RFC 5865 – greylisting

RFC 5865 opisuje technikę greylistingu, tymczasowo odrzucającą pierwszą próbę doręczenia od nieznanego nadawcy.

RFC 5865 nie opisuje greylistingu poczty

Oznaczenie „RFC 5865 – greylisting” zawiera błąd w numerze dokumentu. RFC 5865, opublikowane przez IETF w maju 2010 roku, nosi tytuł „A Differentiated Services Code Point (DSCP) for Capacity-Admitted Traffic”. Dokument dotyczy mechanizmu DiffServ w sieciach IP, a dokładniej wartości DSCP przeznaczonej dla ruchu czasu rzeczywistego dopuszczonego na podstawie kontroli dostępu i dostępnej przepustowości. Opisuje klasę ruchu zgodną z zachowaniem Expedited Forwarding oraz procedury związane z Call Admission Control.

RFC 5865 nie definiuje odrzucania wiadomości e-mail od nieznanego nadawcy, opóźniania dostarczenia ani odpowiedzi SMTP z kodem tymczasowego błędu. Dlatego nie należy przypisywać temu dokumentowi zasad greylistingu. Jeśli hasło ma zachować temat greylistingu, właściwym dokumentem referencyjnym jest RFC 6647, zatytułowane „Email Greylisting: An Applicability Statement for SMTP”.

Na czym polega greylisting w SMTP

Greylisting jest techniką filtrowania poczty elektronicznej, która czasowo ogranicza obsługę wiadomości pochodzącej z nieznanego lub niesklasyfikowanego źródła. Serwer odbiorcy nie potwierdza wtedy przyjęcia wiadomości, lecz zwraca tymczasową odpowiedź SMTP z klasy 4xx. Taki komunikat oznacza soft fail, czyli nieostateczne niepowodzenie dostarczenia. Zgodny z SMTP serwer nadawcy powinien zachować wiadomość w kolejce i ponowić próbę po czasie określonym przez własną politykę kolejkowania.

Implementacja zwykle zapamiętuje tzw. triplet, czyli zestaw obejmujący adres IP klienta SMTP, adres nadawcy kopertowego oraz adres odbiorcy kopertowego. Przy pierwszym wystąpieniu nieznanego zestawu system może zapisać go jako oczekujący i odpowiedzieć błędem tymczasowym. Gdy ten sam nadawca ponowi dostarczenie po wymaganym odstępie, wpis może zostać uznany za dozwolony, a wiadomość przechodzi do dalszych etapów filtrowania i przyjęcia. Szczegóły klucza, czasu oczekiwania oraz czasu przechowywania wpisów zależą od konkretnego oprogramowania filtrującego.

Dlaczego ponowienie próby ma znaczenie

Greylisting wykorzystuje różnicę między prawidłowo działającym systemem pocztowym a częścią prostych narzędzi używanych do masowej wysyłki spamu. Serwer pocztowy obsługujący kolejkę powinien reagować na kod 4xx późniejszym ponowieniem. Niektóre programy wysyłające spam próbują natomiast dostarczyć wiadomość tylko raz i przechodzą do kolejnego adresu po otrzymaniu odpowiedzi tymczasowej. W takim przypadku wiadomość nie trafia do odbiorcy, mimo że greylisting nie wykonał trwałego odrzucenia.

Technika nie jest jednak pełnym systemem rozpoznawania spamu. Prawidłowi nadawcy również mogą doświadczyć opóźnienia, zwłaszcza gdy ich systemy zmieniają adresy IP, używają wielu serwerów wyjściowych albo nie zachowują identycznych danych kopertowych podczas ponowienia. Z kolei bardziej zaawansowane narzędzia wysyłające niepożądaną pocztę mogą obsługiwać odpowiedzi 4xx i ponawiać próby. Greylisting powinien więc działać jako jeden z elementów filtrowania, obok mechanizmów reputacyjnych, list dozwolonych i blokowanych oraz analizy treści.

Rozróżnienie dokumentu RFC od konfiguracji serwera

Podczas analizy problemu z opóźnioną pocztą trzeba rozdzielić numer RFC od ustawień konkretnego serwera. Samo RFC 5865 nie dostarcza komendy włączającej greylisting, nie określa nazwy pliku konfiguracyjnego i nie narzuca jednego czasu oczekiwania. Są to parametry implementacji używanego filtra lub serwera SMTP. W diagnostyce należy sprawdzić kod odpowiedzi 4xx, pełny tekst komunikatu, moment pierwszej próby, czas kolejnego ponowienia oraz wartości zapisane w bazie lub pamięci mechanizmu greylistingu.

Jeżeli w dokumentacji albo konfiguracji występuje opis greylistingu przypisany do RFC 5865, należy skorygować odwołanie na RFC 6647 i osobno zweryfikować, czy opisywana implementacja rzeczywiście stosuje procedurę tymczasowego odrzucenia. W przypadku diagnostyki komputera przydatne jest również ustalenie, czy opóźnienie dotyczy aplikacji pocztowej, lokalnego programu ochronnego, połączenia sieciowego czy zdalnego serwera odbiorcy. Dopiero porównanie tych warstw pozwala odróżnić błąd konfiguracji od prawidłowego, choć zamierzonego działania greylistingu.