Stéphane Bortzmeyer Représentant l AFNIC au groupe de contact contre le spam 22 janvier 2004

Transcription

1 Généralités sur le spam Stéphane Bortzmeyer Représentant l AFNIC au groupe de contact contre le spam 22 janvier 2004 Résumé Le spam est de plus en plus considéré comme un réel fléau économique ; on ne compte plus les études 1 qui recensent et évaluent le nombre de messages non sollicités qui sont expédiés chaque année dans le monde. Pour prendre l exemple de l Europe uniquement, il est estimé que le coût du spam dépasserait les 10 milliards d euros. Mais qu est-ce que le spam? Le spam est l envoi en masse de courrier électronique non sollicité. C est aujourd hui une industrie prospère, qui n hésite pas à violer de nombreuses lois. À cause du spam, l utilisation du courrier électronique devient de plus en plus difficile, les vrais messages se perdant au milieu d une marée de publicités pour de meilleures performances sexuelles ou bien pour de l évasion fiscale. Il existe de nombreuses mesures techniques contre le spam mais aucune n est parfaite : toutes ont leur coût et leurs effets secondaires. C est pourquoi des mesures autres que techniques sont nécessaires, comme une (ré)affirmation solennelle de l illégitimité du spam ou comme des poursuites effectives contre les spammeurs français. Table des matières 1 Définitions 1 2 Conséquences et coûts 3 3 État juridique 4 4 Solutions techniques 5 5 Mesures concrètes proposées 6 1 Définitions Quelques définitions permettent de mieux comprendre l emploi de termes souvent spécifiques au vocabulaire lié au spam. On emploie également des termes tels que UBE (Unsolicited Bulk ) 2, pollupostage, courrier-rebut, pourriel ou polluriel comme synonymes du mot spam. Document réalisé avec Céline Delacourt delacourt@nic.fr, de l AFNIC L AFNIC (Association Française pour le Nommage Internet en Coopération) est le registre du domaine national.fr. 1 Par exemple celle de l OCDE discutée en _1_1_1_1,00.html. 2 Ou UCE (Unsolicited Commercial ), ce qui est une erreur, le spam n étant pas forcément commercial. 1

2 AFNIC 2/6 1.1 Origine du mot Spam est l acronyme de Spiced Pork And Meat (pâté épicé à base de porc et de viandes), une marque américaine de corned-beef. Mais l utilisation du terme spam pour désigner des courriers électroniques abusifs revient aux Monty Python qui, dans un de leurs sketches, déguisés en Vikings amateurs de spam, déclamaient une de leurs chansons : Spam spam spam.... Cette chanson interminable couvrait alors les propos des autres protagonistes. 1.2 Définition Les caractéristiques de définition du spam sont les suivantes : on définit un spam comme un courrier électronique d exemplaires identiques, envoyé en nombre de façon automatique, non souhaité, non sollicité, au contenu non désiré, reçu sans le plein consentement du destinataire. Le spam n est pas limité à des offres commerciales. Il n est pas limité non plus à l utilisation d adresses personnelles. Le plus souvent, ces messages n ont pas d adresse valide d expédition ou de réponse et l adresse de désinscription est inexistante ou invalide 3. On note que les spammeurs pratiques très souvent le déni, affirmant que leurs messages à eux ne sont pas du spam. 1.3 Qui pratique? Ce sont les publicitaires qui sont les premiers spammeurs. Mais certains webmestres n hésitent pas à assurer la promotion de leur site par ce biais. 1.4 Comment récupèrent-ils les adresses? Les spammeurs ont de nombreux moyens de se procurer des adresses électroniques. 1. Le fournisseur a cédé les adresses électroniques de ses abonnés. C est la toute première fuite : le fournisseur d adresse électronique a revendu tout ou partie de sa liste d abonnés à un tiers, qui lui-même l a revendue à un autre, etc. Au final, les adresses sont diffusées à de nombreux exemplaires sur Internet. L opération peut être faite dans la légalité, mais ce n est pas toujours le cas L internaute a communiqué son adresse électronique à un site Web. Il a passé une commande sur un site de commerce électronique, a souscrit aux services d un site ou bien s est inscrit à une liste de diffusion par courrier électronique. Dans tous les cas, il a laissé une adresse électronique. Si l internaute a oublié de cocher (ou de décocher) une petite case, il a autorisé la diffusion de son adresse électronique. 