Spam ellenes technikák: DomainKeys

Spam

Pár hónappal ezelőtt volt szó itt a HUP-on a Microsoft-féle SPAM ellenes javaslatról, a Sender ID-ről. Akkor megbeszéltük a javaslat hátulütőit, és abban maradtunk, hogy sokat nem ér a SPAM ellenes harcban. Közben úgy tűnik, hogy az IEFT is elállt attól, hogy az MS javaslatból szabványt készítsen.

De ha nincs Sender ID, akkor mi lesz? Abban mindenki egyetért, hogy a SPAM helyzetet meg kell oldani, és erre az SMTP protokoll önmagában nem képes. A Yahoo! is elgondolkodott, hogy mit lehetne tenni a levélszemetet okádó patkányok ellen, és megszületett a DomainKeys névre hallgató elgondolás. Nézzük mi ez:Az email spoofing - mikor valakinek a nevében küldünk kéretlen levelet (SPAM) azért, hogy a címzett látva az ismert feladót megnyissa és elolvassa a szemetet - nagy probléma. A feladó authentikálása, azonosítása és visszakövethetősége nélkül soha nem lehetünk biztosak abban, hogy valóban az küldte nekünk a levelet, aki a feladó mezőben szerepel (nem ritka, hogy saját magunktól kapunk reklám levelet).

A Yahoo! által javasolt DomainKeys a feladó azonosítását hivatott elvégezni.


(c) Yahoo! Inc.




Hogyan működik (küldő szerver)?

1.) Beállítás: A mail szerver üzemeltetője legyárt egy privát-publikus kulcspárt. A publikus kulcsot a DNS szervere segítségével publikálja, míg a privát kulcsot elérhetővé teszi a DomainKeys-t tudó mail szervere számára. (ábra ``A'' rész'')

2.) Aláírás: Minden olyan esetben, amikor a domainben levő jogosult felhasználó levelet küld a DomainKeys-t tudó mail szerveren keresztül, akkor az összes levele alá lesz írva a mail szerver rendelkezésére bocsátott privát kulccsal. A kulcs el lesz küldve (a szerver beilleszt egy DomainKey-Signature headert) a levéllel együtt a címzett mail szerverének. (ábra ``B'' rész)

Hogyan működik (fogadó szerver)?

1.) Felkészülés: A Domainkeys-t tudó, fogadó szerver kiveszi az aláírást a levélből, és a DNS szerverben levő publikus kulcsot ``leszedi''. (ábra ``C'' része)

2.) Ellenőrzés: A már birtokában levő publikus kulcs alapján leellenőrzi a küldő hitelességét.

3.) Kézbesítés: Az ellenőrzés végkimenetelétől függően a mail szerver érvénybe lépteti a helyi házirendet, és annak megfelelőlen jár el (vagy kézbesíti a levelet, vagy eldobja, stb.). (ábra ``D'' része)

A DomainKeys draft-ját megtalálod itt. Az Yahoo! szeretné, ha a Domainkeys az IETF által elfogadott szabvánnyá válna.

Bővebb infó itt.



(A linkért köszönet LiRul-nak.)

( gsimon | 2004. 10. 18., h – 19:54 )

Gyerekek, nagyon abba az irányba megy a dolog, hogy hogy lehet _lassítani vagy nehezíteni_ a levélküldést. Szerintem nem az a cél, hogy a mostani "napi 1000-ből 800 spam" arányt egészen "napi 10-ből 8-ig" csökkentsük :), vagy tévedek?

>>>>> Regarding 'Re: Spam ellenes technikák: DomainKeys'; x-daemon adds:

VesziG, koszi a pluggot:)

x> eddig még csak 1 weboldalon láttam ezt, de nagyon hatásos tud
x> lenne. úgy működik, hogy kirak képként egy olyan szöveget, amely el
x> van kicsit torzítva, van rajta néhány bónusz vonal, és a szinek is
x> nagyon hasonlóak.

Sajnos ezt a fajta vedelmet sokkal konyebb megtorni mint azt gondolnad
x-daemon, A VALOS ELETBEN.

