Historique (David contre Goliath)

Je vais commencer par une petite chronologie:

  • Janvier 2006, notre serveur principal :
    • traite autour de 20 tentatives de connexions à la minute,
    • accepte autour de 12 mails à la minute,
    • parmi ces 12 mails, la répartition vue par l'antispam est de 5 spams, 4 hams, et 3 non classés.
  • Fin février/début mars.
    Les chiffres précédents croissent lentement au niveau des tentatives (20/13 environ), mais le spam commence à s'envoler, et dépasse régulièrement les 6 spams/minute, ce qui place notre ratio à environ 1 spam pour 1 ham, soit 50% du flux.
    Alarmés par ces résultats, nous créons le projet whitelister, dont j'ai parlé dans le passé, et mettons en place du greylisting intelligent, qui pénalise aussi peu que possible nos utilisateurs.
  • Mars-Juin 2006.
    Cette période est l'âge d'or de notre technique, notre serveur principal:
    • reçoit de 21 à 30 tentatives de connexions, soit une progression très sensible.
    • le greylisting montre son efficacité et 10, puis 15, jusqu'à presque 20 mails par minute sont pris par cette mesure. Dans le même temps le spam recule violemment et tombe autour de 2 spams à la minute.
    • les mails acceptés sont autour de 9 par minute, répartition: 2 spams, 3 non triés, 4 hams.
  • été 2006 à décembre 2006, la débâcle:
    Depuis juillet 2006 néanmoins, nous avons observé (et la tendance ne faiblit pas) une progression linéaire et très visible (!!!!!) du spam. Cette tendance m'a été confirmé par diverses sources, sur toutes les tailles de serveurs (du gros ISP au serveur de particuliers). Les chiffres que je vous donne sont ceux de décembre, alors que fin juin nous avions les chiffres les plus hauts du § précédent:
    • plus de 100 tentatives de connexion par minute en journée,
    • plus de 50 mails greylistés par minute en journée,
    • Autour de 35 mails acceptés par minute en journée, et parmi eux, les chiffres étaient devenus inacceptables: 20 spams, 8 ham, 7 non triés. Et ces chiffres sont sans doute sous évalués, vu que je doute que le trafic mail ait miraculeusement doublé en un an, les spams sont beaucoup plus furtifs.
  • 31 décembre 2006: sur le conseil d'une connaissance, nous nous mettons à utiliser notre antivirus avec des signatures pour pas mal de spams et de phishings à images. La mesure est en place depuis avant-hier, et sur nos serveurs secondaires qui relaient en grande majorité du spam, les résultats ont été spectaculaires (jusqu'à -80% du trafic de spam). Devant une telle réussite, nous avons mis le serveur principal sur ce principe, et le niveau de spam a l'air (il est trop tôt pour faire des statistiques poussées) de retomber à un ratio 1:1 avec le ham, comme au début de l'année, ce qui, si ça n'est toujours pas miraculeux, est bien plus acceptable et permet aux antispams classiques de moins être submergés (voir même pervertis) par les spams.

Que peut on faire ?

Au niveau de X.org, pas grand chose. À part utiliser comme nous le faisons depuis plusieurs années, les techniques les plus à la pointe de la lutte antispam, voire même en innovant sur ces techniques. Nous avons atteint sur le réseau mondial un point où faire l'éboueur soi même n'est plus une tache humaine. Il faut s'attaquer au problème à la source.

Ce que nous avons appris (en fait ce qui confirme ce que nous imaginons depuis pas mal de temps) est que le spam est essentiellement un problème de machines mal administrées (que ça soit dans les fermes de serveurs dédiés à bas prix, ou des PC de madame michu derrière sa ligne ADSL2+) qui sont piratées, détournées, et pilotées en immenses réseaux.

Je dis immenses, car j'ai surveillé pendant 12 heures les machines qui se connectaient à nous pour livrer du spam. En ne surveillant que celles ayant l'air de fonctionner sous Windows[1], j'ai vu passer plus de 65000 machines différentes. Or sur ces 12 petites heures, moins de quelques machines se sont présentées à nos portes plusieurs fois. Ce qu'il faut comprendre, c'est que si j'avais continué l'expérience plus longtemps, un nombre incalculable de machines différentes se seraient présentées.

