Vision/Scope. Bachelorarbeit zum Thema: Public Key Association zur Abwehr von Spam

Transkript

1 Visin/Scpe Bachelrarbeit zum Thema: Public Key Assciatin zur Abwehr vn Spam

2 Autr: Bernhard Wenzel

3 Infrmatinen zum Dkument Dkumentname: Public Key Assciatin zur Abwehr vn Spam Dateiname: Letzte Änderung gespeichert am: Letzter Ausdruck am: Änderungen Datum Geändert durch Beschreibung der Änderungen

4

5 Seite 1 vn 3 1.Aussage zur Visin (Visin Statement) Prblemstellung (Anwendungsszenari) Absenderadressen in s kann zur Zeit nicht vertraut werden (fehlende Authentizität) und deshalb sind sie zur Filterung vn Spam s ungeeignet. Zielsetzung ( Was sll erreicht werden? ) Public Key Assciatin (PKA) ist ein vereinfachtes Vertrauensmdell für OpenPGP und selbst signierte X.509 Zertifikate. Es verbindet Schlüssel für Adressen mit dem DNS. Wenn die Authentizität vn Absenderadressen durch PKA sichergestellt wird, können sie als Kriterium zur Spam Filterung benutzt werden. 2.Prjektumfang (Prject Scpe) Einzelaufgaben und angestrebte Teilergebnisse (Abgrenzung des Prjektumfangs) Überblick und Abgrenzung zu anderen Techniken zur Spam Eindämmung (RBL, DKIM, SPF, Greylisting, Teergruben, bayessche Filter) Beschreibung vn Public Key Assciatin (PKA) Wie kann die Anwendung vn PKA s einfach gemacht werden, dass es jeder größere Versender hne nennenswerten Mehraufwand einsetzen kann? Welche Maßnahmen könnten Versender vn Spam ergreifen, um auch nach einer Einführung vn PKA weiterhin Spam versenden zu können? Vrläufige Gliederung Einleitung: Prblemstellung, Mtivatin und Struktur der Arbeit Die Idee zur Public Key Assciatin (PKA) stammt vn Thmas Ressler und wurde vn Werner Kch weiterentwickelt. PKA wurde inspiriert durch das Verfahren DmainKeys Identified Mail (DKIM), das im Grunde genmmen die gleiche Zielsetzung wie PKA hat. Allerdings berücksichtigt DKIM nicht das vrhandene Wissen, das bisher mit Signierung gesammelt wurde. PKA verwendet bewährte / ausgereifte Signaturverfahren und definiert nur ein neues Vertrauensmdell. PKA ermöglicht eine Verifizierung vn einzelnen Absender Adressen, w hingegen DKIM dies nur für ganze Dmains ermöglicht. PKA sieht vr, die Verbindung zwischen Schlüssel und Adresse über das DNS herzustellen. Durch die Tatsache, dass nur der Verwalter einer Dmain Einträge im DNS ändern kann, kann man auch den Absender Angaben entsprechend signierter s vertrauen. (Durch den Einsatz vn DNSSEC kann die Sicherheit vn DNS erhöht werden, wvn auch PKA direkt partizipiert.) Zwei Studenten der FH Wedel (Rbin Brandt und Stefan Neumann) haben im Rahmen ihrer Diplmarbeiten ein Server basiertes System zur zentralen Verschlüsselung und digitalen Signatur vn s entwickelt. Dieses System, das als Erweiterung eines Pstfix Servers realisiert wurde, hat den Namen Freenigma. Swhl Freenigma, als auch PKA haben sich (nch) nicht durchgesetzt. Eine mögliche Kmbinatin dieser beiden Ansätze sll im Rahmen dieser Arbeit näher betrachtet werden. Visin/Scpe zu PKA Bernhard Wenzel