Termeszetesen akademiai keretek kozott csinalnak olyan CAPTCHA-kat[1]
amiket egyelore nem nagyon lehet megfeleloen megoldani (nem eleg gyors /
pontos stb), de ezeket az emberek (atlag netezok) se nagyon oldjak
meg. :-)

Osszefoglalva, azon a CAPTCHA-n amin gizi neni, lajos bacsi, meg
altalanos iskolas pistike is atmegy (2-3 probalkozasbol) azon program is
atmegy.

Footnotes:
[1] http://en.wikipedia.org/wiki/Captcha

--
....sutongi tti olleh

Ez igaz, de én azt szeretném elérni, hogy ha kapok spamet (mert ha valaki küldhet nekem rendes levelet, akkor spamet is), akkor meg tudjam találni az illetőt, és rá tudjam húzni a vizes lepedőt,

Az a baj, hogy amit szeretnel (mindenkinek sajat X.509-es cert, hiteles CA-val alairva) szerintem emberjogi kerdeseket is felvet. Tfh en nem akarok ilyen szemelyes infokat kiadni egy nyavajas email kuldeshez. Mert miert is keruljon bele egy esetleges flame hangulatu levelembe, hogy Kis Bela, Kiskunfelegyhazarol a Hamozo u. 3/b-bol? Elvesz az anonimitas, sot, ezekkel az infokkal vissza is lehet elni. Gondolom nem ujdonsag elotted az olyan tortenet, ami pl. egy kozvelemenykutatas adatainak hutlen kezelese miatt bontakozott ki.

Szerintem nagyon jo dolog a DomainKeys es nem ertek azokkal egyet, akik szerint ez nem megoldas semmire.

Egyrészt nem olyan ritka, hogy meg kell adnod az adataidat:

Ha valahol felbélyegzett borítékot kérnek, meg kell adnod a címedet, pl. felvételire sem jelentkezhetsz névtelen levelezőlapon. Ha egy túrúrudit veszel bankkártyára, alá kell írnod. Megtudják a nevedet, sőt, még az aláírásodat is! Ha egy email-t írsz, a fejlécben benne lesz a köv. mail hop címe, sőt, az idő is, amikor írtad. Ha egy könyvtári olvasójegyet szeretnél váltani, még édesanyád leánykori nevét is meg kell adni, de ugyanez a helyzet egy sportklub tagsági igazolványánál is. Sőt mi több, az önéletrajzodba is beleírod, és odaadod egy fejvadászcégnek, akitől az kapja meg, aki csak felad egy hirdetést...

Másrészt ugye nem kötelező, itt sem lenne az, csak épp az aláíratlan emailt pont annyira vennék komolyan, mint a névtelen levelezőlapot, ami szerintem pont helyénvaló is lenne.

Ami pedig a titkosságot illeti, hát egyben titkosítsd is le a levelet, és akkor csak a címzett fogja tudni olvasni.

Mindenesetre tiszteletben tartom a véleményed, ha nem akarod kiadni az adataidat, ne tedd. Engem kevésbé zavar, hogy akiknek levelet írok, megtudják, hogy mikor és hol születtem, mint az, hogy már a sloziból is spam bugyog felfelé. Nem akarok névtelenül írni, amit mondtam, azért tartom is a hátam, ha már egyszer gerinc van benne...

De szerintem ezzel te is így vagy, különben nem adtad volna meg a honlapod címét az adataidhoz, nem?

Ez mind ugy van, ahogy irtad, rengeteg helyen kerik a szemelyed adaidat miert epp az email certificate lenne kivetel. Csak mig ezeknel az eseteknel nem olyan nagy a valoszinuseg, hogy rossz kezekbe keruljenek az informaciok (nem hiszem, hogy a konyvtaros neninek az lenne az elso dolga miutan leleptel, hogy tovabbitja az informaciokat egy harmadik fel fele; a boltosnak pedig absolute semmi beleszolasa nincs a bankkartya es a bank kozotti tranzakcioba), addig az email eseten te magad nyujtod talcan ezeket, s egy egyszeru sniffelo gepezettel emberek ezreinek adatait lehet megtudni percek alatt. En nagyon nem orulnek, ha a szomszed kissrac ahelyett, hogy uzsorapenzt szedne az elsosoktol, az en adataimmal kereskedik egy akarmilyen ceggel.

