Monopol, magtmisbrug og egeninteresse eller en hjælpende hånd i et hav af spam? Repræsentanter for flere internetfirmaer har talt med teknisk journalist Lars Sobiraj for at diskutere det omstridte projekt Spamhaus. En tilpasset gennemgang følger.
Hvem er Spamhaus Project
Hvis man hurtigt søger på nettet, kan man finde ud af, at Spamhaus er en international nonprofitorganisation, grundlagt i 1998. Men ifølge den tidligere CIO (læs: talsperson) for virksomheden, Richard Cox, er Spamhaus en britisk Limited Company. På tidspunktet for offentliggørelsen af interviewet med Cox (2011) havde Spamhaus hovedkontor i Genève. Alligevel er al information om virksomheden modstridende, inkonsekvent og mystisk.
Sven Olaf von Kamphuis (Sven Olaf von Kamphuis – herefter SOvK), en af grundlæggerne af Cyberbunker, udtaler sig meget negativt om Spamhaus. Ifølge ham har hr. Cox ikke været aktiv i over 20 år, hvis denne person overhovedet findes. Projektet påstås at blive kontrolleret udelukkende af hr. Stephen John Linford og hans kone Myra Peters. Desuden, som SOvK antyder, har nonprofitorganisationer typisk ikke brug for repræsentation på De Seychelles eller Mauritius. Det undrer også medgrundlæggeren af Cyberbunker, hvorfor mange journalister
Spamhaus Project Twitter-konto, næsten 4000 følgere
Dommer og bøddel i én og samme person uden nogen juridiske beføjelser til det
Det der straks fanger øjet: uanset hvor betydningsfuld og rimelig virksomhedens funktion virker, har Spamhaus ikke juridiske grundlag for deres aktiviteter. Desuden har deres aktiviteter aldrig været officielt godkendt af staten eller kompetente myndigheder: SOvK påpeger, at Spamhaus endda ikke er medlem af RIPE (Réseaux IP Européens – den europæiske regulator, der registrerer og fordeler ressourcer på internettet). Ikke desto mindre skabes der et indtryk i den ydre verden af, at Spamhaus er en slags 'internettet politiet', mens Kampuis understreger, at virksomheden selv 'har brug for en smule politibetjening'. Han siger også, at offentliggørelsen af mange data på Spamhaus' websted er ulovlig og krænker rettighederne til databeskyttelse. Offentliggørelsen af al information om spammerne i projektet bør være forbudt. Problemet, ifølge SOvK, ligger i offentliggørelsen af personlige data i Registret over Kendte Spamoperationer (Register Of Known Spam Operations – ROKSO). Disse data skal beskyttes ligesom anden personlig information, for ikke at tale om, at indholdet i Spamhaus' databaser ikke altid kunne være indsamlet på lovlig vis.
Roskomnadzor's holdning til Spamhaus i RuslandFor at tale om lovligheden af projektets aktiviteter. Fra med afklaringer vedrørende Spamhaus fra Roskomnadzor fremgår det, at deres aktiviteter i Rusland er ulovlige:
Bortset fra at tilføje webstedet til Registry på baggrund af Lov om information, en retsafgørelse eller specifikationer i kontrakten med abonnenten (brugeren) af telematiktjenester, er der ikke andre grunde til at begrænse adgangen til webstedet (netværket) (herunder på anmodning fra "Spamhaus").
I tilfælde af, at en telekommunikationsoperatør uberettiget begrænser adgangen til webstedet (netværket) for abonnenten (bruger) af telematiktjenester, vil operatørens handlinger indeholde tegn på en overtrædelse af kontrakten med abonnenten.
Sådan gik det til: Cyberbunker mod 'internettet politiet'
I 2013 opstod der en opsigtvækkende konflikt mellem det underjordiske webhostingfirma Cyberbunker og virksomheden Spamhaus. Spamhaus, der dengang havde base i Schweiz, satte Cyberbunker på sin liste over uønskede adresser på grund af sine kunders tvivlsomme aktiviteter og gjorde dette offentligt kendt. Efterfølgende fandt en af de største DDoS-angreb i internettets historie sted: Spamhaus.org blev oversvømmet med digital affald med en hastighed på 75 Gbit/sekund. Det siges, at angrebets omfang midlertidigt svækkede den globale webtrafik. I april 2013 blev den formodede kriminelle, SOvK, der dengang boede i Spanien, besøgt af den lokale politi. Computere, lagermedier og mobiltelefoner tilhørende en person, som anklageren kaldte hr. K., blev konfiskeret.