3. L internaute a publié son adresse sur Internet. L internaute a publié l adresse électronique sur sa page personnelle ou a laissé son adresse sur des forums de discussion sur Internet ou dans des groupes de discussion. Des logiciels de collecte, agissant automatiquement, récoltent alors ces adresses. Sommes-nous tous égaux devant le spam? Selon que l on possède une boîte Wanadoo, AOL, Hotmail ou Yahoo!, on ne part pas sur un pied d égalité face au spam. Certaines sociétés ont en effet des pratiques très libérales et n hésitent pas à vendre leurs fichiers d abonnés. 1.5 Quelques définitions complémentaires 1. Opt-in (courrier sollicité) ou liste d inclusion On appelle opt-in, littéralement opter pour entrer, l option d envoi de courriers commerciaux ou publicitaires qui consiste à n envoyer à l internaute que des messages ciblés qu il a clairement consenti à recevoir. Ce consentement a été préalablement obtenu lorsque l internaute a clairement exprimé sa volonté de figurer sur cette liste et de recevoir de la publicité. L internaute a, par exemple, coché une case spécifique placée dans un formulaire d inscription. On appelle cette démarche l opt-in actif, contrairement à l opt-in passif, où 3 Voire utilisée pour que le spammeur obtienne confirmation que le message a été lu et donc que l adresse était valide. 4 Une variante : un gestionnaire de noms de domaine a cédé la liste de ses domaines et le spammeur écrit à des adresses standard, comme webmaster@ledomaine.

3 3/6 AFNIC une case est déjà pré-cochée. Une case pré-cochée dans un formulaire n est évidemment pas du vrai opt-in, puisqu elle peut être laissée par l internaute par oubli. L opt-in s oppose à l opt-out. L opt-in est également appelé permission marketing. 2. opt-out (courrier non sollicité) On appelle opt-out l envoi de messages électroniques sans le consentement préalable de l internaute, mais avec possibilité de désabonnement, par opposition à opt-in. Ces messages, légaux au sens américain 5, ne le sont pas au sens européen (se référer à la partie juridique). En pratique, beaucoup de spams prétendent offrir une possibilité de désabonnement, mais elle est ineffective. 3. blacklist (liste noire) On appelle blacklist une liste d adresses électroniques ou de noms de domaine spécifiquement bloqués par un programme (filtre). Les messages provenant de cette liste sont donc automatiquement classés comme étant des spams. Ces messages sont soit détruits soit envoyés dans une boite spécifique afin que l utilisateur puisse tout de même les consulter. Une autre utilisations des listes noires est la publication des adresses IP de fournisseurs d accès Internet (FAI) connus pour être source de production de spam. Ainsi le trafic indésirable peut être filtré. La liste Real-time Blackhole List, ou plus communément RBL, du système de prévention contre l abus de courriels (Mail Abuse Prevention System ou MAPS) était la liste noire la plus connue. Initiée par Paul Vixie, cette liste noire était utilisée par des centaines de serveurs dans le monde. 4. whitelist (liste blanche) Quant on dispose d un mécanisme anti-spam, il arrive souvent que l on souhaite autoriser malgré tout quelques correspondants. Une liste blanche est une liste d adresses ou de domaines que l on accepte même si leurs messages semblent du spam. 5. Relais ouvert Le relais ouvert (open relay) est un serveur de messagerie qui accepte (à tort) de transmettre le courrier depuis un tiers vers un autre tiers. Ils sont souvent utilisés par les spammeurs. Les listes noires peuvent contenir des producteurs de spam connus ou bien uniquement des relais ouverts (on peut déterminer automatiquement si une machine est un relais ouvert 6, alors que ce n est pas possible pour la production de spam ). 6. Zombie Une machine piratée et qui sert de relais au spam. 2 Conséquences et coûts Il est impossible de réellement chiffrer les conséquences et coûts liés au spam, cependant les nuisances sont réelles. Les nuisances sont de deux types : techniques (coût pour le réseau et les machines) mais surtout humaines (coût du traitement humain et il faut prendre en compte la perte éventuelle de messages importants au milieu du spam ). Le spam induit une sollicitation non nécessaire des infrastructures, avec un engorgement du réseau et parfois un allongement des délais de connexion. D un point de vue humain, le spam conduit à une perte de productivité, avec une dilution de l attention sur des messages inutiles. Les nuisances liées au spam rejoignent les problématiques de sécurité des réseaux, pour une double raison : des virus peuvent être diffusés très rapidement grâce à des techniques de spam et les infections peuvent fournir une base pour les spammeurs (recrutement de zombies) L outil ZoneCheck de l AFNIC fait ce test.