De szerintem ezzel te is így vagy, különben nem adtad volna meg a honlapod címét az adataidhoz, nem?

Ha a honlapot megnezed semmilyen magan adatomat nem fogod megtudni, s ez igy van jol. Nekem szuksegem van arra, hogy ha ugy akarom, akkor ne tudja meg senki egyszeruen, hogy ki is irta a kerdeses levelet. Na mind1, ez mar az en dolgom, aki ebbol azt szuri le, hogy gerinctelen vagyok mert nem vallalom amit irok, higgyen amit akar, szive joga, nem allok le vitazni vele.

hát nem tudom. mindenesetre amikor egy nyomorult (=semmi turing teszt, csak nem akarja a titkárnő újragépelni a 10 oldalt) bescannelt oldalt a szövegfelismerő nem képes normálisan szövegként visszaadni, akkor nekem még komoly aggályaim vannak ezzel a technológiával kapcsolatban... de ha akarod komolyan tesztelhetjük a dolgot hogy hol tart!

Hat azert van egy lenyeges kulonbseg, a scannelendo (OCR-ezendo) szoveg
az jo sok, a CAPTCHA meg 5-6 betu amibol sok mintat kerhetek (azaz a gep
elore rakeszul hogy milyen dolgokat kaphat).

Amit elozo postomban irtam el meg mindig, akademiai kornyezetben van
olyan hogy csak nezek wtf, de a valosagban meg nem lattam olyat amire
azt mondom hogy ,,na ezen nem jutnek be egy heti hekkeles utan se''.

Ehh, ez most csak mellekes, haverral letoltottunk par IC adatlapot a
datasheetarchive.com-rol[1], amikor kivalasztasz valamit es toltened a
PDF-et ott is CAPTCHA van, amit ha jol beirtal akkor indul a letoltes, a
baj csak az hogy a kirakott szo betui kulon image-ekbol allnak es ezen
image-ek fajlnevei ugy neznek ki hogy a.gif b.gif c.gif ... (vagy valami
ilyesmi). tripple D'oh

Footnotes:
[1] http://www.datasheetarchive.com/download.php?pi=240171

--
....sutongi tti olleh

Mint írtam "...nem kötelező, itt sem lenne az, csak épp az aláíratlan emailt pont annyira vennék komolyan, mint a névtelen levelezőlapot...".

Továbbra is meglenne a lehetőséged, hogy aláíratlan levelet küldj (pl. a szavazócédulára sem írod rá a neved), csak épp a címzettnél lenne a döntés, hogy ő ilyet meg szeretne-e kapni vagy sem.

Nálad az a döntés, hogy aláírod-e, nálam meg az, hogy fogadom-e. Ennél tisztábbat nem tudok elképzelni.

De azert gondolom te is erzed a sulyt, a kulonseget akozott, hogy egy-egy eszkoz, szolgaltatas hasznalata fejeben (ahol esetleg fizikai kart is okozhatsz) nyilvan akarnak tartani, hogy eloveheto legyel, ha megrongaltad pl. a kolcsonzott konyvet vagy a sportklub felszereleset; vagy pedig minden egyes emailed hitelesitve lesz, ha pedig nem, akkor senki sem veszi komolyan. Jo a pelda amit irsz: a szavazocedula. Azert mert nem irom ala, maris komolytalan lesz? Akkor minek ez a hercehurca? Mert azt mondod, hogy az alairatlan email komolytalan. Persze, lehet mondani, hogy az email is egy szolgaltatas, s aki hasznani akarja az feleljen meg ezeknek az elvarasoknak, vagy ki van zarva. Ez esetben szerintem eleg hamar nekiallnanak (lehet, hogy epp az opensource kozosseg tagjai) egy uj protokoll kialakitasanak, ami nem vet fel ilyen kotelessegeket.

