|
前言 这篇文章是我为了配合朋友－Windows IT Pro杂志社的编辑小夫而特别撰写的因为时间仓促难免有误如有不正之处欢迎大家指正 Sender ID框架规范概述 当今时代网络早已根深蒂固的融入到了大家的日常生活中电子邮件想必也早成为了大家联系亲朋好友乃至生意伙伴不可或缺的好帮手也正因为电子邮件的如此流行越来越多的人已经感受到了垃圾邮件带来的种种不便而这些又被叫做junk email或spam的垃圾邮件通常都是靠伪造发信人的地址来实现的这也是我们一般都知道的技术术语spoofing(欺骗)的一种 现在产业界为了针对这一日趋突出的问题而联合推出了所谓的Sender ID框架该框架就是针对垃圾邮件现象而提出的解决方案 该框架由三个主要部分组成 ．微软的Sender ID规范 ． 的Meng Wong制定的邮件发送者策略框架（SPF） ．递交者优化规范（SO） 该框架的目的就是通过对每一封发出的邮件的域名进行自动审核 只要能够做到消灭域名欺骗 核实发送者身份那么邮件发送者的域名名誉和品牌都会自然得到保护并且该框架规范还将协助邮件接受者可以更准确的进行针对垃圾邮件的过滤 现在该框架规范已经被递交给了因特网工程工作组(IETF)审核并等待批准 当前活跃在该框架规范化的各主要合作组织有 反垃圾技术联盟AntiSpam Technical Alliance (ASTA) 全球国际网络安全基础构架联盟Global Infrastructure Alliance for Internet Safety (GIAIS) 什么是Sender ID 具体来说 ．Sender ID是一种保护邮件发送者的品牌和域名被冒用的方式 ．Sender ID 是一种让邮件接受者核查邮件来源的方式 ．可以容许采用更多的垃圾邮件过滤的方式 ．是让域名被可靠使用的基础 注 Sender ID也不是完全的解决方法因为垃圾邮件发送者也会注册他们的域名不过这样做的好处是他们的域名可以被锁定 当前可以提供Sender ID框架方案的大型组织有 微软VeriSign BSPTrusted EIRONPOINT SystemsSend MailSymantec等 Sender ID 的工作原理 这里有几个关键步骤 发件者一次性登记自己的SPF记录后发送邮件给受件者 收件者的邮件接受服务器接受邮件 收件者的邮件服务器检查在邮件发送者登记在合法DNS里的邮件域名的SPF记录 邮件接受服务器然后核实邮件发送服务器的IP地址是否吻合该邮件域名登记在合法DNS里的IP地址 如果核实正确接受邮件 如果核实不正确则拒绝邮件（如图） SPF记录的格式 SPF记录的格式有很多种我在这里只列举有两种最简单的举例说明 ． TXT v=spf all 说明这个域名永远不会发送邮件 ． TXT v=spf mx all 说明这个域名可以发送和接受邮件并且发送和接受的服务器是同一个 如果要更详细的有关SPF记录的资料说明你可以查阅 什么是PRA PRA的意思是假想响应地址（Purported Responsible Address）也就是在邮件发送过程中所有邮件发送服务器的地址PRA的来源有很多比较常见的有 ．发送者源始服务器（这种多发生在小型网络中及发送者和接受者的邮件服务器中没有第三者存在） ．邮件转发服务器地址（多发生在大型网络中及发送者和接受者的邮件服务器中有第三者存在） ．更复杂的还包括邮件代发服务器地址（这种通常就是当你浏览网页时有的网页提供类似发给你的朋友之类的功能你是邮件发送人可是服务器却是该网站的邮件服务器） 如果要知道更多关于PRA的资料你可以查询[RFC] 既然讲到了PRA那么这里还有一个不得不提的就是Submitter Optimization（SO） 这是一个相对于SMTP 邮件命令的可选延伸它容许发件者在SMTP协议中宣布PRA 如果一旦使用只要PRA和邮件的来源不同你就必须要在邮件的FROM命令里加入 SUBMITTER=的参数 举例 下面我以一个比较具体的邮件例子来说明 S: sampledomainedu ESMTP server ready C: EHLO S: sampledomainedu S: DSN S: AUTH S: SUBMITTER 《＝加入递交者对EHLO的回应 S: SIZE C: MAIL FROM: SUBMITTER=《＝递交者参数的注入 S: sender ok C: RCPT TO: S: recipient ok C: DATA S: okay send message C: From: C: (message body goes here) C: S: message accepted C: QUIT S: goodbye 从上面的例子我们可以看到一旦在SMTP协议中包括了递交者信息以及结合邮件发送者的SPF记录垃圾邮件的查处就容易多了 后记虽然这是业界针对垃圾邮件及网络安全的一大动向但是由于牵涉到的范围很大真正可以具体实现的时间还需要我们拭目以待呀 |