4 AFNIC 4/6 3 État juridique 3.1 Loi Informatique et Libertés du 6 janvier 1978 Lorsque les adresses des internautes ont été cédées sans le consentement ou même l information de ces personnes, ou lorsque les messages sont envoyés par le biais de moteurs de recherche dans les espaces publics d Internet, l envoi de ces messages va à l encontre de la loi Informatique et Libertés du 6 janvier 1978, et plus particulièrement de son article 25. Presque tous les spammeurs violent cette loi et souvent la loi contre le piratage informatique (Loi Godfrain ), lorsqu ils recrutent des zombies. Ils violent également aussi souvent d autres lois (ventes de produits illégaux, tromperie sur la marchandise). 3.2 Les directives communautaires Les directives communautaires du 20 mai 1997 (Directive 97/7 du 20 mai 1997 Vente à distance ) et du 15 décembre 1997 ( article 12 de la Directive 97/66 vie privée et télécommunication, abrogée par la directive 2002/58) confirment le système de l opt-in pour les télécopieurs et les automates d appel. Le Code des Postes et Télécommunications ( Article L inséré par l ordonnance du 25 juillet 2001.) interdit la prospection directe, par automates d appel ou télécopieurs, d un abonné ou d un utilisateur d un réseau de télécommunications, sans que ce dernier n ait exprimé son consentement à recevoir de tels appels. 3.3 Loi Godfrain, loi N o du 5 janvier 1988 La loi Godfrain punit notamment l accès frauduleux dans un système informatique, l introduction, la suppression ou la modification intentionnelle de données, ainsi que la falsification de documents informatiques. Les spammeurs violent cette loi lorsqu ils piratent un système informatique 7 pour lui faire envoyer des spams. 3.4 Directive européenne du 12 juillet 2002 (2002/58/CE) La Directive européenne du 12 juillet 2002 concerne le traitement des données à caractère personnel et la protection de la vie privée dans le secteur des télécommunications. Elle définit qu un message électronique de prospection directe ne peut être adressé à un internaute qui n a pas accepté préalablement de le recevoir (ou système de l opt-in). La France tente de rattraper le retard pris dans la transposition de la directive européenne du 12 juillet 2002 (2002/58/CE) dans le cadre du projet de loi pour la confiance dans l économie numérique (la LEN, directive qui aurait dû être transposée au 31 octobre 2003), loi qui traite entre autres du spam. Ces différentes interdictions visent la prospection de tous types d abonnés, y compris les professionnels (L article L du Code de la consommation reprend le même principe). Il n y a toutefois aucune sanction spécifique. Ces sanctions ont été fixées dans le décret sur l annuaire universel institué le 6 août Projet de loi pour la confiance dans l économie numérique Ce projet de loi assure la transposition de la directive 2000/31/CE du 8 juin 2000 sur le commerce électronique et de la directive 2002/58/CE du 12 juillet 2002 sur la protection des données personnelles. Les conditions de sécurité des échanges électroniques sont améliorées tout en renforçant la lutte contre la cybercriminalité. Les principales dispositions du projet de loi concernent la liberté de communication en ligne, définissant les règles applicables en matière de responsabilité des prestataires techniques et mettant en place une gestion des adresses françaises de l Internet (le suffixe.fr), le commerce en ligne, la publicité en ligne et les contrats par voie électronique, assurant un assouplissement du contrôle des moyens de cryptologie afin de permettre le renforcement de la sécurité des transactions et des mesures permettant l amélioration de la lutte contre la cybercriminalité. Cette loi a été votée en deuxième lecture le 8 janvier Souvent par l intermédiaire d un ver.