Azért ne tévesszük szem elől, hogy szavazásnál az azt rendező (állam bácsi) azért elkéri a személyidet, a lakcímkártyádat, a címre szóló értesítőlapodat, és aláírat veled egy jegyzőkönyv értékű megjelenési ívet, tehát ennél kevésbé anonim már csak az ujjlenyomat lehetne.

És a spammel pont az a baj, hogy kárt okoz! Persze van, ahol nem, ergo egy viccmagazinba íráshoz tényleg minek aláírni, de ez már esetfüggő.

Tehát abban igazad van, hogy nem _kell_ mindenhol kötelezőnek lennie, de épp ez az, amit javasoltam: dönthesse el a címzett, hogy mit vár el, és dönthesse el a feladó, hogy erre hajlandó-e.

Nem kényszeríteni szeretnék mindenkit erre, csak lehetőséget adni azoknak, akik elvárást szeretnének támasztani, hogy ne érje őket kár.

Szerintem ahogy a könyvtártól érthető, hogy le akarja verni a könyvrongálással okozott kárt a vandálon, úgy tőlem is érthető, ha ki akarom iktatni a spammert, aki lopja a sávszélességemet, a tárhelyemet, a levélválogatással töltött időmet, a víruskergetésre fordított cpu-kapacitásomat, sávszélességemet, adminisztrációs időmet, az esetlegesen átjövő vírusok által kárt okoz, ill. ha vannak usereim, akkor elégedetlenné teszi őket.

" a kirakott szo betui kulon image-ekbol allnak es ezen

image-ek fajlnevei ugy neznek ki hogy a.gif b.gif c.gif ... "

ROTFL, hozzáérthető lehetett aki így valósította meg...

Egyébként az olyan ellenőrzés mint amilyet én is próbáltam [hunger.hunsicker.net] valóban nem tökéletes (de könnyen lehetne bonyolítani ezt is), viszont amelyet pl. a magyarorszag.hu oldalon lehet látni regisztrálás után a cégkereső/gépjárműkereső menüpont alatt szerintem elég meggyöző... Megnézném, hogy arra ír-e valaki értelmező programot. A betűk nem csak össze-vissza vannak írva, hanem mindenféle képmanipuláló effektet is ráereszt a rendszer (pinch, twirl, wave, stb.). Szerintem erre nem túl egyszerű megfelelő algoritmust írni, de győzz meg. ;) Másrészről viszont tudom, hogy nem lehetne ezt bevezetni az ingyenes webes levelezőknél, mert ki a fene akarna minden egyes bejelentkezéskor a jelszava mellett még mindenféle hülye "tesztet" kitölteni.

( nevergone v | 2004. 10. 17., v – 16:10 )

Végigolvasva ez egy sokkal jobb ötletnek bizonyul, nagyobb biztonságot nyújt, hosszabb távon is. Azon kívűl az opensource közösség számára is jobban implementálható... :)

Szerintem az os közösség egy része már implementálja is ezt, csak nem pont ilyen formában, hanem a gpg aláírásokkal.

Amúgy tényleg elvieg korrektnek tűnik.

Kérdés, hogy ki fogja szabadalmaztatni és akar-e pénzt szedni érte... mert ezen sajnos megbukhat a dolog. (Remélhatőleg a gpg aláírások technikája elég ok arra, hogy ne lehessen ezt innovatívnak tekinteni és levédetni)

( uid_228 | 2004. 10. 17., v – 17:18 )

Az egésszel az a baj, hogy megint a legitim levélküldő és -fogadó szív: a digitális aláírás ellenőrzése CPU-igényes. Az SPF ha nem is tökéletes, de legalább nem igényel túlzott erőforrásokat. A greylisting szintén jobb, ilyen szempontból.

Próbáld ki az openssl speed parancsával!

512bites rsa-t egy P3/700 4860-at tud másodpercenként ellenőrizni. Ehhez még jön mondjuk egy md5 vagy sha számolás, 8kbyte-os emailből 12400-at számol végig másodpercenként.

Tehát 1 óra alatt átlagosan 8k-s emailekből a fenti gép 12 milliót tudna leelenőrizni.

