Vlákno názorů k článku Nepoužívejte IP blacklisty! (2.) od Boza - Reknu vam prihodu, jakou lidskou tragedii taky muze...

Reknu vam prihodu, jakou lidskou tragedii taky muze pouzivani blacklistu skoncit.

V jedne mezinarodni firme, ktera na zaklade outsourcingoveho kontraktu zpracovavala pro jinou mezinarodni firmu (klienta) ucetnictvi pracovala jista slecna. Protoze to byl vicelety outsourcingovy kontrakt, mela ona slecna stejnou mailovou domenu jako vsichni ostatni zamestnanci klienta.

Slecna byla normalni sledna ucetni, proto cas od casu psala jedne svoji zname do jiste ceske banky. Takhle si dopisovaly, az ta druha odesla na materskou nebo co. Po nejake dobe byl jeji mail zrusen, coz ovsem nase slecna nevedela. Takze psala porad dal a ignorovala, ze se ji obcas posta vraci, resp. povazovala to za provozni chybu.

Nahoda tomu chtela, ze v te dobe (leden 2005) byl mailovy system klienta nakonfigurovany tak, ze odmital prijimat dosle maily s prazdnou domenou (viz http://www.rfc-ignorant.org/policy-dsn.php), coz ale vratky z one banky mely. Takze ne vsechny vratky dorazily. Mailovy system one banky tohle odmitani mailu rozladilo natolik, ze se po nejake dobe cela mailova domena octla na blacklistu http://www.rfc-ignorant.org/, coz ale nikdo nezaznamenal, protoze klient nemel funkcni ani adresu postmaster.

Jenom pro ilustraci, ona mailova domena zahrnovala cca 60.000 uzivatelu po cele Evrope.

Chvili se nic nedelo, az v breznu nekdo od klienta zjistil, ze se nemuze domailovat k zakaznikovi, ktery blacklist vyuzival taky. A vypuklo peklo.

Cele veci se chopil management klienta a slecnu obvinil, ze umistila domenu na blacklist zamerne. Navic obvinil jeji materskou spolecnost z poruseni bezpecnosti. Najednou byl v sazce kontrakt za mnoho milionu euro. Pres veskerou snahu slecniny materske spolecnosti dokazat, ze se jednalo o technicky problem klienta (protoze IT oddeleni klienta nechtelo a nedokazalo priznat chybu, ke ktere doslo v lednu a uz byla mezitim napravena), byla nakonec obvinena ze zneuziti emailu pro soukromou komunikaci a musela byt prerazena na uplne jinou (horsi) pozici, kde s klientem neprisla do styku.

Cela prihoda ve mne zanechala skutecne horkou prichut. Slecna absolutne netusila, jakou pohromou pro ni bude chyba nekoho jineho a ze tahle chyba zaroven ohrozi mnohamilionovy mezinarodni kontrakt. Od te doby skutecne blacklisty nesnasim.

Historka je to sice smutna, ale priznejme si to, ze za tohle ty blacklisty fakt nemuzou...

Nehlede na to, ze RFC Ignorant blacklisty fakt muze pouzivat jenom blazen...

O.

Ano, blacklist samotny za to nemuze. Jenom ukazuju na zcela realnem pribehu kam to az muze vest kdyz se vyuzivaji podle meho nazoru naslepo, bez overovani z vice zdroju.

Muze to koncit zabanovanim treba i obrovskeho koncernu a to je pak fakt peklo, protoze ve velkych firmach akorat jeden svaluje chybu na druheho a nakonec odnesou radovi pesaci.

No když jí místo doručenky došla "nedoručenka" a ona na to kašlala.... Já vím, kašle na to mnoho uživatelů, ale to nic neznamená, neznalost neomlouvá.

ano, nedorucenky jsou velka vyhoda RBL, protoze se odesilatel DOZVI ze jeho mail nemohl byt dorucen a PROC.

Smesujete dve veci - zpusob klasifikace mailu a reakci na spam. Jiste by se dal napsat bayesiansky filtr, ktery by daval REJECT odpoved po prikazu DATA.

