudi seznani razpečevalca s pravnimi
posledicami pošiljanja neželene e-pošte. Kot je razvidno veliko operaterjev uporablja
tudi črne sezname s katerimi blokirajo promet s strani ugotovljenega razpečevalca.
V zvezi s blokiranjem IP naslovov strežnikov iz črnih seznamov se je delno
opredelila tudi delovna skupina 29 s svojim mnenjem (glej Working party 29, 2006).
Skupina je sicer bila mnenja, da je blokiranje IP naslovov z vidika zasebnosti manj
vsiljivo kot pa je filtriranje s pregledovanjem vsebine e-sporočil, vendar pa je
vprašljiva svoboda govora in svoboda izražanja ter pravica do svobodne
korespondence in sprejema takšne korespondence kot je prepoznana v 8. členu
Evropske konvencije o zaščiti človekovih pravic in temeljnih svoboščin (angl.
European Convention for the Protection of Human Rights and Fundamental
Freedoms).
Kar je zanimivo, samo 19% odstotkov operaterjev ne vpliva ne vsebino komunikacije
svojih strank, 13% pa priznava, da je nekaj njihov strank razpečevalcev. Na spletni
strani MSNBC (http://www.msnbc.msn.com/id/3078642/, obiskano dne 29.8.2007)
lahko celo preberemo, da nekateri internetni ponudniki na račun višjega zaslužka
prodajajo svojim strankam večjo pasovno širino, čeprav vedo, da nezakonito
razpošiljajo neželeno e-pošto in čeprav imajo zato pritožbe strank.
Iz rezultatov ukrepov lahko sklepamo, da so evropski operaterji manj zaskrbljeni kaj
delajo njihove stranke, po drugi strani pa tudi druge analize kažejo, da je število
razpečevalcev, ki izhajajo iz EU bistveno manjše v primerjavi z ZDA, Kitajsko in
Rusijo (glej poglavje o statistiki).
stran 65
Eno izmed vprašanj iz vprašalnika se je tudi nanašalo na način avtentikacije poštnih
strežnikov. Kot sem že obravnaval v poglavju o avtentikaciji, obstaja kar nekaj
mehanizmov s katerimi lahko avtenticiramo pošiljatelja.
Tabela 6 nam prikazuje, katere mehanizme uporabljajo EU operaterji pri avtentikaciji
e-sporočila in pošiljatelja.
Tabela 7: Načini avtentikacije sporočila in strežnika
Filtiranje IP naslova
Cisco's Identified Internet Mail
4%
0%
Sender Policy Framework (SPF)
4%
DKIM
3%
Sender-ID Framework
12%
SMTP-AUTH
58%
0% 10% 20% 30% 40% 50% 60% 70%
Rezultati kažejo, da velika večina operaterjev in ponudnikov sicer uporablja
avtentikacijo SMTP-AUTH, ne pa vsi, kar pomeni, da bo potrebno v prihodnje
sprejeti mehanizem, ki bo standardiziran in bo obenem poenotil način avtentikacije
med vsemi poštnimi strežniki.
Ker neželena e-pošta ni vezana samo na enega operaterja in internetnega
ponudnika, je zato medomrežno povezovanje in sodelovanje bistvenega pomena za
skupni boj proti neželeni e-pošti. Tako lahko internetni ponudniki in operaterji
sodelujejo tako na nivoju tehnologije, torej pri razvoju in implementaciji tehničnih
rešitev (tako na strani prihajajoče kot tudi odhajajoče neželene e-pošte), kot tudi pri
vzpostavitvi kodeksa dobre prakse, ki jo morajo spoštovati njihovi uporabniki pri
uporabi storitev in omrežja.
Kodeks, ki se lahko uveljavi v obliki pravilnika ali pogodbe bi moral vsebovati
nedvoumna določila, kaj je dovoljeno in kaj je prepovedano.
Kodeks bi moral vsebovati vsaj naslednje osnovne zahteve, ki bi jih morali
spoštovati
njihovi
uporabniki
(http://wos.isitrial.com/policy/Policy.htm
ali
http://www.arnes.si, obiskano dne 28.8.2007):
• prepoved pošiljanja ali posredovanja neželenih komercialnih in masovnih esporočil;
• prepoved ponarejanja ali spreminjanja glave in vsebine e-sporočila na izvoru
kot tudi v prenosu skozi omrežje;
• prepoved uporabe imena domene druge organizacije ali uporaba
ponarejenega e-naslova ali domene;
• prepoved zavajanja prejemnika z napačnimi podatki e-sporočila v polju
Zadeva;
stran 66
•
prepoved pošiljanja e-sporočil, ki vsebujejo viruse ali drugo škodljivo kodo, ki
ima lahko za posledico krnenje integritete in stabilnega delovanja
računalnika, računalniškega sistema ali omrežja, uničenje, poškodovanje ali