5 5/6 AFNIC 3.6 La CNIL (La Commission Nationale de l Informatique et des Libertés) Dès 1999, la CNIL a adopté au sein d un rapport sur le publipostage électronique, des recommandations relatives à ces nouvelles pratiques de marketing via les messageries électroniques. La CNIL s est également prononcée sur la publicité par voie électronique dans le cadre de l avis rendu le 3 mai 2001 sur le projet de loi relatif à la société de l information. 3.7 État des poursuites judiciaires Cette absence de sanction spécifique n empêche pas la CNIL d adresser des mises en garde aux annonceurs dont les messages ont fait l objet de plaintes de la part de personnes physiques. Des mesures juridiques sont en cours de mise en place en France, la CNIL a à peu près cerné le phénomène, mais les spammeurs ne craignent de fait pas grand-chose. 4 Solutions techniques Il existe de nombreux moyens de lutter techniquement contre le spam. Ce sont des médicaments efficaces mais qui ne guérissent pas tout, coûtent cher et ont des effets secondaires. 1. les filtres : des logiciels qui tentent de déterminer automatiquement si un message est du spam ou pas. N étant que des logiciels, ils sont loin d être parfaitement fiables. Ils fonctionnaient au début avec des listes de caractéristiques des spams 8. Ces listes, souvent arbitraires et difficiles à gérer manuellement vues les réactions rapides des spammeurs, sont désormais affectées de coefficients calculés automatiquement, à partir de corpus de messages, spam ou légitimes. Les filtres dits bayesiens calculent même automatiquement les mots significatifs d un spam. 2. les RBL ou listes noires. Elle permettent aux serveurs de messagerie de rejeter immédiatement les messages venant de sources de spam ou de relais ouverts. 3. l authentification (DNS) : plusieurs propositions (non déployées jusqu à présent) existent pour mettre dans le DNS des mécanismes d authentification des messages. Aucune ne semble réellement déployable. En effet, le serveur de messagerie d un FAI comme Nerim peut parfois avoir besoin d envoyer des courriers avec un par exemple si j envoie un message professionnel depuis chez moi. 4. les bases d informations : les gérants de domaines nationaux (comme l AFNIC pour.fr) ou les gérants d adresses IP (comme le RIPE-NCC en Europe), récoltent des informations sur les responsables d un domaine ou bien d une adresse IP. Ces informations sont rendues publiques, par exemple par le protocole whois et peuvent aider à la recherche de la vraie source d un spam. En pratique, ces bases sont loin d être parfaitement fiables 9 (elles ne pourraient l être qu en violant sérieusement les libertés individuelles). Certains logiciels anti-spam utilisent ces bases pour arroser, avec plus ou moins de discernement, plein d adresses souvent sans lien avec le spam. Elles sont en outre à double tranchant, car elles sont parfois utilisées par les robots de collecte pour trouver des adresses à qui envoyer du spam. Faux positifs et faux négatifs sont la crainte permanente des administrateurs de serveurs de messagerie lorsqu ils installent des solutions anti-spam. Un faux positif est un message normal classé à tort comme étant du spam. Comme toute guerre, celle contre le spam a ainsi ses victimes innocentes et ses dommages collatéraux. Un faux négatif est un spam qui, peut-être parce qu il utilise des techniques d évitement nouvelles, a réussi à passer outre le filtrage. En général, on configure les logiciels pour produire plutôt des faux négatifs, qui sont tolérables, que des faux positifs (qui sont très gênants). 8 Par exemple, un texte Ce message n est pas du spam indique très probablement que le message est du spam. 9 Des explications plus détaillées sont