Zas na druhou stranu se v takovem pripade nedozvi PRIJEMCE, ze byl nejaky mail odmitnut. V pripadech, kdy se na blacklisty casto dostavaji ruzne automatizovane roboty (newslettery, posilani vygenerovanych loginu do ruznych site) a listservery je vam houby platne, ze se zpatky posle chybovy kod, protoze se tim nikdo zabyvat nebude. A vy se pak divite, ze mail stale nejde a nejde...

>Smesujete dve veci - zpusob klasifikace mailu a reakci na >spam. Jiste by se dal napsat bayesiansky filtr, ktery by >daval REJECT odpoved po prikazu DATA.

Bohuzel tohle moc nejde. Tohle umi zatim akorat sendmail,
zadny jiny mail daemon zatim miter rozhrani nema.
O sendmailu se zase rika, ze me bezp. problemy...

A i kdyby mel treba postfix milter rozhrani, tak stejne
muzete v "nedorucence" poslat max. jednu radku textu.
A tezko muzete nejakou "slecnu" nutit, aby se snazila pochopit
automaticky generovany mail.

Problem blacklistu je prave v tom, ze vam muze na hlavu spadnout hromada problemu, za ktere muze nekdo jiny.
A vy se proti tomu nemate jak branit.

Oni ty nedoručenky mají ke srozumitelnosti pro BFU hodně daleko.

Mate dobrou fantazii, ale v zivote to tak nechodi. Jak to byva ve skutecnosti, jsem popisoval v diskusi k minulemu dilu - viz zde.

To, co pisete, vypada stejne verohodne, jako pohadka o stryci Vikovi a kristalove cistych prijmech :-)

Nemam tuseni, jestli je ta historka pravdiva, ale podle mych zkusenosti s korporatnim prostredim rozhodne pravdiva byt muze. Chovani BFU, neprofesionalita adminu, hledani vinika pokud mozno co nejniz, zatloukani vlastni viny - to vsechnou je bezna realita. Musela by to byt velka shoda nahod, ale uz jsem videl vetsi nahody.
V tomto pripade jsem pochopil, ze ztrata zakazky hrozila spise kvuli cirkusu okolo, nez kvuli samotnym nedorucenym mailum.

V korporatnim prostredi jsem pomerne dlouho pracoval a z vlastni zkusenosti vim, ze zejmena tam elelktronicke komunikaci (presne z Vami popisovanch duvodu, tedy chovani BFU, neprofesionalita adminu, hledani vinika pokud mozno co nejniz, zatloukani vlastni viny a mnoha dalsich) temer nikdo neveri. Ta situace s tim telefonatem overujicim zda mail dorazil je (narozdil od popisovane historky) zejmena v tomto prostredi pomerne casta - dotazujici ten telefon neplati, tekze o tom moc nepremysli.

Prosim napiste mi presny duvod, proc ta historka podle vas neni pravdiva. Cemu tam neverite.
To, ze kdyz nedostanete odpoved na mail, tak pouzijete jiny prostredek (treba telefon) je normalni - tedy pokud po tom cloveku neco chcete a nedostal jste to mezitim jinde.

Jak vite, ze hned prvni dulezity nedoruceny mail, nebyl urgovan telefonatem a tak na to cele prislo? To, ze ten stav trval nekolik mesicu mohlo znamenat, ze 60 000 lidi proste nekolik mesicu nekomunikovalo s nikym, kdo pouziva nejaky konkretni blacklist. Jelikoz vetsinou komunikujete porad dokola se stejnymi lidmi, tak pokud se na to neprijde hned, tak to klidne muze par mesicu trvat.

V historce neni explicitne napsano, ze ta ohrozena zakazka byla mezi lidmi, kterym vzajemne nedosel mail. Spis jsem to pochopil, ze hrozilo, ze o zakazku prijde zamestnavatel te ucetni. A to proto, ze dostal nalepku nekoho kdo ohrozil bezpecnost a udelal prusvih.

Ne, je naprosto realna, nebot jsem se ji ucastnil a delal jsem obhajce te slecny ze strany IT (pracujeme pro stejneho zamestnavatele). Z duvodu strucnosti jsem vynechal takove veci jako komunikaci mezi ruznymi Security Officery, memoranda konstatujici shrnujici prubeh celeho incidentu atd.

