Monopole, abus de pouvoir et intérêts personnels ou une main tendue dans une mer de spam ? Des représentants de plusieurs entreprises Internet ont discuté avec le journaliste technique Lars Sobiraj pour aborder le projet controversé de Spamhaus. Analyse adaptée ci-dessous.
Qui est Spamhaus Project
Une recherche rapide sur Internet révèle que Spamhaus est une organisation internationale à but non lucratif, fondée en 1998. Cependant, selon l'ancien CIO (lire : porte-parole) de l'entreprise, Richard Cox, Spamhaus est une société à responsabilité limitée britannique. Au moment de la publication de l'interview avec Cox (année 2011), le bureau principal de Spamhaus était situé à Genève. Néanmoins, toutes les informations concernant l'entreprise sont contradictoires, incohérentes et énigmatiques.
Sven Olaf von Kamphuis (SOvK), l'un des fondateurs de Cyberbunker, exprime une opinion très défavorable sur Spamhaus. Selon lui, M. