ZJAWISKU. Bartosz Pleban Śląska WyŜsza Szkoła Zarządzania

Transkrypt

1 Streszczenie ORGANIZACJA W OBLICZU PROBLEMU SPAMU - CHARAKTERYSTYKA I PRZECIWDZIAŁANIE ZJAWISKU Bartosz Pleban Śląska WyŜsza Szkoła Zarządzania pleban@mensa.org.pl Jednym z kluczowych elementów obiegu informacji w organizacji stanowi poczta elektroniczna. Łatwość i niskie koszty wysyłania informacji tą drogą prowadzi do wielu naduŝyć. Jednym z takich czynników negatywnych jest zjawisko Spamu. Niniejszy artykuł traktuje o wpływie niepoŝądanej poczty elektronicznej na organizację. Przedstawione są teŝ wybrane środki przeciwdziałające temu zjawisku i problemy prawne z tym związane. Słowa kluczowe: Spam, poczta elektroniczna, bezpieczeństwo, Internet Pojęcie Spamu Spam określany równieŝ UCE unsolicited commercial (niezamawiany komercyjny ) lub UBE unsolicited bulk (niezamawiany wielokrotny ) - to takie informacje lub przesyłki, których odbiorca sobie nie zaŝyczył ani wcześniej na nie się nie zgodził, powodujące nieekonomiczne wykorzystanie uŝytych do przesyłki zasobów [WWW1]. Dynamiczny wzrost niechcianej poczty wynika z motywacji ekonomicznej jej twórców, którzy przy minimalnych kosztach, korzystając z efektu skali osiągają znaczne zyski z zamieszczanej reklamy. Elektroniczna wiadomość jest spamem, JEśELI: treść i kontekst wiadomości są niezaleŝne od toŝsamości odbiorcy, poniewaŝ ta sama treść moŝe być skierowana do wielu innych potencjalnych odbiorców, ORAZ jej odbiorca nie wyraził uprzedniej, moŝliwej do weryfikacji, zamierzonej, wyraźnej i zawsze odwoływalnej zgody na otrzymanie tej wiadomości, Sama nazwa Spam wywodzi się ze skeczu brytyjskiej grupy satyrycznej Monty Pythona, gdzie w jednym ze skeczy słowo Spam (mielonka), powtarzane było bardzo często.

2 224 Teoretyczne podstawy tworzenia SWO i strategie budowy e-biznesu ORAZ treść wiadomości daje odbiorcy podstawę do przypuszczeń, iŝ nadawca wskutek jej wysłania moŝe odnieść korzyści nieproporcjonalne w stosunku do korzyści odbiorcy wynikających z jej odebrania. Rodzaje Spamu Wraz z pojawianiem się coraz większej ilości niechcianych przez uŝytkowników treści wyróŝniono kilka ich odmian. Ich głównym celem jest juŝ nie tylko rozpowszechnianie reklamy, ale równieŝ przeciąŝanie łącz bądź wyłudzanie pieniędzy. Hoax (fałszywka) list elektroniczny będący ostrzeŝeniem przed czymś istotnym, z prośbą o rozesłanie go do innych. Najczęściej są to ostrzeŝenia o nieistniejących wirusach [WWW2]. Niekiedy taka treść zawiera w sobie fałszywe metody ich pozbycia się. polegające np. na wykasowaniu istotnych plików! Fakt ten powoduje przyszłe ignorowanie tego typu informacji w przypadku gdyby były prawdziwe, Zombie program dołączany do wysłanego listu zawierający kod, który rozsyła daną informację pobierając np. adresy ze skrzynki adresowej programu pocztowego. Zapewnia to Spamerowi zdecentralizowanie punktu wysyłki, przez co staje się trudniejszy do wykrycia, EMP (Excessive Multi-Posting) Łańcuszki szczęścia i inne treści mające za cel jedynie coraz większe rozpowszechnienie, wykorzystując psychologię odbiorcy, Joe-job Spam mający na celu pobranie adresu uŝytkownika, aby wpisać go na inne listy adresowe. Najczęściej przyjmuje formę listu informującego o moŝliwości wypisania się z listy. W rzeczywistości, gdy uŝytkownik to uczyni, zostaje dopisany do innej grupy, MS Messenger - to podobne do komunikatów systemowych okienka, pojawiające się w systemach Windows NT, XP i Są to wiadomości wyświetlane przez usługę Windows Messengera. W normalnych warunkach usługa ta jest wykorzystywana np. przez administratora serwera do komunikacji z uŝytkownikami, MMF (Make Money Fast) treści mające na cel wyłudzenie pieniędzy pod pretekstem piramid finansowych, pomocy choremu czy teŝ tak zwany nigeryjski łącznik Spam mający za cel wyłudzenie pieniędzy pod pretekstem propozycji najczęściej afrykańskich krajów w transferze finansów, Reklama - UCE (Unsolicited Commercial ) najpopularniejsza forma Spamu, czyli wysyłanie reklam do duŝej grupy adresatów bez ich zgody,