To ze byla domena se 60.000 ucty na blacklistu samozrejme okamzitou komunikaci neohrozilo, to je patrne z toho ze se na to prislo az za nekolik mesicu.

Ono to cele popisuje spise politicke a personalni dusledky nez technicke detaily. Pokud by cely problem zustal mezi administratory, nic by se nedelo. V okamziku kdy se do veci vlozil francouzsky CIO, tak uz bohuzel neslo skoro nic delat.

Pripoustim, ze kdo chce psa bit, hul si na to najde, ale pokud ta historka opravdu je ze zivota, pak nejvice ze vseho vypovida o schopnostech IT managementu te firmy. Pokud se o tom, ze jejich domena je na blacklistu drive, nez IT, dozvedelo jeji nejuzssi vedeni, pak to je taky (mozna spis hlavne) o tom, jak to IT ma pod kontrolou a pak kdyz dojde na lamani chleba, jak to dokaze hodit na blondynu ze sekretu, ktera vubec netusi o cem to je.

Vyhozeni te slecny nic nevyresi, nezaruci nikomu, ze nektera jeji kolegyne neudela za nejakou dobu totez, jako CEO bych spis zvazil vyhozeni nekoho, kdo ma za ukol vnejsi komunikaci hlidat a sledovat jeji bezpecnostni rizika.

Krome toho, uz mimo to tema o te slecne, presvedcovat nekoho aby nepouzival blacklisty je sice jednodussi, nez si hlidat, abych se na ne nedostal, ale obavam se, ze ani tech par lidi, co si tento kratky serial precetlo, to nepresvedcilo a BL budou pouzivat dal. Takze pokud nechcete zbytecne prijit o jedinecnou a uz nikdy neopakovatelnou nabidku nekoho, kdo si nedokaze zajistit, aby na BL nebyl, BL radeji nepouzivejte, ale pokud chcete, aby vase komunikace byla opravdu spolehliva, radil bych, narozdil od autora serialu, delat vsechno pro to, abyste na BL nikdy nebyli.

Tak pitomeho spravce ja take moc dobre znam, jako je popisujete v onech organizacich.
Zmeni se IP-adresa name-serveru, tak mne po mesici telefonuji, abych mu dosel rici, ze uz to ma doopravdy zmenit. - Ale mozna jde o tehoz cloveka. Vecne neni k sehnani - a 2 mesice netusi, jak mu chodi (vlastne) nechodi posta. (Postmastera sice ma, ale vsechnu postu z nej rovnou zahazuje. Proste komu dal Panbu rootu, tomu dal naveky i rozum.)

DD.

Ja je take nemam rad. :-)
Jelikoz jsme pripojeni pres mistni wifi sit, tak jsme na siti s cca dalsimi tisici uzivateli.
Jednou za cas se nejakemu uzivateli zaviruje pocitac a zacne chrlit tisice mejlu do sveta pres verejnou IP adresu poskytovatele. Samozrejme se tato IP adresa dostala na nejaky black list.
Jenze te black list pouziva nas dodavatel a my jsme s nim najednou nemohli komunikovat.
Provizorni rychle reseni? Skript na serveru, ktery v odesilane zprave vymeni IP adresu a komunikace muze pokracovat. :-) Tim chci naznacit, ze toto muze udelat kazdy.

Karel

... a proc nemate plnohodnotne pripojeni k Internetu? Takove pripojeni se, mimo dalsi, vyznacuje tim, ze kazdy pocitac ma svoji IP adresu :-)

A co je na takovem Internetu neplnohodnotneho? Vy snad mate Internet, kde se prubezne stahuje 500-800KB/s za cca 400,-Kc mesicne? A proc bych mel mit verejnou IP adresu, kdyz ji nepotrebuji? Aspon nase firma neni vystavena utokum z Internetu.

Protoze plnohodnotna pripojka k Internetu se vyznacuje tim, ze disponuje vlastni IP adresou (ktera neni z rozsahu definovanem RFC1918).

mimochodem, gratuluji k cene - za 400 kacek poridit pripojeni mezi 5-6 Mb/s je skutecne dobre. To uz to nemusi byt ani Internet :-)