Paraphrasant l’une des déclarations de Linus Torvalds, selon laquelle « Given enough eyeballs, all bugs are shallow », Christophe Le Bars a conclu son intervention sur une version adaptée à la circonstance : «  Given enough free software, all spam are shallow ».

Télécharger la présentation de M. Le Bars (pdf)

 

« Pour mon compte eBay, j’utilise un Token spécifique… que j’ai retrouvé quelque mois plus tard sur un spam. Il m’a alors suffit de changer de Token » Clemens Perz, All About It

Télécharger la présentation de SpamKiss (pdf)

 

 

 

 

 

«  Pour nous, depuis son apparition fin 2001, le spam est en croissance forte. Il représente désormais environ la moitié des messages que nous recevons » Sébastien Vautherot (CCR Jussieu)

Télécharger la présentation de M. Vautherot (pdf)

Compte rendu de la conférence-débat : «  Techniques anti-spam : l'apport du monde du logiciel libre »
mercredi 20 Octobre 2004

Monsieur Eric Walter, chef du bureau des évaluations économiques et de la société de l’information (Direction du développement des médias), après avoir accueilli les auditeurs, a souligné combien cette manifestation s’inscrit en droite ligne avec l’un des objectifs que s’est fixé le groupe de contact anti-spam, à savoir « faciliter et accompagner la mise en œuvre d'actions concrètes contribuant à résorber le spam , dans ses causes comme dans ses effets ».

Avant même l’apparition de solutions propriétaires et commerciales, certains internautes ont créé de toute pièce leur propre moyen de défense. Aujourd’hui, les communautés du logiciel libre ont pris le relais et proposent des filtres qui présentent des caractéristiques de souplesse et d'évolution particulièrement intéressantes pour les usagers.
L’objectif de cette matinée était de porter à la connaissance des victimes du spam qu’il existe, à côté des solutions propriétaires, une alternative crédible et variée qu’il convient de considérer.

Plusieurs spécialistes ont ainsi synthétisé cette offre, avec force exemples concrets.
Administrateur de l'APRIL, «  Association Pour la Recherche en Informatique Libre », monsieur Christophe Le Bars a apporté les réponses à des questions d’ordre général : Qu’apporte le logiciel libre dans cette lutte féroce ? Quel historique ? Quel est le panorama des solutions existantes ? Quelles sont les voies d'avenir ? Comment participer aux efforts de la communauté libre ? Quelle démarche adopter ?

Il a présenté des outils tels que Mozilla, Spam me not, Spamcup, SpamAssassin, MailScanner ou encore SpamD.

Il note que les développeurs du monde du logiciel libre sont généralement très touchés par le spam (il en reçoit personnellement plus de 5.000 par mois), car ils utilisent leurs adresses électroniques depuis plusieurs années et qu’ils sont amenés à les communiquer sur des forums. Ils se sentent également concernés, dans le sens où les pourriels mettent en péril Internet, un moyen de communication idéal, sans lequel leur démarche collaborative n’aurait pu éclore.

Pour Christophe Le Bars, la communauté du monde du logiciel libre, de par sa rapidité à faire évoluer les outils anti-spam, est bien placée pour réagir au plus près en fonction des nouvelles méthodes utilisées par les spammeurs.

Madame Sabine Baumeister et Monsieur Clemens Perz, de la société All about it, ont ensuite présenté une démarche innovante, qui permet de limiter fortement la réception des pourriels en prenant le problème à la racine, c’est à dire en visant à empêcher l’envoi proprement dit.

Leur mécanisme, baptisé SpamKiss, est basé sur un « Token », qui est un simple mot indiqué par un internaute à ses correspondants et qui ne doit être utilisé que lors de la première correspondance (pour découvrir le fonctionnement détaillé, se reporter à la présentation). Cette démarche peut être rattachée à la tendance qui se dessine en faveur de l’authentification des emails. Une analogie fort intéressante était établie avec les procédures de filtrage d’appels téléphoniques utilisées en entreprise. Il est vrai toutefois qu’avec ce système, la gestion de cette protection incombe à chaque utilisateur.

SpamKiss est proposé en modèle hybride : une version en Open Source et une version payante avec support. « Mettre notre mécanisme à disposition en version Open Source est pour nous très important afin d’en faire connaître les avantages mais également bénéficier des retours d’expérience de la communauté. » a précisé Clemens Perz, développeur du produit.

Sabine Baumeister insistait pour sa part dans l’action directe de SpamKiss sur le modèle des spammeurs : il ne leur suffit pas de s’approprier les adresses électroniques, il leur faut également collecter ces fameux Token; le temps nécessaire pour le faire rend l’opération trop coûteuse pour les spammeurs.

La seconde moitié de la conférence a été dédiée à un autre type de filtre, j-chkmail, qui a également été présenté par son auteur.