3 Organizacja w obliczu problemu Spamu charakterystyka ECP (Excessive Cross-Posting) listy wysyłane masowo do wielu grup dyskusyjnych. ZagroŜenia dla organizacji Zalew niechcianej poczty prowadzi do wielu niepoŝądanych następstw. Wynikają one z wielu bezpośrednich lub pośrednich strat, które często nie są uświadamiane tak przez samych pracowników jak i pracodawców. Podstawowe źródła strat moŝna podzielić na następujące grupy [Pi03], [ZiBr03]: straty wynikające z obciąŝenia zasobów serwerów i infrastruktury sieciowej pośredniczących w wysyłce nadmiernej ilości listów elektronicznych. Wymusza to często potrzebę rozbudowy tych elementów, aby zachować dotychczasowy poziom usług. Przykładowo wysłanie treści o objętości 2-20 kb do kilku tysięcy odbiorców powoduje wygenerowanie transmisji danych rzędu kilku GB, w krótkim okresie czasu, koszty ponoszone przez ISP (Internet Service Provider), spowodowane analizą zgłoszeń o Spamie ze strony klientów, jak równieŝ wydatkami na środki przeciwdziałające, jak np. odpowiednie oprogramowanie, straty pośrednie wynikające ze straty czasu poświęcanego przez pracowników na kasowanie niechcianych i. W trakcie tego procesu często zdarza się usunięcie waŝnej korespondencji. Występuje równieŝ moŝliwość zablokowania skrzynki pocztowej na skutek jej przepełnienia, bezpośrednie straty finansowe wynikające ze skorzystania z oferty, najczęściej fałszywej, zawartej w treści Spamu, firmy ponoszą straty w wyniku dodania adresów ich serwerów do czarnych list, wówczas, gdy są one wykorzystywane bez wiedzy właścicieli. Powoduje to blokadę tego źródła przez narzędzia zabezpieczające od strony klientów. Jednocześnie naraŝa firmę na utratę wiarygodności i zaufania, czynnik psychologiczny, powodujący obniŝenie zaufania do poczty elektronicznej jako pewnego i szybkiego medium wymiany informacji. Potrzeba zmiany adresów pocztowych, instalacji dodatkowych narzędzi antyspamowych, dodatkowo obciąŝają pracownika. Po za tym odbiorca moŝe być teŝ naraŝony na straty moralne wywołane przez samą treść Spamu, na przykład reklamy produktów erotycznych czy teŝ prośby o pomoc finansową dla chorej osoby, W konsekwencji elementy te powodują spadek produktywności organizacji. Coraz większy chaos w poczcie elektronicznej, powoduje dezorganizację komunikacji z klientami, jak równieŝ brak moŝliwości odbioru niekiedy waŝnych komunikatów ze źródeł zewnętrznych, szczególnie w przypadku Spamu typu Hoax. Stosunek kosztów ponoszonych przez firmy wysyłające Spam, do tych