krajo podatkov, prevzemanje oblasti nad računalnikom idr.
Operaterji bi morali vsako večjo kršitev strogo kaznovati z ukinitvijo dostopa in
uporabo posameznega servisa, prekinitvijo pogodbe, kršitelja pa prijaviti organom
pregona in centrom, ki so zadolženi za koordiniranje in obveščanje v primeru
varnostnih incidentov na omrežju (http://www.arnes.si/si-cert/, obiskano dne
28.8.2007).
Operaterji in internetni ponudniki imajo lahko aktivno vlogo tudi pri preprečevanju
zlorab s goljufivimi e-sporočili, kjer pošiljatelji z e-sporočilom poskušajo od
prejemnika izvabiti gesla, PIN kode, številke kreditnih kartic, se predstavljajo, kot
uradne osebe bank in drugih ustanov. S tujko imenujemo tovrstno sleparjenje
'Phishing'. V izogib takim prevaram, je smiselno vzpostaviti ustrezno metodo
komuniciranja med bankami, operaterji in uporabniki. Pri tem je potrebno
vzpodbujati uporabo digitalnega podpisa kot metodo avtentikacije pošiljatelja.
Operaterji in internetni ponudniki bi morali na nivoju svojega omrežja prepovedati
uporabo odprtih Open Relay ali Open Proxy strežnikov, pri posredovalnih (angl.
relay) poštnih strežnikih pa določiti količino e-sporočil, ki jo je še dovoljeno
posredovati.
Med svojimi strankami, organizacijami bi morali spodbujati k uporabi mehanizmov, ki
omogočajo dodatno avtentikacijo pošiljatelja (MSA agent) ter strežnika in domene
(SMTP-AUTH, DKIM, SPF, Sender ID, …). Identificirati bi morali tudi tiste
računalnike in njihove uporabnike, ki pošiljajo neobičajno veliko količino e-sporočil.
V kolikor bodo ugotovili anomalije (omrežja botnet, zombiji), bi bilo pravilno, da o
tem nemudoma seznanijo center, ki je zadolžen za varnostne incidente. V Sloveniji
ima to vlogo SI-CERT, ki dela pod okriljem Arnesa. Operaterji bi morali tudi nadzirati
promet, ki se vzpostavlja na vratih 25 ter v primeru, ko ugotovijo neobičajno veliko
prometa, takoj ustrezno ukrepati. S splošnimi pogoji ali pravilniki bi bilo potrebno
določiti, da vsak strežnik, ki se uporablja v omrežju za pošiljanje e-sporočil, vsebuje
v DNS zapisih tudi veljavni nasprotni rDNS (angl. Reverse DNS) kazalec. V veliko
družbeno korist, kot tudi v korist podjetja bi bilo, če na spletnih straneh seznanjajo
svoje uporabnike, kako se lahko zaščitijo pred krajo osebnih podatkov, škodljivo
programsko opremo in na kakšen način se lahko ubranijo pred neželeno e-pošto.
Brezplačno ali za majhen znesek bi jim morali omogočiti protivirusno in protismetno
programsko opremo ter filtriranje e-sporočil na nivoju poštnega strežnika.
Uporabnike bi morali obvestiti o ponudbi zaščite, uporabnik pa bi sam moral imeti
možnost izbire uporabe filtriranja. Tudi center za pomoč naročnikom, bi koristno
pripomogel k reševanju težav v primeru okužbe s škodljivo programsko opremo.
Nenazadnje bi tudi vzpostavitev e-naslova 'abuse' in učinkovito reševanje pritožb
pripomoglo k večjemu ugledu internetnega ponudnika ali operaterja.
stran 67
7
ZAKLJUČEK
Elektronska pošta je danes ena najbolj razširjenih storitev digitalne družbe, saj
omogoča poceni in hitro izmenjavo informacij, tako poslovnih kot zasebnih. Žal pa
med legalnimi e-sporočili najdemo vse več takšnih, ki so za nas moteča in
predstavljajo veliko izgubo časa in denarja. Ker je problem neželenih e-sporočil zelo
pereč, se z njim po celem svetu ukvarja vse več institucij, od vladnih ustanov,
neformalnih gibanj, nevladnih organizacij, komisij do združenj. Vsem je skupen cilj
zajeziti in končno ustaviti njihovo širjenje, kršitelje pa z ustreznimi ukrepi
sankcionirati.
V nalogi sem predstavil možne rešitve za zmanjševanje obsega neželenih e-sporočil
na nivoju tehnologije, ozaveščanja uporabnikov in zakonodaje.
Celovita tehnična rešitev ne obstaja, zato je treba vpeljati delne rešitve na različnih
nivojih. V nalogi sem preučil mehanizme, ki jih je možno implementirati na celotni