Monsieur José Marcio Martins Da Cruz est Ingénieur chercheur au centre de calcul de l’école des mines de Paris. Après avoir signalé les travaux d’autres développeurs français (Xavier Leroy et son Spam Oracle, Emmanuel Dreyfuss et son Milter-Greylist) dans le domaine de la lutte anti-spam, monsieur Da Cruz a relaté les raisons de sa démarche et de ses choix de développement.

Il a ainsi accordé une grande importance à la fiabilité du système – un serveur de mail est en effet une cible privilégiée pour des attaques- et à la protection du serveur de messagerie : j-chkmail est donc un filtre auto-régénérant (opérationnel en moins de deux secondes après une coupure), capable de mesurer les cadences de connexion, d’en contrôler le nombre, de prendre en compte les ressources en temps réel et de résister à une attaque en déni de service.

Représentatif des dernières générations d’outils de type « comportemental », son filtre est également à même de détecter les « erreurs d’adressage » et de prendre aussitôt les mesures appropriées. La protection contre les attaques DHA (« Directory Harvest Attack », ou siphonage des adresses électroniques) est donc assurée.

José Marcio Da Cruz a également dévoilé les traces d’une attaque maîtrisée récemment par son outil. Malgré la diffusion de spams par une classe C entière, j-chkmail a correctement laissé passé les centaines de messages utiles.

J-chkmail associe également le filtrage viral. Il est utilisé avec profit par l’Ecole des Mines, mais également par les laboratoires de la NASA.

Monsieur Sébastien Vautherot, responsable anti-spam du CCR de l'Université de Jussieu, a témoigné de son expérience de terrain concernant cet outil, qu’il a sélectionné après avoir étudié d’autres solutions, telles que Bogofilter ou SpamAssassin. Plus de 40.000 boîtes aux lettres, réparties sur plusieurs sites parisiens, sont donc protégées par j-chkmail.

Une problématique particulière à traiter : parmi les utilisateurs figurent trois centres hospitaliers universitaires… qui souhaitent recevoir les messages ayant trait aux produits pharmaceutiques et au corps humain. Le point particulier des faux-positifs a donc été particulièrement étudié (le marquage des messages a été retenu), de même que l’information des internautes lors de la mise en place du dispositif.

Il a souligné les points forts de l’outil ; des statistiques pertinentes et en temps réel et une faible consommation de ressources. Le traitement des plaintes utilisateurs a également été réduit, et ne représente que 10% du temps de travail des administrateurs de messagerie.

Depuis quelques semaines, monsieur Vautherot expérimente également le greylisting (connu également sous le nom de relay delay), qui bloque 60% des spams à la source.

Ce témoignage a été complété par celui de monsieur Jean-Louis Thévenet, responsable système au sein de la Direction des Systèmes d’Information de France 3 (groupe France Televisions). Ses prérogatives s’étendent au stockage, à la sauvegarde et à la sécurité des systèmes. Désireux de protéger son entreprise (4.600 collaborateurs dont 1.400 journalistes répartis sur 90 sites) de ce fléau, monsieur Thévenet a expérimenté l’approche j-ckmail.

Suite à une attaque de spams massive, avec des pointes supérieures au million de pourriels par jour (plus précisément de messages adressés à des utilisateurs inconnus), une réflexion de fond a été menée. Les outils, leurs configurations, les méthodes ont été revues. De plus les utilisateurs ont été sensibilisés, de même que la direction juridique.

L’outil j-ckmail a été sélectionné pour trois raisons principales ; il s’interfaçait à perfection avec l’existant, il propose une approche pro-active extrêmement puissante et il délivre des statistiques de haut niveau.

Monsieur Thévenet a rejoint messieurs Vautherot et Da Cruz sur les inévitables efforts que doivent toutefois consentir les utilisateurs (préparation de dossier «  spam » sur leur client de messagerie par exemple), et auquel ils ne sont pas toujours préparés.

Lors d’un échange avec Monsieur Stéphane Bortzmeyer (AFNIC), présent dans l'assistance, il était de plus évoqué une inévitable augmentation du niveau de compétences demandé aux administrateurs de serveurs de messagerie .

On voit donc que la communauté des développeurs s’est saisie très tôt du problème «  spam », avec volonté et constance. Elle a su produire des solutions novatrices et efficaces, à des prix attractifs. Cette conférence confirme que les entreprises peuvent également avoir recours à ce genre de solutions.

Cette conférence était la troisième du cycle organisée pour la Direction du développement des médias, par messieurs Frédéric Aoun et Bruno Rasle. Elle fait suite à une conférence dédiée aux aspects juridiques de la lutte contre le spam. Elle précède une matinée consacrée au filtrage basé sur liste.