4 226 Teoretyczne podstawy tworzenia SWO i strategie budowy e-biznesu które ponoszone są przez jego odbiorców, powodują niekorzystny wydźwięk całego zjawiska. Dla przykładu według firmy konsultingowej Radicati Group, koszty ponoszone przez gospodarkę światową związane ze Spamem w2003 roku wynosiły 20,5 mld $, a szacuje się, Ŝe w 2004 roku osiągną pułap 41 mld $ [WWW1]. Koszty moŝna wyliczyć przy uŝyciu interaktywnego kalkulatora umieszczonego na stronie: IDC_ROI_Calculator.htm Przy uŝyciu tego narzędzia moŝna przygotować pięcioletnią analizę zwrotu z inwestycji w rozwiązanie zabezpieczające przed spamem, z uwzględnieniem rocznej wartości zwrotu z inwestycji [WWW3]. Metody ochrony Zasadniczy problem utrudniający prostą walkę ze Spamem tkwi w budowie protokołu SMPT (Simple Mail Transfer Protocol), który nie zawiera mechanizmu umoŝliwiającego weryfikację nadawcy przez adres pocztowy i adres IP. Z związku z tym moŝliwe jest podszywanie się pod innego nadawcę. Szacuje się, Ŝe ok 50% Spamu wykorzystuje sfałszowane adresy IP [Pa04]. Zjawisko Spamu wykorzystuje najczęściej psychologię odbiorcy. Listy elektroniczne opatrzone są tytułem, który ma przyciągnąć uwagę i zachęcić do otwarcia listu. Sama treść równieŝ moŝe stanowić specjalnie spreparowany komunikat, który ma na celu rozesłanie listu przez samego uŝytkownika dalej, lub otwarcie załącznika, będącego programem pasoŝytniczym. Ze względu na specyfikę omawianego problemu nie istnieje jedna skuteczna metoda przeciwdziałania Spamowi. Na dzień dzisiejszy działania mogą być pasywne, ograniczone do szkoleń i działań prewencyjnych, oraz aktywne polegające na zastawianiu tzw. pułapek antyspamowych, które mają sparaliŝować domniemanego nadawcę. Podstawowe działania, które naleŝy uwzględnić, polegają na zrozumieniu mechanizmów, którymi posługują się twórcy Spamu. Główne z nich to: Ochrona adresu . Spam jest dostarczany pod dany adres na skutek świadomych czynności jego posiadacza, bądź w wyniku działania robotów sieciowych (hervester), które odczytują adresy pocztowe ze stron WWW wykrywając Podstawową ochroną przed Spamem jest ograniczanie podawania adresu konta pocztowego. Nie wpisywanie go w ankietach elektronicznych, newsletterach. Inną metodą jest nie podawanie pełnej struktury adresu na witrynie internetowej tylko sposobu jej tworzenia. Na przykład nazwa działu plus nazwa serwera, bądź umieszczanie adresu w postaci graficznej, niemoŝliwej do odczytania automatycznego,