6 AFNIC 6/6 5 Mesures concrètes proposées 5.1 Financer des logiciels Les logiciels anti-spam comme SpamAssassin ou Bogofilter installés aujourd hui sur la majorité des serveurs de messagerie, ont permis de retarder l écroulement du courrier électronique. Mais les spammeurs développent sans cesse de nouvelles techniques d évitement 10 Le développement de tels logiciels doit donc se poursuivre et c est une activité exigeante. La collectivité pourrait donc financer le développement de logiciels répondant aux impératifs suivants : Logiciels libres, comme SpamAssassin ou Bogofilter, de façon à ce qu ils puissent être distribués partout et que leur mode de fonctionnement soit connu, logiciels déjà existants, pas des projets plus ou moins sérieux de filtre anti-spam miracles. 5.2 Affirmation solennelle L illégitimité complète du spam devrait être affirmée solennellement, par le biais d une loi, si nécessaire. Cela implique un strict respect du principe du opt-in, interprété strictement, sans moyens de contournement (comme le soi-disant opt-in passif). Pour s assurer que ce principe du opt-in est respecté, il conviendrait d imposer aux fichiers d adresses d être toujours accompagnés des preuves du consentement (le message d approbation, par exemple, avec tous ses en-têtes). De telles preuves devraient être systématiquement jointes au fichier lorsqu il est cédé (pratique courant des spammeurs ). 5.3 Créer une RBL officielle La gestion des listes noires (RBL) est une tâche très consommatrice de ressources humaines, puisqu il faut examiner de nombreuses insertions et suppressions. En outre, elle génère des lourdes responsabilités, car un classement erroné pourrait être très pénalisant pour la victime, la poussant à se retourner contre le gérant de la RBL. C est pour cela que de nombreuses RBL n ont qu une durée de vie limitée, leurs responsables se décourageant vite. D où l idée d un cadre de travail stable et sûr. Une RBL de référence 11 pourrait stocker : 1. Les relais ouverts. C est déterminable de manière objective et automatique. 2. Les sources de spam. Plus délicat, il faudra en effet trouver des critères précis. 5.4 Donner des instructions claires aux procureurs On l a vu, un spammeur français court aujourd hui très peu de risques. C est dû au fait que chaque victime n a subi, pour un spam particulier, qu un petit préjudice et ne se voit pas entamer un procès uniquement pour cela. Seuls les procureurs peuvent donc, en pratique, poursuivre les spammeurs français. De telles poursuites, possibles sans changement législatif (puisque presque tous les spammeurs violent au moins une loi), marqueraient la fin de l immunité. La boite à spam est importante mais n est qu un moyen, pas une fin en soi. Elle doit servir à fournir des éléments sur lesquels appuyer les poursuites. 10 Si vous recevez un spam contenant une publicité pour le V.agra ou pour le V i a g r a (avec les espaces), c est qu il voulait promouvoir le Viagra sans être détecté par les logiciels de filtrage. 11 Comme suggéré par une représentante du Ministère de l Éducation Nationale, inquiète de la quantité de spams reçus par les établissements d enseignement, et du fait que chaque établissement filtrait isolèment.