poti potovanja e-sporočila od pošiljatelja do prejemnika. To predvsem vključuje
izvorni poštni strežnik pošiljatelja, ciljni poštni strežnik prejemnika, računalnik
uporabnika, kot tudi vse vmesne omrežne naprave in strežnike, skozi katere potuje
e-pošta. Ker se glavni del filtriranja e-pošte izvaja pri internetnih ponudnikih in
operaterjih, sem izpostavil potrebno spoštovanje zakonodaje z vidika zaupnosti
vsebine komunikacije in prenesenih podatkov. Analiziral sem ukrepe, ki jih lahko
izvajamo na nivoju končnega uporabnika.
Pri preprečevanju neželene e-pošte igra ključno vlogo ustrezna stopnja
ozaveščenosti uporabnikov. Podal sem priporočila za končne uporabnike kakor tudi
za poslovne subjekte, ki uporabljajo e-pošto za neposredno trženje. Ob upoštevanju
teh priporočil lahko bistveno zmanjšamo količino neželene e-pošte, nevarnost
okužbe računalnika s škodljivim programom in hkrati pripomoremo k splošnemu
dvigu informacijske pismenosti. Vsekakor bi bilo v splošno družbeno dobro, da bi
država in pristojna ministrstva naredili več na področju ozaveščanja ljudi pri uporabi
e-komunikacij. Tudi Urad za varstvo potrošnikov in Združenje za direktni marketing
lahko z objavo koristnih nasvetov pripomoreta k pravilni uporabi e-pošte poslane z
namenom neposrednega trženja.
Na nivoju zakonodaje sem opozoril na ključne elemente, ki bi jih zakonodaja s
področja neželene e-pošte morala jasno opredeljevati. Podrobno sem analiziral
slovensko zakonodajo, ki se dotika neželene e-pošte. Osvetlil sem glavne težave, ki
jih imajo operaterji in internetni ponudniki pri upoštevanju obstoječe zakonodaje.
Nadaljnji razvoj e-komunikacij nam kaže na to, da bo e-pošta dosegljiva kjerkoli in
kadarkoli. Na podlagi dosedanjih izkušenj se zato lahko upravičeno bojimo, da nas
bo neželena e-pošta dosegla povsod, kjerkoli že bomo. Razpečevalci neželene epošti žal vedno najdejo nove načine, da preslepijo implementirane filtrirne sisteme in
hkrati zakrijejo svojo pravo identiteto. Boj proti neželeni e-pošti bo verjetno trajal še
dolgo, rešitev za družbo pa je le v sodelovanju med industrijo, internetnimi
ponudniki, operaterji, državnimi inštitucijami in v ustreznem zavedanju internetnih
uporabnikov. Cilj vseh bi moralo biti uničenje ekonomskega modela, ki prinaša
razpečevalcem neželenih e-sporočil finančno korist.
stran 68
8
LITERATURA IN VIRI
Primarna literatura:
Alman, E., DomainKeys Identified Mail,
http://www.dkim.org/info/DKIM-Intro-Allman.pdf, obiskano dne 25.8.2007.
Anžič, J. (2002). Širokopasovna in inteligentna omrežja, interno gradivo, Šolski
center za pošto in elektronske komunikacije, Ljubljana.
APEK (objavljeno 1.9.2006). Smernice za zagotavljanje varnosti omrežij
elektronskih komunikacij in informacijskih sistemov, dosegljivo na:
http://www.apek.si/sl/datoteke/File/koncni%20uporabniki/smernice_za_zagotavljanje
_varnosti_omrezi.pdf, obiskano dne 28.8.2007.
Brezavšček, A. (2007). Zanesljivost in varnost informacijskih sistemov, učno
gradivo, Fakulteta v Mariboru, Fakulteta za organizacijske vede, Kranj.
Boyd. E.,G. (3.3.2003). Tracking E-mail, dosegljivo na:
http://www.expita.com/header1.html, obiskano dne 31.8.2007.
CAN-SPAM Act, Public Law 108-187 108th Congress (16.1.2003). dosegljivo na:
http://www.spamlaws.com/pdf/pl108-187.pdf, obiskano dne 24.7.2007.
Computer Mail Services, Inc. The Cost of Spam, dosegljivo na:
http://www.cmsconnect.com/Marketing/spamcalc.htm, obiskano dne 15.8.2007.
Cristina Bueti, M. (2005). ITU Survey on anti –spam legislation worldwide,
International Telecommunication Union, dosegljivo na:
http://www.itu.int/osg/spu/spam/legislation/Background_Paper_ITU_Bueti_Survey.p
df , obiskano dne 16.8.2007.
Crocker, D. Email History, dosegljivo na:
http://www.livinginternet.com/e/ei.htm, obiskano dne 27.7.2007.
Directive 2000/31/EC of the European Parliament and of the Council of 8 June 2000