5 Organizacja w obliczu problemu Spamu charakterystyka Blokowanie adresu źródła Spamu, czy teŝ nagłówka listu z poziomu programu pocztowego. Najprostsza metoda, lecz najmniej skuteczna. Nagłówki listów zawierających niechcianą treść są dynamicznie zmieniane i najczęściej nie powtarzają się, Generowanie fałszywych adresów. Metoda polegająca na umieszczeniu na stronie WWW adresów nieistniejących kont widocznych jedynie przez roboty sieciowe. Powoduje to lawinowe zwroty w kierunku spamującego, Automatyczne białe listy generowane na podstawie analizy przebiegu kontaktów uŝytkownika, filtrujące adresy, do których wcześniej nie były wysyłane listy, Tworzenia i wykorzystywanie czarnych list, czyli bazy danych adresów źródeł Spamu. Są one tworzone post factum, blokując ten adres przed odbiorem. Jest to niezbyt skuteczne rozwiązanie ze względu na ciągłe zmienianie adresów, czy teŝ wykorzystywanie innych serwerów poprzez tzw. open relay. Luka ta znajdująca się na serwerze umoŝliwia bez wiedzy właściciela uŝycie go jako pośrednika w masowej wysyłce Spamu, Metoda do tej pory nie zastosowaną, a szczególnie uŝyteczną w realiach polskich byłaby metoda analizy słownikowej. Metoda polegałaby na blokowaniu do poczty napisanej w innych językach niŝ polski. Zasada działania oparta mogłaby być na przykład na porównywaniu losowo wybranych słów z treści nagłówka bądź listu ze słownikiem polskim, Inne podejście prezentuje firma Microsoft, która zaproponowała dwa rozwiązania. Penny Black Ŝądanie od komputera nadawcy, aby przy kaŝdym wysłanym liście musiał rozwiązać skomplikowany problem obliczeniowy, co by uniemoŝliwiło jednoczesne wysłanie wielu listów naraz. Druga metoda to tzw. Caller ID technologia, która wymagałaby modyfikacji rejestrów serwera DNS obsługującego domenę nadawcy, tak aby mechanizm weryfikacji adresów, mógł uruchomić odpowiednie procedury [Pa04]. Obecnie najskuteczniejszą metodą jest algorytm wykorzystujący funkcje statystyczne Thomasa Bayesa [Gr04], [Ko04]. Wg wzoru: P=(a/b)/[(a/b)+(c/d)] gdzie: P prawdopodobieństwo, Ŝe strona zawierająca dane słowo jest Spamem a ilość stron uznanych za Spam w jakich występuje dane słowo b ilość wszystkich stron uznanych za Spam c ilość stron uznanych zz prawidłowe w jakich występuje dane słowo d ilość stron uznanych jako prawidłowe strony WWW

6 228 Teoretyczne podstawy tworzenia SWO i strategie budowy e-biznesu W praktyce działanie tego mechanizmu polega na utworzeniu dla kaŝdego odbiorcy na serwerze pocztowym lub oprogramowaniu klienckim dwóch plików, które zawierają informacje o cechach charakterystycznych dla Spamu i dozwolonej poczty elektronicznej. Zbiory te, są powiększane przez samych uŝytkowników, którzy zaznaczają początkowo, które listy naleŝą do jakiej kategorii. Metoda uczenia się zwana TOE (Train Only Errors) polega na wskazywaniu systemowi bazującemu na filtrze Bayesa tylko tych listów, które zostały błędnie zaklasyfikowane. System po kilkudziesięciu krokach staje się skuteczny w ponad 90% [Gr04]. Oprócz wyŝej wymienionych, waŝnym czynnikiem jest szkolenie i uświadamianie zagroŝeń, jakie wynikają ze strony Spamu. Zadania te powinny być uwzględnione w polityce bezpieczeństwa firmy. KaŜdy pracownik ma mieć świadomość wartości jego adresu pocztowego, który moŝe być nieprawidłowo wykorzystany i skutków, które mogą być uciąŝliwe nie tylko dla niego samego, ale równieŝ przynieść wymierne straty w organizacji. Aspekty prawne skuteczność metod antyspamowych metoda współczynnik skuteczności algorytm Bayesa 99,98% metody heurystyczne 90-95% filtry oparte na wzorcach 50-70% czarne listy 15-25% Aby walka ze zjawiskiem Spamu była skuteczna, powinna zostać zcentralizowana w obrębie poszczególnych państw, a najlepiej globalnie i unormowana prawnie. Dyrektywy Unii Europejskiej z 2002 roku o ochronie prywatności i przetwarzaniu danych osobowych w sektorze komunikacji elektronicznej prezentują dwa podejścia. Pierwsza opcja opt-in daje moŝliwość rozsyłania informacji tylko za wyraźną zgodą odbiorcy. Drugie podejście opt-out zapewnia wysyłanie Spamu do chwili sprzeciwu odbiorcy [Gi02]. Jednym z pierwszych państw, które wprowadziło ustawy antyspamowe była Polska. Wiele unormowań w Polskim prawie, pośrednio czy teŝ bezpośrednio moŝe być uŝyte do walki ze zjawiskiem Spamu i instytucjami czy teŝ osobami ze nie odpowiedzialnymi. Począwszy od Konstytucji, która w Art. 47. gwarantuje prawną ochronę Ŝycia prywatnego, aŝ po Ustawa z dnia 18 lipca 2002 r. o świadczeniu usług drogą elektroniczną (Dz.U. Nr 144 z 2002 r., poz. 1204). Ustawa weszła w Ŝycie dnia 10.III.2003 r. Praktycznie cała ta ustawa dotyczy problemu ochrony osób prywatnych przed komercyjnym Spamem. Jest ona realizacją dyrektywy 2000/31/EC oraz częściowo dyrektywy 2002/58/EC Komisji Europejskiej.

