[GTER] uma ideia para discussão: SPF reverso.

[Henrique de Moraes Holschuh]

On 16-08-2012 19:42, Danton Nunes wrote:
> On Thu, 16 Aug 2012, Henrique de Moraes Holschuh wrote:
>> Sugiro que não utilize MD5, e sim SHA256. Não é questão de
>> segurança, porque existem maneiras altamente triviais de inverter a
>> pergunta "que domínios usam esse servidor MX". É questão de
>> aceleração por hardware (não é comum para MD5, mas é comum para AES
>> e SHA-2 (SHA256, 384, 512) e estará largamente disponível na base
>> instalada em 2 a 5 anos, à medida que os servidores são
>> substituídos) e para evitar colisões.
>
> então agora temos três candidatos a hash: MD5 (velho e sem suporte em
> hardware), SHA-1 e SHA-2/256.

Usar SHA-1 desde 2010 é quase sempre erro de projeto... existem
exceções, é claro, mas não é o caso de um mecanismo genérico como esse
que vocês propuseram.

Aliás, considero que o sistema de hash deveria ser definido em um RFC em
separado (como os que definem os diversos HMACs, por exemplo), para
facilitar a adoção por outros mecanismos que também façam o mesmo tipo
de uso do DNS.

>> Existem diversas bases de dados que fazem o mapeamento (nome de
>> domínio -> IP do MX), e publicam o resultado da busca reversa (IP
>> do MX -> domínios). Essas bases de dados são utilizadas pelos
>> serviços de reputação e para debugging. Um exemplo de base de dados
>> pública que faz esse mapeamento é a robtex.
>
> mas o que eu quero é perguntar ao dono do IP e não a um terceiro.

E?  Leia de novo o que eu escrevi, e ao que eu estava respondendo.

Hash não ajuda a esconder quais domínios o IP serve.

>> Sugiro que o esquema de hash não seja utilizado, ou que o mesmo
>> seja utilizado unicamente para evitar o problema do número de
>> componentes de sub-domínio (e esteja documentado desta forma).
>
> mas é exatamente para evitar o problema de tamanho e o número de
> componentes que estamos apelando para o hash.

Então não mencione esconder para quais domínios o IP é utilizado quando
justificar o uso do hash.  Pelo contrário, mencione na seção de fatores
relevantes à segurança que o uso de hash pode levar a uma falsa sensação
de privacidade, que não existe.

>> Agora, considerando que pelos padrões de uso correntes, domínio de
>>  email que ultrapasse 93 componentes só pode ser obra de alguém
>> mal intencionando querendo justamente evitar lookups em bases
>> RHSBL, na minha opinião, embora utilizar um esquema baseado em hash
>> que torna esse ataque impossível seja a solução técnica mais
>> correta, considerando o uso em larga escala de RHSBLs, o melhor é
>> contornar o problema recusando entrega.
>
> não há suporte normativo para isso. ainda prefiro permitir os
> domínios mostrengos, ainda que não existam na prática do que ir
> contra as RFCs que definem o DNS.

Nada contra, suponho que dar o exemplo no RSPF é uma boa ideia, e evitar
o problema da quantidade de subdomínios é uma razão muito boa para usar
o hash.

>> Sou de opinião que deveria propor-se ao WG da IETF que seja
>> publicado um RFC específico, recomendando que o uso de quaisquer
>> domínios com mais de X (por exemplo, X=64) componentes em qualquer
>>  um dos cabeçalhos e envelope de email implique na imediata
>> rejeição ou descarte da mesma, ou alternativamente que seja
>> publicado um RFC recomendando que os protocolos estilo RHSBL
>> utilizem hash (e aí vai a dor de cabeça de mudar isso na
>> produção).
>
> bem, esse não é meu objeto. mas faz sentido.

Ok.

-- 
Henrique de Moraes Holschuh <hmh at ima.sp.gov.br>
IM@ - Informática de Municípios Associados
Engenharia de Telecomunicações
TEL +55-19-3755-6555/CEL +55-19-9293-9464

Antes de imprimir, lembre-se de seu compromisso com o Meio Ambiente
e do custo que você pode evitar.