Nous sommes à un tel niveau de malware (on observe de notre coté un ratio de l'ordre de 1:10 entre ham et virus/spams/... en tours genres[2]) que les particuliers vont se désintéresser du mail, moyen de communication trop pollué. Et les entreprises ne vont plus l'utiliser pour communiquer vers l'extérieur non plus. Ça serait à mon avis un retour en arrière considérable.

On risque de plus de voir pousser une monétarisation du mail (pour le faire signer par un tiers de "confiance" ou autre) qui nuirait largement à l'émancipation économique et industrielle de bien des pays d'Asie ou d'Afrique. Bref, ça serait sans doute une régression à l'échelle planétaire.

Il est urgent d'agir, car l'outil "internet" est en train de vivre une crise silencieuse majeure. Et les moyens d'endiguer le phénomène existent en fait: faire un contrôle au niveau des ISP et des hébergeurs de ce qui sort de chez eux, à destination d'un serveur de mail. Free le fait déjà pour tous ses abonnés freebox. Et la plupart des ISP peuvent le faire très facilement via leurs foo-box, sans avoir à ajouter un quelconque équipement supplémentaire. La technique est simple: la foo-box compte le nombre de connexions qui sortent à destination d'un serveur de mail, et si ce nombre est anormal, interdit la connexion et prévient l'abonné. Ainsi, il n'y a pas de perte de liberté, et le spam qui actuellement est un phénomène dont l'ampleur est grossièrement corrélée à la bande passante mondiale[3], devient proportionnel au nombre d'abonnés soit plutôt linéaire, et en tout cas assez indépendant du temps.

Vous tous qui me lisez, si vous avez des contacts chez des ISP, des hébergeurs, des grosses sociétés (avec un gros SI), et tous les autres acteurs de l'internet, ou bien dans des institutions comme l'ART, il est urgent de faire aboutir des groupes de travail sur ce plan. Les ISP ne font pas souvent l'effort de faire ces filtrages, car peu des spams issus de leurs abonnés vont sur leurs propres serveurs, ça ne les dérange pas. Il faut donc que des tiers les "incite fortement" [4] à limiter leur contribution à la pollution ambiante. Il est d'ailleurs important que tout ceci se fasse à l'échelle européenne et mondiale. Il faut cesser de croire que les machines à spam sont asiatiques, c'est un mythe depuis longtemps: il y a autant de machines spammeuses en Europe, aux États-Unis qu'ailleurs, et il est temps de s'en rendre compte, et de faire le ménage à sa porte.

Et histoire de bien se rendre compte de la suite des événements, avec la montée en puissance de la téléphonie sur IP, nous allons sans doute commencer à subir dans les mois qui viennent, les débuts en Europe[5] du spam téléphonique. Se passer du mail en espérant survivre avec du tout-skype ou autre technologie identique est illusoire, car le problème se reproduira sur tout nouveau moyen de communication numérique/informatique populaire[6]. Or je pense que nous sommes tous conscients qu'il est déraisonnable de supposer pouvoir travailler dans le monde moderne sans outils d'échanges performants et non bruités.

Notes

[1] en utilisant p0f

[2] et encore, nous sous-estimons sans doute ce ratio d'un ordre de grandeur, puisque pas mal de spammeurs en voyant le greylisting cessent se déconnectent, et il y a fort à parier qu'ils tenteraient plusieurs livraisons sinon., le vrai ratio se situe sans doute entre 1:10 et 1:100.

[3] qui croit exponentiellement par rapport au temps d'après la loi de Moore

[4] sous la forme d'une "proposition qu'ils ne peuvent pas refuser" de préférence ;)

[5] Les états-unis ont déjà ce genre de choses, et tout le monde a sans doute subi le spam par fax.

[6] Sans parler du fait que le mail rend toute une panoplie de services qu'aucun autre vecteur de communication n'est actuellement capable de rendre