7 Organizacja w obliczu problemu Spamu charakterystyka Z punktu widzenia rozpatrywanego tematu najistotniejsze są dwa artykuły: Art Zakazane jest przesyłanie niezamówionej informacji handlowej skierowanej do oznaczonego odbiorcy za pomocą środków komunikacji elektronicznej, w szczególności poczty elektronicznej. (...) 3. Działanie, o którym mowa w ust. 1, stanowi czyn nieuczciwej konkurencji (...) Art Kto przesyła za pomocą środków komunikacji elektronicznej niezamówione informacje handlowe, podlega karze grzywny. (...) 2. Ściganie wykroczenia, o którym mowa w ust. 1, następuje na wniosek pokrzywdzonego. JednakŜe normy prawne, nawet najlepsze, wobec globalnego oblicza Internetu i wszystkich zjawisk z nim związanych są nieskuteczne, jeŝeli obejmują pojedyncze państwa. Najczęściej Spam rozsyłany jest za pośrednictwem serwerów znajdujących się w państwach, które takich norm nie posiadają. Spam narodził się jako forma reklamy mailingowej. Będąc najtańszą formą dotarcia do duŝej ilości odbiorców, staje się coraz popularniejszy, a liczne luki w zabezpieczeniach i mentalność ludzka powoduje, Ŝe staje się kolejnym zagroŝeniem nie tylko dla osób prywatnych, ale równieŝ organizacji. Jak w przypadku wielu nowych rozwiązań cywilizacja staje przed kolejnym problem dotyczącym wolności przepływu informacji z jednej strony, a z drugiej poszanowaniem praw jej odbiorcy. Literatura [WWW1] [WWW2] [WWW3] [Pi03] Pietruszkiewicz W.: Spam w przedsiębiorstwie, Internet 2/2003 [Ko04] Koziński M.: Nie daj się zasypać, Teleinfo 12/2004 [Gi02] Gienas K.: Opt-in, czyli koniec niechcianej poczty, WWW 10/2002 [ZiBr03] Zimnicki M., Brózda J.: Jak się bronić przed Spamem?, Internet 3/2003 [Gr04] Grabowski T.: Bayes wiecznie Ŝywy, Computerworld 14/2004 [Pa04] Pawłowicz W.: Pocztowy ból głowy, Computerworld 11/2004

8 230 Teoretyczne podstawy tworzenia SWO i strategie budowy e-biznesu ORGANIZATION IN THE FACE OF PROBLEM OF SPAM CHARACTERISTIC AND PREVENTION One of the key elements of information flow in an organization is electronic mail. Ease of use and low costs of sending lead to a lot of vulnerabilities. One of such negative elements is Spam. This article describes the influence of junk mail on an organization. Described are also chosen means of prevention and associated with it legal issues. Key words: Spam, , security, Internet