Spamhaus-projektet – en bog bag syv segl
Uanset sagen med Cyberbunker har vi forsøgt at finde ud af, hvad Spamhaus-projektet egentlig indebærer, da dette ikke er klart fra oplysningerne på deres egen hjemmeside. Indtil videre har der ikke været noget svar på forespørgsler sendt til presseadressen siden slutningen af januar 2020. Hr. Kampuis hævder, at Spamhaus havde en enkelt non-profit selskab med begrænset ansvar, der blev nævnt tidligere, men som blev fjernet fra registret i begyndelsen af 2020. De øvrige virksomheder havde ikke velgørende formål. Upstream-leverandøren og hovedoperatøren, SquareFlow, har sagsøgt Spamhaus. SquareFlow tilbyder tjenester, der ligner Cogent, HE, GTT, LibertyGlobal og andre, og huser VPN-tjenester. To ledere fra SquareFlow Group svarede på vores forespørgsel den 1. marts 2020:
Vi kan ikke vilkårligt afbryde en kunde eller nægte alle tjenester kun fordi Spamhaus anser dem for dårlige. Under netneutralitet kan vi ikke bestemme, om trafikken er skadelig eller ej uden en dybdegående pakkeanalyse, som dog vil påføre alvorlig skade på vores kunders og deres brugeres databeskyttelse. Vi følger loven og ikke en tredjeparts meninger, der ønsker at diktere, hvem der må operere på nettet og hvem der ikke må. På nuværende tidspunkt har vi hverken beviser, retsafgørelser eller andre grundlag for at antage, at vores kunder engagerer sig i skadelige aktiviteter.
Da vi ikke har samarbejdet med Spamhaus, har de forsøgt flere gange at skade vores virksomheds omdømme, vores leverandører og partnere. Under ingen omstændigheder kan vi og vores kunder gøres ansvarlige for mistanker.
Skræmme, advare, tvinge til opdeling
Deres forsøg på at påvirke hele netværk kan retmæssigt betragtes som tvang, hvilket er en kriminel handling i alle EU-lande. Der har været flere tilfælde, hvor Spamhaus har sortlistet hele netværk af udbydere på grund af en enkelt kunde, hvilket har tvunget dem til at stoppe med at servicere uønskede kunder. Vi tror på, at databeskyttelse og anonymitet er grundlæggende menneskerettigheder. Derfor vil vi aldrig blindt efterkomme urimelige krav fra Spamhaus eller enhver anden part, der forsøger at diktere sine betingelser. Som følge af deres handlinger er vi begyndt at tage skridt mod deres forretningspraksis.
Vi støtter også vores partnere i retssager mod Spamhaus, da Spamhaus stadig forsøger at få os til at stoppe med at servicere visse kunder ved at henvende sig til vores partnere og leverandører og kalde os kriminelle for ikke at efterkomme deres anmodninger, hvilket åbenlyst er magtmisbrug. Vi formoder, at deres flytning til Andorra er relateret til deres kriminelle adfærd, som er stødt sammen med det britiske retssystem.
Med venlig hilsen.
SquareFlow Group – Public Relations
På vegne af bestyrelsen: Wim B., Florian B.
Spamhaus' flytning til Andorra
Spamhaus-projektet er nu baseret i Andorra – en lille stat beliggende i Pyrenæerne, som ifølge Wikipedia primært er kendt for sine skisportssteder, toldfrie butikker og status som skatteparadis. Det er vigtigt at bemærke, at Andorra ikke er en del af EU, og forholdet mellem Andorra og Den Europæiske Union er kun reguleret af traktater.
At finde nogle oplysninger om den nye organisation, der er forbundet med Spamhaus, var ikke nemt, men til sidst lykkedes det mig at finde de nødvendige oplysninger i EUIPO (Det Europæiske Unions Kontor for Intellektuel Ejendom). Ifølge EUIPO ejer virksomheden Spamhaus IP Holdings S.L.U. i øjeblikket varemærket nr. 005703401, registreringsdatoen for varemærket er den 8. februar 2007. Varemærkeansøgningen blev indgivet af firmaet Boyes Turner LLP.
Detaljer om registreringen af varemærket Spamhaus
Kontaktoplysningerne er af åbenlyse grunde skjult
Bemærkning fra oversætterenAt finde noget om de juridiske aspekter af Spamhaus er virkelig en udfordring. Desuden stemmer de oplysninger, der er tilgængelige på overfladen, åbenlyst ikke overens med virkeligheden. Den eneste tilgængelige information på Spamhaus' egen hjemmeside, der relaterer til virksomhedens placering, handler om varemærket – ordet "Spamhaus", der er registreret i EU.
ROKSO som en hindring
Det er åbenbart, at målet med Spamhaus-projektet var at finde spamdistributører. Som nævnt opbevares oplysninger om spammere i ROKSO-databasen. Men da denne database er offentlig, placerer Spamhaus bogstaveligt talt alle mistænkte på en form for skamtafel. Det er ikke kun muligt at finde en masse personlige oplysninger i databasen, men der er også beretninger fra ofre, som offentliggøres uden censur. Og da Spamhaus opererer uden for EU, kan der ikke forventes nogen konsekvenser for virksomheden fra GDPR.
I ROKSO føres der bogstaveligt talt regnskab med al mistænkelig aktivitet, hvad enten det er ægte spam eller simpelthen en fejl. Der er derfor ikke tale om nogen form for formodning om uskyld. Det er heller ikke muligt at komme hurtigt i kontakt med virksomheden. Der er ingen telefonnummer, e-mail eller simpelthen en kontaktformular til kundeservice på deres hjemmeside. Nogle spredte oplysninger kan opnås ved omhyggeligt at gennemgå FAQ. Jeg har forsøgt at kontakte virksomheden direkte: fra slutningen af januar 2020 til offentliggørelsen af artiklen [note: 6. april samme år], blev der ikke modtaget svar på nogen af mine forespørgsler.
Kritik af Spamhaus' blacklist (SBL) fra VPN-tjenesten nVPN
VPN-udbyderen nVpn kritiserer projektet af andre årsager. Spamhaus' blokliste (SBL) er en løbende opdateret database over IP-adresser. Spamhaus anbefaler kraftigt ikke at modtage e-mails fra adresser, der er angivet i databasen. Virksomheden erklærer endda, at denne database kan tilgås i realtid. På Spamhaus' hjemmeside i SBL-sektionen angives det, at bloklisten "giver administratorer af mailservere mulighed for at identificere, markere eller blokere indgående forbindelser fra IP-adresser, som Spamhaus mener, er relateret til udsendelse, hosting eller oprettelse af uønskede masse-e-mails." Det nævnes også, at SBL-databasen vedligeholdes af en særlig gruppe efterforskere og kriminalteknikere fra 10 lande, der arbejder døgnet rundt for at overvåge problemer relateret til spam. Men hvordan præcist identificeringen, verificeringen eller endda sletningen af poster fungerer inden for virksomheden, bliver der ikke redegjort for.
nVpn har altid problemer med poster i SBL, hvilket får hostingfirmaer til at true med at opsige deres kontrakter. For eksempel, i januar 2019 meddelte en repræsentant fra en hoster i Albanien virksomheden, at deres VPN-servere var blevet lukket ned på grund af "muligvis at være opført i SBL."
Og det er ikke det eneste tilfælde. "Selvfølgelig sker noget lignende fra tid til anden. Nogle gange slukkes serveren midlertidigt på grund af poster i SBL, eller så annullerer virksomheder simpelthen kontrakten helt. I starten (vi spørger specifikt) hævder de, at der ikke vil være problemer med SBL, men så snart hele deres IP-område bliver sortlistet af Spamhaus, ændrer situationen sig. For eksempel mistede vi på den måde vores server i Niš, Serbien. Det var kun nogle få uger siden. Heldigvis tilbød virksomheden os delvis refusion for lejen af serveren, som var betalt flere måneder frem. Spamhaus er virkelig farlig for VPN-tjenester, men vi må bare finde os i det."
Repræsentanten for nVPN fortsætter:
Vi tilbyder en VPN-tjeneste uden registrering og er en af de få, der giver kunderne mulighed for at åbne op til otte porte (TCP og UDP). Det er uundgåeligt, at nogle ondsindede aktører vil forsøge at misbruge denne funktion til ulovlige formål. Selvom vi klart angiver i vores servicevilkår, at sådan brug er forbudt, betyder det ikke, at alle kunder følger reglerne. Som et resultat er nogle af vores præfikser havnet på EDROP. Men efter vores mening er en optegnelse på EDROP ikke verdens undergang, selvom den blokerer for nogle websteder eller et par streamingtjenester.