on certain legal aspects of information society services, in particular electronic
commerce, in the Internal Market (Directive on electronic commerce), dosegljivo na:
http://www.spamlaws.com/f/docs/2000-31-ec.pdf, obiskano dne 10.7.2007.
Directive 2002/58/EC of the EuropeanParliament and of the Council of 12 July 2002
concerning the processing of personal data and the protection of privacy in the
electronic communications sector (Directive on privacy and electronic
communications), dosegljivo na:
http://europa.eu.int/eur-lex/pri/en/oj/dat/2002/l_201/l_20120020731en00370047.pdf,
obiskano dne 10.7.2007.
Directive 95/46/EC of the European Parliament and of the Council of 24 October
1995 on the protection of individuals with regard to the processing of personal data
and on the free movement of such data, dosegljivo na:
http://www.cdt.org/privacy/eudirective/EU_Directive_.html, obiskano dne 10.7.2007.
stran 69
Directive 97/7/EC of the European Parliament and of the Council of 20 May 1997 on
the protection of consumers in respect of distance contracts, dosegljivo na:
http://www.spamlaws.com/f/docs/97-7-ec.pdf, obiskano dne 10.7.2007.
Donnerhacke, L., Teergrubing FAQ, dosegljivo na:
http://www.iks-jena.de/mitarb/lutz/usenet/teergrube.en.html,
25.7.2007.
obiskano
dne
Enisa (februar 2006). Security and Anti-Spam Measures of Electronic
Communication Service Providers-Survey, dosegljivo na:
in
http://www.enisa.europa.eu/doc/pdf/deliverables/enisa_security_spam.pdf
http://www.enisa.europa.eu/doc/pdf/deliverables/enisa_security_spam_part2.pdf,
Evett, D., (2006). Spam statistics 2006, dosegljivo na:
http://spam-filter-review.toptenreviews.com/spam-statistics.html, obiskano dne
24.7.2007.
Federal Trade Commission (april 2002). You've Got Spam: How to ''Can'' Unwanted
Email, dosegljivo na: http://www.ftc.gov/bcp/conline/pubs/online/inbox.pdf, obiskano
dne 30.8.2007.
Federal Trade Commision (januar 2004). Securing your server, dosegljivo na:
http://www.ftc.gov/bcp/conline/pubs/buspubs/secureyourserver.pdf, obiskano dne
28.8.2007.
Graham, P. (avgust 2002). A plan for spam, dosegljivo na:
http://www.paulgraham.com/spam.html, obiskano dne 26.8.2007.
Hormel Foods, dosegljivo na:
http://www.hormel.com/brands/brandview3.asp?id=2&hlite=true&querytext=spam,
Hong Kong Internet Service Providers Association (objavljeno 8.6.2005). Anti-Spam
Code of practice, dosegljivo na: http://www.hkispa.org.hk/antispam/cop.html,
Informacijski pooblaščenec (9.1.2007). Mnenja in odločbe - varstvo osebnih
podatkov, dosegljivo na: http://www.iprs.si/index.php?id=424&no_cache=1&tx_jzvopdecisions_pi1[showUid]=539&cHash=
8e912399c9, obiskano 31.8.2007.
InfoWorld (5.12.2000). Embedded HTML 'bugs' pose potential security risk,
dosegljivo na:
http://www.infoworld.com/articles/hn/xml/00/12/05/001205hnwebbug.html?p=br&s=2
, obiskano dne 28.8.2007.
Internet Service Providers (maj 2007). Spam code of practice, dosegljivo na:
http://www.privacy.org.nz/filestore/docfiles/29026747.pdf, obiskano dne 27.8.2007.
ITU (2004). Countering Spam ITU WSIS Thematic meeting on Countering
Spam,dosegljivo na:
http://www.itu.int/osg/spu/spam/background.html, obiskano dne 23.7.2007.
stran 70
Jančič Bogataj, M., Klemenčič, G., Makarovič, B., Tičar, K., Toplišek, J. (2007).
Pravni vodnik po internetu, strani 150-157, GV založba, Ljubljana.
Landgericht München I (2002). Sodba 33 O 17030/02, dosegljivo na:
http://www.jurpc.de/rechtspr/20030008.pdf, obiskano dne 31.8.2007.
Lucke, K., Reading email headers, dosegljivo na:
http://www.stopspam.org/email/headers.html, obiskano dne 25.7.2007.
Microsoft, Best practices to prevent spam, dosegljivo na:
http://office.microsoft.com/en-us/outlook/HA011194221033.aspx,
15.8.2007.
obiskano
dne
Microsoft, Project Penny Black, dosegljivo na:
https://research.microsoft.com/research/sv/PennyBlack/, obiskano dne 31.8.2007.
Microsoft (zadnja revizija 26.2.2007). X400, dosegljivo na:
http://support.microsoft.com/kb/273962, obiskano dne 30.7.2007.
Mehnle, J. (2007). Sender policy framework, SPF vs Sender ID, dosegljivo na:
http://www.openspf.org/SPF_vs_Sender_ID, obiskano 28.8.2007.
Murphy, D., The first email computer, dosegljivo na:
http://openmap.bbn.com/~tomlinso/ray/ka10.html, obiskano dne 29.8.2007.
Musar Pirc, N., Bien, S., Bogataj, J., Prelesnik, M., Žaucer, A. (2006). Zakon o
varstvu osebnih podatkov s komentarjem, strani 365-383, GV založba, Ljubljana.
OECD (15.11.2005). Anti-Spam regulation,
http://www.oecd.org/dataoecd/29/12/35670414.pdf, obiskano dne 14.7.2007.
OECD (19.4.2006). Report of the OECD Task Force on Spam: Anti-Spam toolkit of
recommended policies and measures, dosegljivo na:
http://www.oecd.org/dataoecd/63/28/36494147.pdf, obiskano dne 15.7.2007.
Paul H. (5.10.1997). Unsolicited Bulk Email: Definitions and Problems,
http://www.imc.org/ube-def.html, obiskano dne 6.7.2007.
Postini, dosegljivo na: http://www.postini.com/stats/, obiskano dne 15.8.2007.
Rhyolite Software (2007). Distributed Checksum Clearinghouse, dosegljivo na:
http://www.rhyolite.com/anti-spam/dcc/, obiskano 20.8.2007.
Ripe (18.5.1999). Good Practice for Combating Unsolicited Bulk Email, dosegljivo
na:
http://www.ripe.net./docs/spam.html, obiskano dne 15.8.2007.
SIOL, Zaščita pred nezaželeno e-pošto, dosegljivo na:
http://storitve.siol.net/spletne-storitve/e-posta/zascita-pred-nezazeleno-e-posto,
stran 71
Scott, J. (avgust 2005). Understanding E-mail. A primer for Local Prosecutors, ,
dosegljivo na:
http://www.ndaa-apri.org/pdf/understanding_email.pdf, obiskano dne 16.8.2007
American Prosecutors Research Institute.
Schwartzman, N. (2007). Spamhaus Policy Block List Update, dosegljivo na:
http://www.circleid.com/posts/spamhaus_policy_block_list_update/, obiskano dne
25.8.2007.
Slovenska knjiga, Poslovni imeniki (PIRS) in neželena elektronska pošta, dosegljivo
http://www.pirs.si/slo/index.php?dep_id=31&help_id=41,
obiskano
dne
na:
30.8.2007.
Slovensko društvo informatike, Slovar informatike, dosegljivo na:
http://www.islovar.org/iskanje_enostavno.asp, obiskano junij-avgust 2007
Spahhous, dosegljivo na: http://www.spamhaus.org, obiskano dne 24.7.2007.
Straus, M. (2002). Varnost šolskih omrežij, dosegljivo na:
http://www.arnes.si/dokumenti/filtri/school_sec.pdf, obiskano dne 15.6.2007, stran
18.
Tanenbaum, A.S. (2003). Computer Networks, Prentice Hall PTR, New Jersey.
Thomason L. (2001). Hide From Email Spiders, dosegljivo na:
http://www.netmechanic.com/news/vol4/design_no21.htm, obiskano dne 15.8.2007.
Tomlinson R., The first network email,
http://openmap.bbn.com/~tomlinso/ray/firstemailframe.html,
21.8.2007.
obiskano
dne
Tracy, M., Jensen, W., Scarfone, K., Butterfield, J. (september 2007). Guidelines on
Electronic Mail Security, National Institute of Standards and Tehnology (NIST),
http://csrc.nist.gov/publications/nistpubs/800-45/sp800-45.pdf,
dosegljivo
na:
ZVOP-1 = Zakon o varstvu osebnih podatkov, Uradni list RS 86/2004 z dne
5.8.2004.
ZVPot-UPB2 = Zakon o varstvu potrošnikov, Uradni list RS 98/2004 z dne 9.9.2004
ZEPT = Zakon o elektronskem poslovanju na trgu, Uradni list RS 61/2006 z dne
13.6.2006
ZEKom-UPB1 = Zakon o elektronskih komunikacijah, Uradni list RS 13/2007 z dne
15.2.2007
ZVRK = Zakon o volilni in referendumski kampanji, Uradni list RS 41/2007 z dne
11.5.2007
Van Vleck, T. (1.2.2001). The History of Electronic Mail, dosegljivo na:
http://www.multicians.org/thvv/mail-history.html, obiskano dne 21.8.2007.
stran 72
Working Party 29 (2006). Opinion 2/2006 on privacy issues related to the provision
of email screening services, dosegljivo na:
http://ec.europa.eu/justice_home/fsj/privacy/docs/wpdocs/2006/wp118_en.pdf,
Sekundarna literatura:
Fele, B. (2001). Vrednotenje komercialne opreme za izgradnjo navideznega
zasebnega omrežja, magistrsko delo, Univerza v Mariboru, Fakulteta za
organizacijske vede, Kranj.
Fele, B. (2004). Terminalne naprave, interno gradivo, Šolski center za pošto in
elektronske komunikacije, Ljubljana.
Lenassi, R. (2002). Telekomunikacijska omrežja in storitve II, interno gradivo, Šolski
center za pošto in elektronske komunikacije, Ljubljana.
Maawg (julij 2006). Anti-Phishing Best Practices for ISPs and Mailbox Providers,
http://www.maawg.org/about/publishedDocuments/Anti_Phishing_Best_Practice.pdf,
McAfee (marec 2004). Anti-Phishing: Best practice for Institutions and Consumers,
http://www.mcafee.com/uk/local_content/white_papers/wp_antiphishing.pdf,
Meše, P. (2003). Varnost v elektronskih komunikacijah in informacijski tehnologiji,
pojmovnik, angleško-slovenski slovar, kratice, Elektrotehniška zveza Slovenije,
Ljubljana.
Novak, M. (2004). Problematika in regulacija spam sporočil, diplomsko delo,
Univerza v Ljubljani, Ekonomska fakulteta, Ljubljana.
Schwartz, A., Garfinkel S. (1998). Stopping Spam, Sebastopol, O'Reilly &
Associates, Inc..
The TCP/IP Guide, Data Encapsulation, Protocol Data Units (PDUs) and Service
Data Units (SDUs), dosegljivo na:
http://www.tcpipguide.com/free/t_DataEncapsulationProtocolDataUnitsPDUsandSer
viceDa.htm, obiskano dne 3.8.2007.
Walker, A. (2005). Absolute Beginner's Guide to Security, Spam, Spyware &
Viruses, Indianapolis.
Članki v reviji:
Gabrijelčič, P. (julij/avgust 2006): ''Boj proti e-smetju''. Monitor, strani 60-71.
Ocvirk, V. (april 2006): ''Al' prav se piše »pošta« ali »spam«?''. Moj mikro, strani 3436.
Skrt, R. (september 2003): ''In vendar se premika''. Moj mikro, 56-58.
Skrt, R. (januar 2007): ''Spam, sveta vladar''. Moj mikro, 74-75.
Skrt, R. (februar 2007): ''Ostati anonimen?''. Moj mikro, strani 78-80.
stran 73
KAZALO SLIK
Slika 1: Protokolni sklad TCP/IP ................................................................................ 5
Slika 2: Številke vrat, ki jih posamezna internetna storitev uporablja......................... 6
Slika 3: Struktura hierarhičnega sistema DNS ........................................................... 8
Slika 4: Računalnika BBN-TENEXA in BBN-TENEXB s terminalom Teletype KSR-33
................................................................................................................................. 10
Slika 5: Proces pošiljanja e-sporočila skozi omrežje................................................ 12
Slika 6: Postopek poizvedbe IP naslova strežnika ................................................... 14
Slika 7: Struktura e-sporočila ................................................................................... 15
Slika 8: Nastavitve poštnega odjemalca Outlook Express s izmišljenimi podatki
pošiljatelja ................................................................................................................ 24
Slika 9: Prejeto e-sporočilo s izmišljenimi podatki pošiljatelja .................................. 25
Slika 10: Uporaba orodja nslookup v ukazni vrsti Windows ..................................... 27
Slika 11: SPAM konzervirana obdelana šunka ........................................................ 29
Slika 12: Model preprečevanja neželene e-pošte .................................................... 37
Slika 13: Prikaz zaščite na posameznih segmentih ................................................. 38
Slika 14: Prikaz nastavitve SMTH-AUTH na poštnem odjemalcu Outlook Express 41
Slika 15: Primer uporabe pravil statičnega filtriranja ................................................ 45
Slika 16: CAPTCHA test .......................................................................................... 47
KAZALO TABEL
Tabela 1: Tip in pomen zapisa v DNS bazi ................................................................ 8
Tabela 2: MIME tipi in podtipi določeni s RFC 2045 ................................................ 18
