Wprowadzenie do SPF

ArticleCategory: [Choose a category, translators: do not translate this, see list below for available categories]

Software Development

AuthorImage:[Here we need a little image from you]

TranslationInfo:[Author + translation history. mailto: or http://homepage]

original in en Bruno Sousa

en to pl Artur R. Sierp

AboutTheAuthor:[A small biography about the author]

Bruno studiuje w Portugalii. Wolny czas po�wi�ca Linuksowi i fotografii.

Abstract:[Here you write a little summary]

SPF oznacza Sender Policy Framework (przyp. t�.: co w wolnym t�umaczeniu oznacza "Szkielet Polityki Bezpiecze�stwa Nadawcy"). W swej istocie stara si� on by� standardem zabezpieczaj�cym przed fa�szowaniem adres�w e-mail. Ten artyku� jest kr�tkim wprawadzeniem do SPF oraz opisuje jego zalety i wady.

ArticleIllustration:[One image that will end up at the top of the article]

ArticleBody:[The main part of the article]

SPF mia� sw�j pocz�tek w roku 2003. Jego tw�rca Meng Weng Wong zebra� najlepsze cechy Reverse MX i DMP ( Designated Mailer Protocol) powo�uj�c do �ycia SPF.
SPF u�ywa return-path ( �cie�ki powrotnej ) lub MAIL FROM ( list od ) wyst�puj�ce w nag��wku wiadomo�ci email. Wszyskie MTA (serwery zajmuj�ce sie dostarczaniem poczty) u�ywaj� tego nag��wka, chocia� pojawi�a sie nowa propozycja sygnowana przez Micro$oft (brrr, brrr) zwana PRA (Purported Responsible Address). PRA odzwierciedla w tym przypadku adres nadawcy.
Kiedy wi�c po��czymy razem SPF i PRA otrzymamy Sender ID (numer indentyfikuj�cy nadawc�). Sender ID pozwala u�ytkownikowi , kt�ry otrzyma� email, na sprawdzenie nadawcy poprzez zawarto�ci nag��wka (MAIL FROM)- za pomoc� SPF, a dok�adniej m�wiac to MTA sprawdza (MAIL FROM) a MUA dokonuje sprawdzenia za pomoc� mechanizmu PRA.
Aktualnie SPF aby dzia�a� poprawnie potrzebuje DNSa. Dok�adniej m�wi�c rekord "reverse MX" musi by� dost�pny na DNS, aby mo�liwe by�o jednoznaczne okre�lenie maszyny wraz z domen� z kt�rej zosta� wys�any list. R�ni sie to od "zwyk�ego" MX , u�ywanego obecnie, pozwalaj�cego na okre�lenie jedynie domeny z kt�rej pochodzi nadawca listu.

Czego SPF wymaga do prawid�owego dzia�ania?

Aby chroni� sw�j system za pomoc� SPF musisz:

Skonfiguruj sw�j DNS dodaj�c rekord TXT, gdzie o znajduj�ce sie tam informacje bedzie pyta� SPF.
Skonfiguruj sw�j serwer pocztowy (qmail, sendmail) pod kontem SPF, co oznacza� b�dzie weryfikacj� ka�dej wiadomo�ci na serwerze.

Najpierw swoj� uwag� skupimy na punkcie pierwszym , czyli na serwerze DNS odpowiedzialnym za dan� domen�. W tej cz�ci artyku�u opiszemy szczeg�y rekordu TXT. Jedyn� rzecz� z kt�ra sie spotkasz jest sk�adnia plik�w konfiguracyjnych twojego serwera DNS. Nie obiawiaj sie tego tak bardzo, gdy� na oficjalnej stronie SPF znajduje si� wspania�y opis , kt�ry poprowadzi Cie za r�czke. h2>Rekord TXT dla SPF Format rekordu TXT dla SPF przedstawia si� nast�puj�co:

		v=spf1 [[pre] type [ext] ] ... [mod]

Znaczenie ka�dego parametru jest nast�puj�ce:

Parametr

Opis

v=spf1

Wersja SPF. Kiedy u�ywasz Sender ID to ustaw : v=spf2

pre

Kody powrotu. Zwracane podczas wyst�pienia dopasowania:

Mo�liwe warto�ci:

Warto��	Opis
+	Domy�lne. Oznacza przej�cie testu.
-	Oznacza nie przej�cie testu.
~	Miekki b��d (Soft fail). Warto�� normalnie przypisywana kiedy test nie jest ostateczny.
?	Neutralny. Warto�� normalnie przypisywana kiedy test nie jest ostateczny.

type

Definicje typ�w u�ytych podczas weryfikacji.

Mo�liwe warto�ci:

