Natknąłem się ostatnio na ciekawą inicjatywę, która korzysta z największych zalet Internetu (powszechności, ilości użytkowników, marketingu wirusowego itp.) do walki ze spamerami. Tym razem nie ze spamem, lecz własnie ze spamerami. Blue Security (i ich aplikacja, Blue Frog) pomagają uprzykrzyć życie spamerom, ponieważ wyręczają użytkownika w analizie źródeł spamu oraz udostępniają mechanizmy umożliwiające zgłaszanie swojego sprzeciwu na stronach promowanych w spamie.

System Blue Security działa w następujący sposób:
  • Przy rejestracji, użytkownik może za darmo zgłosić maksymalnie 10 adresów pocztowych, które mają znaleźć się w bazie Blue Security jako adresy, na które właściciel nie życzy sobie otrzymywać spamu (zgłoszenie adresu wymaga oczywiście jego potwierdzenia). Można też dopisać całą domenę, ale jest to już usługa płatna.
  • Zarejestrowani użytkownicy zgłaszają otrzymywany spam, wysyłając go w formie załączników MIME pod swój specjalny (otrzymywany przy rejestracji) adres e-mail. Mogą do tego celu użyć aplikacji Blue Frog, która umożliwia automatyczne utworzenie listu (tu muszę jednak trochę ponarzekać: aplikacja źle działa z klientem pocztowym The Bat! — zgłosiłem ten problem do obsługi technicznej Blue Security i mam nadzieję, że niedługo zostanie naprawiony).
  • Specjaliści Blue Security analizują otrzymane raporty, aby:
    • sprawdzić, czy faktycznie jest to spam,
    • wyszukać w jego treści promowane adresy WWW,
    • znaleźć, kto jest odpowiedzialny za te adresy,
    • zgłosić nadużycie do stosownych instytucji,
    • przygotować skrypty umożliwiające zgłaszanie nadużyć bezpośrednio na promowanych stronach.
  • Użytkownicy następnie otrzymują (po przeanalizowaniu spamu) raporty w postaci wiadomości wyświetlanych przez program Blue Frog. Raporty informują, do kogo zostało zgłoszone nadużycie i umożliwiają automatyczne, samodzielne zgłoszenie nadużycia za pomocą przygotowanych skryptów.
Choć Blue Security nie jest pierwszym projektem umożliwiającym użytkownikom aktywną walkę ze spamem (wcześniejsze to np. SpamCop, który umożliwia zgłaszanie spamu za pomocą specjalnych formularzy, które automatycznie analizują źródło jego pochodzenia i, w zależności od liczby raportów, blokują nadawcę za pomocą listy DNSBL), to jest o tyle wyjątkowy, iż uderza bezpośrednio w spamerów (a nie w wykorzystywane przezeń zasoby) oraz umożliwia korzystanie z systemu nawet użytkownikom, którzy nie mają pojęcia o kwestiach technicznych. Nie byłbym jednak sobą, gdybym nie miał wątpliwości co do jego skuteczności oraz sensu istnienia.

Moja pierwsza, podstawowa wątpliwość, to przepustowość projektu. Jak wyraźnie widać, jego wąskim gardłem są eksperci Blue Security, którzy analizują otrzymany spam. Czym większa społeczność użytkowników tego systemu, tym większe obciążenie dla ekspertów i tym większe zapewne opóźnienia w analizowaniu spamu. Blue Security zarabia najwyraźniej na właścicielach domen, którzy wykupują płatne usługi ochrony całej domeny, jednak mam wątpliwości, czy to wystarczy by utrzymać wystarczająco duży zespół ekspertów. Obawiam się więc, że czas analizy spamu (kolejki do ekspertów) będzie coraz większy, a przez to efektywność systemu znacząco spadnie.

Druga wątpliwość związana jest właśnie z kwestiami finansowymi. Czy z braku dopływu gotówki system nie padnie? Czy program Blue Frog nie zacznie wyświetlać banerów reklamowych? Czy nasze adresy e-mailowe są bezpieczne? Na te pytania trudno odpowiedzieć, ale ryzyko jest niewielkie. Najwyżej trafimy na kolejną listę adresów wykorzystywaną przez spamerów (a skoro dostajemy spam, to już na takich jesteśmy).

Trzecia wątpliwość to skuteczność działań Blue Security. Można przypuszczać, że będą one skuteczne do zwalczania spamerów z USA takich, jak np. Jumpstart, w oparciu o ustawę CAN-SPAM. A co ze spamerami z innych krajów? Co z tymi, którzy mają hosting poza USA? Co wreszcie ze spamem w języku innym, niż angielski? Trudno mi uwierzyć, by wśród ekspertów Blue Security byli tacy, którzy znają np. język polski i będą w stanie odróżnić spam od chociażby legalnych mailingów na darmowe konta w portalach.

Wątpliwości jest sporo, ale system wydaje mi się na tyle ciekawy, że sam zacząłem go używać i mam zamiar monitorować jego skuteczność. Spamu nie otrzymuję zbyt dużo (jedynie na konta „postmaster” w moich domenach, których z zasady nie zabezpieczam ze względu na zgodność z RFC), ale jeśli będę mógł przyczynić się do ukarania choć jednego spamera, to dla własnej satysfakcji to zrobię. Co i Wam polecam. Bardzo chętnie przeczytam również o Waszych doświadczeniach z używaniem tego systemu. Z tego, co mi wiadomo, jest już wielu użytkowników z Polski (np. Cenebris, któremu dziękuję za msg na Jabberze w tej sprawie). Podzielcie się więc swoimi wrażeniami, wątpliwościami i doświadczeniami.

Tomasz Andrzej Nidecki, 27.03 2006