Mivel itt spam szűrésről van szó és nem katonai titkokról ezért szerintem bőven elég az 512bit. Nem hinném, hogy a spam küldők minden egyes spam levél elküldéséért képesek lennének egy szuperszámítógéppel éveken át számoltatni egy hamis aláírást. (és akkor nagyon alábecsültem az szükséges időt!)

( siposa v | 2004. 10. 18., h – 09:30 )

A Slashdot szerint a Google mar elkezdte implementalni: http://it.slashdot.org/it/04/10/18/0236201.shtml?tid=111&tid=217&tid=95&tid=1

( gsimon | 2004. 10. 18., h – 09:52 )

Ez _még mindig_ csak a domain-t authentikálja, ergo a spammer csinál egy hotmail-es vagy freemail-es vagy tetszoleges [ingyen|publikus]levelezős címet, megkapja a kulcsot, aztan spammel nem jozsi@levelezo.com-ról, hanem pista@levelezo.com-ról. (A kulcs ui. nem a usernévre, hanem a domain-re szól!)

Pedig nem a domainek spammelnek, hanem csak egyes userek. Ha már úgyis ellenőrzünk aláírást, nem egyszerűbb lenne, ha a user írná alá a maga saját kulcsával? Aztán ha spamet kapok, akkor nem kell a szolgáltatóknak vállat vonogatni, hogy "én nem tudom, ki volt az", hanem én _tudom_, hogy ki volt az, és egyszerűen rászakasztom az eget, (jelentsen ez perelést vagy bikacsökkel történő megkeresést :)) és kész.

Ami ehhez kell: ellenőrizhetően bejegyzett (nem self-signed) kulcs lehetősége mindenkinek. Ezt egyrészt megcsinálják a CA-k (pénzért), de akár megcsinálhatnák az ISP-k is az ügyfeleiknek. Mindenki kapja a drótot valami ISP-től, fizet is érte, ergo az ISP-knek sem szakadna le gyűrű az ujjukról, ha beállítanék hozzájuk a szerződésemmel meg egy publikus kulccsal, hogy "ezt írd alá, azzal a kulcsoddal, amit aláírattál egy hivatalos CA-val".

És akkor én mint egységsugarú user azt mondanám, hogy az aláíratlan levelekre csuklóból 550 denied, a sales@cegnev.hu meg kapjon meg mindent, ha nem akarja így lekorlátozni, a kereskedő meg válogassa a spameket, a munkaidejébe beszámít.

Ez így nem oldaná meg véletlenül az egész problémát, rögtön a gyökereinél?

(A többcímzettes levelek kezelésénél lenne egy gubanc, amihez kellene egy smtp extension, elismerem.)

A kulcs maga valoban domaint hitelesit, de minden egyes atmeno levelnek teljesen egyedi hash-e lesz. Nyilvan a kuldo MTA nem fog minden levelet csipobol alairni, hanem csak azokat, amelyeknek a kuldi authentikaltak magukat (pl. SMTP Auth). Ez az egesz arra lesz jo, hogy ha te kapsz egy levelet az upgrade@microsoft.com cimrol, de az 1) vagy nincs is alairva 2) vagy nem az ms.com kulcsaval akkor kapasbol jo okod van arra, hogy ne bizz meg benne.

( Finrod | 2004. 10. 18., h – 12:09 )

Es ez hogy szabadit meg minket a spamektol? Nem az a nagy gond, hogy ismert feladoval jon spam (ez elenyeszo arany).... A gond az hogy jon...

Igy is ranezesre megallapithato mi a spam mi nem az, a spam tulnyomo tobbsegenel...

De attol meg ott van... ki kell valogatni oket... a kivalogatast oldjak meg... legyen eroforrasigenyes egy level elkuldese.

Legyen sokkal eroforrasigenyesebb egy olyan level elkuldese, ami sok recipientet tartalmaz.

Legyenek a szolgaltatok mailszerverei whitelistelve az eroforrasigenyesseg alol, es legyen up-to-date a whitelist es frissitsek a szerverek orankent... (es persze legyen biztonsagos helyen).

Ez igaz, de én azt szeretném elérni, hogy ha kapok spamet (mert ha valaki küldhet nekem rendes levelet, akkor spamet is), akkor meg tudjam találni az illetőt, és rá tudjam húzni a vizes lepedőt, azaz nem csak a legitim levelek feladóját akarom tudni (törvény által elfogadottan) azonosítani, hanem mindegyikét.

Merthogy nem vígasz, hogy a kapott 1000 spam-ből mind az 1000 tényleg abból a domain-ből jött, ahonnan mondja, mert _már itt vannak_. Meg akarom találni az feladót, és leállítani, ahogy lehet.

Az smtp auth-os esetben ilyenkor meg kell keresnem a domain karbantartóját, és visszakerestetni vele, hogy ez a levél kinek a nevével lett authentikálva, amihez az ISP-nek ezt a log-ot (auth info, levél md5, stb.) hetekig archiválnia kell, ami egy nagy ISP-nél irgalmatlan tárhely. Ha viszont magában a levélben van a _feladó hiteles aláírása_, akkor az ISP-t ki is hagyhatom, perelhetem közvetlenül a spammert, mert tudom, hogy ki az.

A másik probléma, hogy az ingyenes mail-szolgáltatások esetén bárki csinálhat magának (kamu) usernevet/passwordöt, és spammelhet vígan, korrektül authentikálva magát, a domain aláírás is hiteles lesz. És nem zárhatok ki minden ingyenes mailer domaint, mert egyrészt napról napra nyílnak újak a világon, másrészt sok embernek csak ilyen mail-je van.

(Még mielőtt valaki felvetné: web-es felületű levélküldést is lehet automatizálni, nem csak az smtp-t.)

Fules,

ez mindenesetre hatekonyan csokkentene az ugyanazon eroforrasfelhasznalas altal elkuldheto spam mennyiseget, mikozben

- a nagy de legalis internetszolgaltatok mailszerverei nincsenek penalizalva,

- a kisforgalmu mailszerverek pedig nem erzik meg azt hogy kevesebb mailt tudnak ugyanannyi ido alatt kuldeni, mert ugysem akarjak kihasznalni a teljes idejuket.

Ha pedig mondjuk ezerszeresere no a spamkuldes eroforrasigenye, akkor joval dragabb lesz egy spam elkuldesi koltsege, esetleg kevesbe fogja megerni.

A kevesebb tokeeros spamszolgaltato pedig jobban latoterbe kerul, ezaltal konnyebben penalizalhato.

A webes kuldeshez is meg lehet oldani, hogy ne lehessen automatizalni... csak folyton ujabb es ujabb technikakat kell kitalalni, amire nem lehet megfelelo alakfelismero rendszert irni...

Valamint korlatozni lehet az ipcimrol kuldheto levelek szamat, amit smtp-vel nem feltetlen celszeru, de ott is megteheto...

Az erőforrásigényről nem vagyok meggyőződve, mert az aláírás csak a levéltörzsre vonatkozhat (különben az első Received: elrontaná), az meg 1 db/spam, azaz 1 db/1e6 címzett, azaz kibírható.

A másik probléma, hogy akkor így a domain beregisztrálója lenne (jogilag) felelős az összes róla kimenő levélért? Be fogják vállalni? Kötelező lesz nekik bevállalni? Mindenhol a világon? Mert ha nem, akkor jön a Tajvan Kettes Dzsunka Kft, beregisztrálja a tkdzs0.hu-t, a dns-be berakja a kulcsát, lespammeli a fél világot, aztán másnap reggel ugyanez tkdzs1.hu-val...

gsimon irta a kovetkezoket 2004-10-18 10:52 -n:
> Ez _még mindig_ csak a domain-t authentikálja, ergo a spammer csinál egy
> hotmail-es vagy freemail-es vagy tetszoleges [ingyen|publikus]levelezős
> címet, megkapja a kulcsot, aztan spammel nem jozsi@levelezo.com-ról, hanem
> pista@levelezo.com-ról. (A kulcs ui. nem a usernévre, hanem a domain-re
> szól!)

Ugylatszik, nemcsak en lattam meg ennek a megoldasnak a legnagyobb
hatulutojet...

IroNiQ
--
Web: http://ironiq.hu
Email: iron@ironiq.hu
LinuxCounter: #331532

Szerintem vakvágány, már csak azért is, mert vannak legitim levelek is a spam-ek összes (technikai) ismérvével, pl. a security announcement listák. Ezeket a leveleket is automatizmus küldi, rendszeresen, igen sok címzettnek, és nem egy vagy két ilyen van. Általában vett levlistából meg mint égen a csillag...

A gond ott van, hogy technikailag a spam és a normál levél tökéletesen ugyanúgy nézhet ki, a különbség csak a tartalomban van, a tartalom-alapú szűrések meg (jelenleg legalábbis) szélmalomharcnak néznek ki, tehát úgy néz ki, hogy a spamet a rendes levéltől csak ember különböztetheti meg, azaz az automatikus szűrés _nem oldható meg_. Innentől a spam blokkolását nem technikailag kell megoldani, hanem emberileg, ehhez viszont azonosítani kellene a spammert, a többi a jogászok dolga.

>>>>> Regarding 'Re: Spam ellenes technikák: DomainKeys'; gsimon adds:

gsimon> Pedig nem a domainek spammelnek, hanem csak egyes userek. Ha
gsimon> már úgyis ellenőrzünk aláírást, nem egyszerűbb lenne, ha a
gsimon> user írná alá a maga saját kulcsával?

Ezt csinalja a hashcash ha jol emlekszem (mar nagyon reg olvastam errol)

http://www.hashcash.org/

FAQ itt: http://www.hashcash.org/faq/

--
....sutongi tti olleh

Nem rossz, nem rossz! De azért..., inkább koppinttatnék a spammerek orrára a bíró kalapácsával :), minthogy a sok ártatlan user fűtse az univerzumot a felhasznált cpu-kapacitással. Arról nem is beszélve, hogy nagyon örülnék, ha végre elterjedne a hiteles e-mail kultúrája.

De ha nem alakul ki jobb, akkor eddig ez viszi nálam a prímet, úgyhogy köszi a tippet!

a legjobb módszer arra, hogy ne lehessen automatizálni a webes emailküldést az a számítógépes írásfelismerésben rejlik. eddig még csak 1 weboldalon láttam ezt, de nagyon hatásos tud lenne. úgy működik, hogy kirak képként egy olyan szöveget, amely el van kicsit torzítva, van rajta néhány bónusz vonal, és a szinek is nagyon hasonlóak. ebből az emberi agy ki tudja hámozni a szöveget, de egy program nem.

a képet a szerver állítja elő, de a formba bele kell írnod a "dekódolt" szöveget kézzel. (1xi jelszó)

ez a módszer még vagy hosszú ideig hatásos lesz, vagy óriásit fog fejlődni az írásfelismerés :)

ps.: lehetne a css-be egy "min-width: 100%;" -ot rakni ezeknél a textarea-knál? ie alatt meg használhatják miniben. nem győzök rollerezni :)

Sajna levlistákhoz kell tudni automatikusan küldeni, rendszergazdai figyelmeztető levelekhez is, stb.

Egyébként ha esetleg fejlődnek a képfelismerők, akkor lehet zenét bejátszani, aztán vagy felismeri, vagy nem :), legalábbis aki ismeri a Für Elise-t, mert úgyis az lesz az első :).

És elérkeztünk a klasszikus Turing-teszthez, vagyis hogy lehet felmérni, hogy egy intelligencia emberi szintű-e...

Van egy tippem: végig kell kattogtattatni a user-rel egy win installt, az átlag usernek ez heti rutin, egy MI viszont kardjába dől tőle :) !!!

El kell, hogy keseritselek, mai technologiaval sem olyan nehez ilyen szovegfelismerot irni... pl, ha jol emlekszem ignotus [ignotus.linuxforum.hu] irt (ot ismerve, lisp-ben ;)) valami mukodo szovegfelismerot, ami egy tanulasi fazis utan be tudott lepni ilyen technologiaval vedett webchat-re.