Warto��	Opis
include	przy�acza domeny do testu. podaje si� go w formie include:domain
all	ko�czy sekwencje testu. Dla przyk�adu: podajemy -all i w�wczas je�eli wszystkie dotychczasowe (do wyst�pienia all) testy nie pasuj� , w�wczas ca�y test zawodzi. Gdy natomiast nie jeste�my pewni co do tego rozwi�zania , mo�emy poda� ?all w�wczas winik testu jest przyjmowany jako zaakceptowany.
ip4	U�ywa protoko�u IP4 podczas weryfikacji. U�ywany w formie ip4:ipv4 lub ip4:ipv4/cidr do zdefiniowania zasi�gu. Gdzie np.: ipv4 to 192.168.1.0. Ten protok� jest najbardziej zalecany.
ip6	U�ywa protoko�u IP6 podczas weryfikacji.
a	U�ywa domenowych nazw podczas weryfikacji. Czyta w DNS rekord A RR U�ywany w formie a:domain, a:domain/cidr lub a/cidr.
mx	U�ywa DNS MX RR podczas weryfikacji. Rekord MX RR definiuje odbieraj�cy MTA. Dla przyk�adu: je�eli nie b�dzie to ten sam MTA s�u��cy do wysy�anie, w�wczas test bazuj�cy na MX zawiedzie. U�ywany w formie mx:domain, mx:domian/cidr lub mx/cidr.
ptr	U�ywa DNS PTR RR podczas weryfikacji. W tym przypadku je�eli nazwa hosta znajduje si� w domenie w�wczas komunikacja zostaje zweryfikowana pozytywnie. U�ywany w formie ptr:domain.
exist	Test na istnienie domeny. U�ywany w formie exist:domain.

ext

Definiuje opcjonalne rozsze�enie do danego typu. Je�eli zostanie omini�te to w�wczas u�yta jest prosta forma (a, mx lub ptr)

mod

To jest ostatni typ i wyst�puje jako modyfikator.

Modyfikator	Opis
redirect	Przekazuje spos�b weryfikacji SPF zapisan� w podanej domenie. U�ywany w formie redirect=domain.
exp	Ten rekord musi wyst�pi� jako ostatni i pozwala na zmiane wysy�anej informacji o b��dzie. IN TXT "v=spf1 mx -all exp=getlost.example.com" getlost IN TXT "Nie masz autoryzacji do wysy�ania z tej domeny"

Hey, jestem ISP (t�.: "dostawc� us�ug sieciowych")

Oczywi�cie dostawcy mog� mie� trudno�ci ze swoimi klientami kt�rzy u�ywaj� POPa zamiast SASL SMTP.
Dlatego, je�eli jeste� ISP i k�opotem jest dla Ciebie SPAM, albo podszywanie sie pod konta, to w�wczas rozwa� zmiane polityki dytycz�c� poczty i zacznij u�ywa� SPF.
Podam Ci kilka krok�w kt�re musisz rozwa�y�:

Po pierwsze skonfiguruj sw�j MTA aby u�ywa� SASL.
Poinformuj swoich u�ytkownik�w o polityce jak� wprowadzasz ( na spf.pobox.com znajdziesz przyk�ady).
Daj swoim u�ytkownikom czas na przywykni�cie. Znaczy to tyle, �e ustawiaj�c SPF w DNS zastosuj softfail (~all) zamiast bezwarunkowego (-all)

Dzi�ki temu ochronisz swoje serwery, swoich klient�w i r�szte przed zalewem Spamu.

Na oficialnej stronie SPF znajdziesz wiele cennych informacji. A wi�c na co czekasz?

Czy s� sytuacje na kt�re musz� zwr�cic szczeg�ln� uwag�?

SPF jest idealnym rozwi�zaniem broni�cym przeciwko oszustwom, chocia� posiada jedn� wad�: tradycyjny forwarding po prostu nie dzia�a. Nie mo�esz otrzymanej poczty przekaza� dalej. Musisz za ka�dym razem zmieni� adres nadawcy. Odpowiednie �aty dla popularnych MTA znajdziesz na stronie SPF . M�wi�c pro�ciej: je�eli umie�cisz w DNS zapisy dotycz�ce SPF, musisz ustawi� MTA tak, aby zmienia�y adres nadawcy, nawet w�wczas gdy nie sprawdzasz regu� SPF.

Wnioski

Mo�esz pomy�le�, �e wdra�anie SPF mo�e by� conajmniej zagmatwane. Ale tak naprawd� nie jest skomplikowane i na stronach dotycz�cych SPF znajdziesz wiele przyk�ad�w kt�re pomog� Ci w osi�gni�ciu celu.

Je�eli masz do�� spamu w�wczas SPF mo�e okaza� sie bardzo pomocnym, chroni�c twoj� domen� przed podszywaniem si�, a wszystko co musisz zrobi� to doda� kilka linijek tekstu do konfiguracji serwera DNS i odpowiednio skonfigurowa� serwer pocztowy.

Korzy�ci kt�re dostarcza SPF s� naprawd� du�e. Chocia�, jak powiedzia�em komu�, kiedy� - " nie ma r�nicy miedzy noc� a dniem ". Korzy�ci ze stosowania SPF przyjd� z czasem, gdy inni zaczn� ten mechanizm stosowa�.

Wspominaj�c o Sender ID, jako krewniku SPF, nie rozszerzy�em opisu na jego temat. Prawdopodobnie ju� znasz pow�d - tak, polityka Micro$oftu jest zawsze taka sama - patenty na oprogramowanie. W odno�nikach znajdziesz pozycje dotycz�c� SenderID

W nast�pnym artykule porozmawiamy na temat konfiguracji MTA, a wi�c zapraszam.

Mam nadziej�, �e przyda�o Ci sie to kr�tkie wprowadzenie do SPF. Je�eli jeste� zainteresowany dowiedzie� i nauczy� si� wi�cej, to skorzystaj z poni�szych odno�nik�w, kt�rych sam u�ywa�em podczas pisania tego artyku�u.

Odno�niki

The official site of SPF.
The official FAQ of SPF.
The official wizard of SPF.
The position of the openspf.org about SenderID.
An excellent article about SenderId and SPF.
warn your users about the SASL convertion
HOWTO - Define an SPF Record