6 Seite 2 vn 3 Anfrderungen an eine Lösung Bevr PKA effektiv zur Spam Filterung beitragen kann, muss es möglichst flächendeckend eingesetzt werden. Damit PKA möglichst flächendeckend eingesetzt wird muss der Mehraufwand, der durch den Einsatz vn PKA entsteht, möglichst minimal sein. Um das zu erreichen, sll PKA in ein Krypt Gateway integriert werden, das die Verwaltung der Adressen mit den zugehörigen Schlüsseln übernimmt. Das Krypt Gateway kann dann auch die autmatische Signierung und Signaturprüfung übernehmen, s dass der Endanwender nichts an seinem bisherigen Umgang mit seinem Client ändern muss. Übersicht über bisherige Arbeiten / Stand der Kunst Es gibt inzwischen eine Fülle vn Maßnahmen, mit denen versucht wird, Spam einzudämmen. Im Flgenden gebe ich einen kurzen Überblick über die ppulärsten Ansätze: Teergruben: Teergruben bezeichnen einen Mechanismus, der die Kmmunikatin verlangsamt. Dadurch werden die Ressurcen eines Spam Versenders an die Teergrube gebunden und dieser kann nicht mehr (s viel) Spam versenden. Allerdings werden auch die Ressurcen derjenigen an die Teergrube gebunden, die keinen Spam (als Ham) versenden. Vn daher kmmen Teergruben häufig in Verbindung mit psitiv Listen zum Einsatz, die die Adressen bekannter Versender enthalten. Greylisting: Beim Greylisting werden s vn bisher unbekannten Absenderadressen beim ersten Zustellungsversuch abgewiesen und erst beim zweiten Versuch akzeptiert. Da Spam Versender zur Zeit meist nur einen Zustellungsversuch unternehmen, reduziert sich dadurch die Menge an zugestelltem Spam. Die Kmmunikatin zwischen zwei Kmmunikatinspartnern, die nicht häufig miteinander s austauschen, wird dadurch auch verzögert. Realtime Blackhle List (RBL): In RBLs werden IP Adressen gespeichert, vn denen in der Vergangenheit Spam versendet wurde. Server können diese Listen nun in Echtzeit abfragen und die Annahme vn entsprechenden IP Adressen ablehnen. Wenn nun die IP Adresse eines grßen Versenders auf eine slche Liste gerät, weil einige Accunts dies Anbieters zum Spam Versand missbraucht wurden, sind davn auch diejenigen Benutzer betrffen, die gar keinem Spam versenden. Sender Plicy Framewrk (SPF): Beim SPF definiert jeder Betreiber einer Dmain, in speziellen DNS Einträgen, diejenigen Server (IP Adressen), die s dieser Dmain verschicken dürfen. S lässt sich eine Fälschung der Absenderadresse feststellen. Wenn s vn einer Dmain an eine andere weiter geleitet werden, dann tritt der weiterleitende Server als Absender auf. Das kann dazu führen, dass die Absenderadresse als gefälscht angesehen wird, da der weiterleitende Server nicht im SPF Eintrag für die ursprüngliche Dmain eingetragen ist. DmainKeys Identified Mail (DKIM): DKIM arbeitet mit asymmetrischer Verschlüsselung. Jede Dmain besitzt ein Schlüsselpaar, bestehend aus öffentlichen und privatem Schlüssel. Ausgehende E Mails werden mit dem privaten Schlüssel signiert und diese Signatur wird in einem zusätzliche E Mail Header mitgeschickt. S kann der Empfänger überprüfen, b die wirklich aus der angegebenen Dmain stammt. Visin/Scpe zu PKA Bernhard Wenzel

7 Seite 3 vn 3 Da das DKIM Verfahren bei der Entwicklung nicht auf bisher gemachte Erfahrungen zurückgegriffen hat und im Prinzip wieder neu entwickelt wurde, gab es anfangs nch ein paar Kinderkrankheiten. bayessche Filter: Bayessche Filter analysieren s nach bestimmten Gesichtspunkten wie z.b. der Häufigkeit vn bestimmten Wrten der Wrtketten. Anhand dieser Merkmale wird dann eine Wahrscheinlichkeit berechnet, dass es sich bei der um Spam handelt. Bayessche Filter haben eine selbstlernende Eigenschaft, das heißt dass die Genauigkeit des Filters zunimmt, wenn er trainiert wird. Der Filter verursacht eine recht hhe Belastung der CPU und wird vn daher in der Regel auf dem Client des Endanwenders eingesetzt. Außerdem funktiniert der Filter am besten, wenn jeder Anwender seinen eigenen Filter trainiert. Bayessche Filter haben, neben der hhen CPU Belastung, den Nachteil, dass die erst kmplett empfangen werden muss, bevr sie als Spam der Ham eingestuft werden kann. Knzeptin einer eigenen Lösung Das Krypt Gateway sll als eigenständiger Server bzw. Relay, mit entsprechenden Filtern für die Signierung, realisiert werden. Zusätzlich muss auch ein DNS Server integriert werden, der die Znendateien für die Adressen verwaltet. Detailbeschreibung der eigenen Lösung (ggf. Implementierung) Zusammenfassung und Ausblick Mit der vrhandenen Technik ist auch eine pprtunistische Verschlüsselung denkbar. Das heißt, ausgehende s können autmatisch mit dem öffentlichen Schlüssel des Empfängers verschlüsselt werden. 3.Ressurcenbedarf Hardware Sftware Literatur Diplmarbeit über Freenigma vn Rbin Brandt Diplmarbeit über Freenigma vn Stefan Neumann intr.de.pdf Visin/Scpe zu PKA Bernhard Wenzel