Men det skaber stadig problemer. Antag, at vi lejer en server et sted og opretter vores eget /24 subnet for at annoncere under ASN for hostingfirmaet eller under vores eget. Spamhaus kontakter vores hostingudbyder og beder dem om at lukke klienten, altså os. Hvis udbyderen ikke imødekommer deres anmodninger, fordi de stoler på os, begynder Spamhaus at tilføje rene præfikser fra udbyderen til SBL, hvilket resulterer i, at alle andre kunder ikke kan sende e-mail. Så har virksomheden ikke andet valg og lukker os for ikke at lide store økonomiske tab.
Eksempel på et afvisningsbrev fra en hostingleverandør:
Hej,
Desværre kan vi ikke længere hoste dig på vores netværk, da Spamhaus har sortlistet alle vores IP-adresser på grund af dit hosting hos os.
Din server vil blive lukket den sidste dag af lejeperioden uden mulighed for forlængelse.
Venligst tag en backup så hurtigt som muligt og skift til en anden udbyder.Med respekt,
Vikas S.
(Direktør / grundlægger)
Skype: v **** vp *
Opsigelse af tjenester og afvisning af videre samarbejde
nVpn hævder at have mistet mange servere på grund af afvisninger fra hostingudbydere de seneste år. Til sidst blev det svært at finde et firma, der var villigt til at tage dem ind. nVpn præsenterede Tarnkappe.info en ordre om at suspendere samarbejde og afvise yderligere tjenesteydelser fra den 11. juli 2019. I brevet fra den schweiziske hostingudbyder hævdes det, at Spamhaus-projektet vil udøve "kriminel tvang" - det vil sige tvang af udbyderen til at nægte at give hosting til et andet firma under trussel om retssager.
En repræsentant for nVpn kommenterede:
Nogle gange tøver Spamhaus ikke med at kontakte virksomheder og kræve, at de ikke længere router vores præfikser. Men ikke alle accepterer dette. En af disse virksomheder besluttede at sagsøge Spamhaus Ltd i Det Forenede Kongerige, hvor projektets officielle hovedkontor tidligere lå. På det tidspunkt kunne Spamhaus ikke bruge Ltd i navnet.
Som et resultat af konflikterne måtte Spamhaus flytte hovedkontoret fra Storbritannien til Andorra.
Siden da modtager nVpn stadig meddelelser fra SBL, men Spamhaus er endelig holdt op med at true deres hostingudbydere. Spamhaus er også holdt op med at svare på VPN-tjenesternes anmodninger om at fjerne optegnelser fra SBL, hvilket betyder, at mange gamle optegnelser ikke længere fjernes og forbliver i databasen, selvom de ikke længere er aktuelle.
VPN-udbyderen nævner, at Spamhaus tidligere har hjulpet med at reducere mængden af global spam, hvilket har været nyttigt. Men over tid er projektet blevet mere dominerende, offentliggjort personlige oplysninger om de opførte og manipuleret med virksomheder, der tilbyder hosting.
Der er stadig ingen svar på kritisk vigtige spørgsmål
Der er stadig mange spørgsmål til Spamhaus-projektet, som ingen ønsker at besvare. Jeg har endnu ikke modtaget svar på den anmodning, jeg sendte for tre uger siden til den amerikanske spamforsker og journalist Brian Krebs. Måske var spørgsmålene for skarpe, men det er ikke helt klart. Anmodninger blev også sendt til andre virksomheder, men næsten ingen kender hele historien om Spamhaus-projektet.
Om forfatteren af den originale artikel
Lars "Ghandy" Sobiraj
Lars Sobiraj begyndte sin karriere i 2000 som skribent i forskellige computerblade. Han er grundlægger af Tarnkappe.info. Siden 2014 har Ghandy, som han kalder sig på scenen, undervist studerende på forskellige universiteter og andre uddannelsesinstitutioner om, hvordan internettet fungerer.
From the translator
Spamhaus' aktiviteter har allerede Det blev dækket på Habr, og kun i negativ kontekst. I Rusland har Spamhaus hindret (og hindrer) både private virksomheder og store hostingtjenester i deres arbejde. I 2010 kom hele Letland på sort listen: dengang kom der et svar fra Spamhaus på klager fra en af de største udbydere i landet om, at Letland er et af de mindste lande i verden, som på en måde antydede det. Der er pludselig ingen seneste opslag relateret til Spamhaus, dateret til 2012-2013, selvom virksomheden stadig eksisterer, og jeg mener, at denne uretfærdige glemsel skal brydes.
Kilde: habr.com
