[GTER] RES: Envio de mensagens (e-mail) "spoofando" endereços.

[Fernando Bambino]

Senhores,

Agradeço muito a opinião de todos, mas preciso fazer uma distinção à
resposta do Patrick, que me ofereceu exatamente os argumentos que precisava.

Muito obrigado,

Fernando Bambino


-----Mensagem original-----
De: gter [mailto:gter-bounces at eng.registro.br] Em nome de Patrick Tracanelli
Enviada em: quinta-feira, 27 de setembro de 2012 11:28
Para: Grupo de Trabalho de Engenharia e Operacao de Redes
Assunto: Re: [GTER] Envio de mensagens (e-mail) "spoofando" endereços.


Em 26/09/2012, às 14:07, Marcio Merlone escreveu:

> Em 26-09-2012 13:26, Patrick Tracanelli escreveu:
>> Em 26/09/2012, às 04:24, Fernando Bambino escreveu:
>>> Um determinado desenvolvedor na corporação onde Trabalho está enviado
>>> e-mails de notificação, que atingem alguns usuários fora desta,
"spoofando"
>>> endereços externos, ou seja, endereços de e-mail de pessoas que
completaram
>>> determinado formulário disponível na internet.
>> Pois é, se hoje a rede não é mais "rodada" por cavalheiros, ai começa
minha primeira impressão sobre esse tipo de prática. Tecnicamente possível,
moral e eticamente deploráveis.
>> 
>> Sendo uma prática inadequada, uma afronta aos bons costumes da rede,
(...)
> 
> hhhmmm.... acho que levaram a estória pelo lado errado (por trás?). Existe
uso questionavelmente legítimo para isto. Imagine que eu faça um site de
cartões virtuais, fora da rede do Google. E um usuário do Google @gmail.com
resolve enviar um cartão virtual pro aniversário da avó. O remetente do
cartão, que será enviado por email pelo meu servidor, fora da rede do
Google, vai ser @gmail.com, mesmo que o SPF e a Dilma digam que não pode. Eu
sei, não preciso usar o @gmail.com no remetente, etc, mas é só pra defender
o ponto. E se o servidor da avó vai aceitar (SPF?) é outra questão. Existem
N outros exemplos em que isto pode ser (apesar de questionável) legítimo.
> 
> Parece a reação do pessoal quando chega um e-mail com o assunto "Ajuda com
servidor de mail marketing"... :)
> 

São coisas distintas.

Uma coisa é o que é usado no Envelope Sender, outra coisa é o que é usado
nos headers.

Você pode ter uma sessão SMTP saudável que diz:

EHLO smtpout.cartaovirtual.com.br
MAIL FROM: <cartao at cartaovirtual.com.br>
RCPT TO: <destino at destino.com.br>
DATA
Subject: Te amo Vovoh
Sender: "Cartao Virtual" <cartao at cartaovirtual.com.br>
From: "Minha vo" <minhavo at gmail.com>
To: "Destinatario" <destino at destino.com.br>
(...)

.

A pratica acima não spoofa o remetente, quem recebe "ve" o From indicado, o
header Sender ainda alivia a prática aparentemente duvidosa de ter um
remetente no envelope-sender e outro no header From, de acordo com a seção
3.6.2 da RFC2822.

Ou seja a prática legítima tem seu caminho correto.

Tecnicamente correto, ja que o remetente testado no envelope-sender será o
domínio que realmente está enviando a mensagem através daquele endereço IP.
Não quebra SPF, por exemplo. Da pra assinar com DK, etc.

--
Patrick Tracanelli

FreeBSD Brasil LTDA.
Tel.: (31) 3516-0800
316601 at sip.freebsdbrasil.com.br
http://www.freebsdbrasil.com.br
"Long live Hanin Elias, Kim Deal!"

--
gter list    https://eng.registro.br/mailman/listinfo/gter