Tabela 3: SMTP transakcija med pošiljateljem in prejemnikom ............................... 21
Tabela 4: Seznam držav od koder prihaja največ neželene e-pošte ....................... 34
Tabela 5: Ukrepi pri varovanju storitev..................................................................... 64
Tabela 6: Ukrepi pri ugotovitvi, da je v omrežju razpečevalec ................................. 65
Tabela 7: Načini avtentikacije sporočila in strežnika ................................................ 66
stran 74
KRATICE IN AKRONIMI
Kratica
ARP
Slovensko
Protokol za prevajanje naslovov
Ameriški standard za zapis in izmenjavo
ASCII
informacijskih znakov
Mednarodni posvetovalni komite za
CCIT
telefonijo in telegrafe
CTSS
Združljiv sistem za časovno souporabo
DNS
Sistem domenskih imen
FQDN
Popolno internetno domensko ime
FTP
Protokol za prenos datotek
HTTP
Protokol za prenos hiperbesedila
Nadzorni protokol za internetna
sporočila
ICMP
IETF
Delovna skupina za internetno tehniko
Protokol za dostop do internetnih
IMAP
sporočil
ISO
Mednarodna zveza za standardizacijo
Mednarodna telekomunikacijska zveza ITU-T
sektor za telekomunikacije
LAN
Krajevno omrežje
MAC
Krmiljenje dostopa do medija
Mnogostranska razširitev internetne
MIME
pošte
MTA
Agent za pošiljanje pošte
Uporabniški agent za pošiljanje in
MUA
sprejemanje pošte
NAT
Prevajanje mrežnega naslova
NetBIOS Vhodno izhodni osnovni omrežni sistem
NFS
Omrežni datotečni sistem
Ameriški Nacionalni inštitut za
NIST
standardizacijo in tehnologijo
Medsebojno povezovanje odprtih
OSI
sistemov
PDU
Protokolna podatkovna enota
POP3
Protokol za sprejem pošte
RPC
Klic za oddaljeni postopek
SCTP
Transportni protokol za nadzorni tok
Enostavni protokol za transportni prenos
SMTP
sporočil
TCP
Protokol za krmiljenje prenosa
Protokol za nadzor prometa/Internetni
TCP/IP
protokol
TLD
Krovne domene
UDP
Uporabniški datagramski protokol
Angleško
Address Resolution Protocol
American Standard Code for Information
Interchange
fr. Comite Consultatif International de
Telegraphique et Telephonique
Compatible Time-Sharing System
Domain Name System
Fully qualified domain name
File Transfer Protocol
HyperText Transfer Protocol
Internet Message Control Protocol
Internet Engineering Task Force
Internet Message Access Protocol
International Standards Organization
International Telecommunication UnionTelecommunication Standardization bureau
Local Area Network
Media Access Control
Multipurpose Internet Mail Extensions
Mail Transport Agent
Mail User Agent
Network Address Translation
Network Basic Input/Output System
Network File System
National Institute of Standards and
Technology
Open System Interconnection
Protocol data Unit
Post Office Protocol Version 3
Remote Procedure Call
Stream Control Transport Protocol
Simple Mail Transfer Protocol
Transmission Control Protocol
Transmission Control Protocol/Internet
Protocol
Top Level Domain
User Datagram Protocol
stran 75
PRILOGA
Navodila za prikaz izvornih podatkov e-sporočila
Kadar imamo opravka s neželeno elektronsko pošto je glava e-sporočila tisti del
izvornega e-sporočila iz katere lahko izluščimo pošiljatelja in še druge pomembne
atribute. Glava e-sporočila običajno ni neposredno vidna v uporabniškem vmesniku
odjemalca za e-pošto, zato jo moramo priklicati s pomočjo menija. E-sporočilo, ki ga
prejmete s svojim odjemalcem za elektronsko pošto sicer prikaže e-naslov
pošiljatelja ter samo vsebino e-sporočilo, ni pa verodostojen dokaz, saj se e-naslov
pošiljatelja, ki se prikaže na odjemalcu lahko ponaredi.
V nadaljevanju so opisani postopki, kako lahko na najbolj pogosto uporabljenih
odjemalcih e-pošte prikažemo in shranimo podatke, ki so vsebovani v glavi esporočila.
Outlook Express
Z desno tipko miške kliknemo na posamezno sporočilo ter iz prikazanega menija
izberemo Lastnost sporočila (angl. Properties).
Z levo tipko miške izberemo Lastnost sporočila (angl. Properties).
Prikaže se nam obrazec podoben naslednji sliki:
stran 76
Iz prikazanega obrazca izberemo drugi jeziček Podrobnosti (angl. Details). Prikažejo
se nam podatki, ki so vsebovani v glavi sporočila. Z levim delom miške celotno
besedilo označimo, da se besedilo obarva z modro. Z desno tipko miške kliknemo
na obarvano besedilo ter iz prikazanega menija izberemo možnost Kopiraj (angl.
Copy).
Besedilo se nam bo na ta način začasno shranilo v odlagališče. S urejevalnikom
besedil odpremo nov dokument, z desno tipko miške kliknemo na prazno polje v
stran 77
odprtem dokumentu ter iz prikazanega menija izberemo možnost Prilepi (angl.
Paste).
Dokument shranimo na računalnik in ga po potrebi iztisnemo na tiskalnik.
Microsoft Outlook
Z desno tipko miške kliknemo na posamezno sporočilo ter iz prikazanega menija
izberemo Možnosti (angl. Options).
Z levo tipko miške izberemo Možnosti …(angl. Options) ali iz menija izberemo
Pogled (angl. View) / Možnosti..(angl. Options..)
stran 78
Prikaže se nam obrazec podoben naslednji sliki:
V polju zraven besedila Internetne glave (angl. Internet headers) z levim delom
miške celotno besedilo označimo, da se besedilo obarva z modro. Z desno tipko
miške kliknemo na obarvano besedilo ter iz prikazanega menija izberemo možnost
Kopiraj (angl. Copy).
stran 79
odprtem dokumentu ter iz prikazanega menija izberemo možnost Prilepi (angl.
Paste).
Pegasus
Z levo tipko miške poklikamo sporočilo da se odpre.
Sporočilo se odpre v novem oknu. Kliknemo na jeziček Raw View (surovi pogled)
Prikaže se nam vsebina internetne glave elektronskega sporočila podobna naslednji
sliki:
stran 80
Z levim delom miške celotno besedilo označimo, da se besedilo obarva z modro. Z
desno tipko miške kliknemo na obarvano besedilo ter iz prikazanega menija
izberemo možnost Copy (Kopiraj)
odprtem dokumentu ter iz prikazanega menija izberemo možnost Paste (Prilepi).
stran 81
Opera
Z levo tipko miške sporočilo označimo in v spodnjem delu okna izberemo možnost
Display all headers (prikaži vsa okna)
Prikaže se nam vsebina internetne glave elektronskega sporočila podobna naslednji
sliki:
izberemo možnost Copy text (Kopiraj besedilo).
stran 82
Eudora
Sporočilo se odpre v novem oknu. Z levo tipko miške izberemo gumb Blah Blah
Blah (Show all headers), da se prikaže celotno besedilo glave sporočila.
stran 83
izberemo možnost Copy (Kopiraj).
stran 84
Lotus Notes
Iz menija angleške različice odjemalca izberemo View/Show/Page Source
Iz menija slovenske različice odjemalca izberemo Pogled/Pokaži/Vir strani
izberemo možnost Copy (Kopiraj).
stran 85
Gmail
Z levo tipko miške kliknemo na sporočilo da se odpre.
Sporočilo se nam odpre v novem oknu. Z levo tipko miške kliknemo na jeziček ob
besedi Reply, da se nam razpre dodatni meni. Kot kaže slika, na meniju izberemo
'Show original'
V samostojnem oknu brskalnika se nam odpre celotna vsebina glave sporočila. Z
levim delom miške celotno besedilo označimo, da se besedilo obarva z modro. Z
izberemo možnost Kopiraj (angl. Copy).
stran 86

Polno besedilo - Univerza v Mariboru

Transcription

Similar documents

OKVIRNI IZVEDBENI URNIK POSAMEZNIH PREDMETOV

katalog v PDF formatu

NAVODILA za pripravo dispozicije diplomskega dela

Sistemi za upravljanje incidentov in varnostnih informacij - e

Urban september 2014 - Javni Holding Ljubljana

vpliv uvedbe elektronske vozovnice na informacijske procese

zmogljivostna analiza streţnika za nudenje storitve - e

MOTIVACIJA ZA DELO - B&B Izobraževanje in usposabljanje

KULTURNA IN NARAVNA DEDIŠČINA NEVELJ

Pristop za implementacijo okolju prijaznega - e

univerza v ljubljani ekonomska fakulteta diplomsko delo strategije

Razvoj aplikacije za pregledovanje slik na STB

Implementacija BIM-a

- PeFprints

Razvoj spletnih aplikacij z odprtokodnim ogrodjem - e

URL - e-Prints.FRI - Univerza v Ljubljani

Poslovno-organizacijski model globalnega trgovskega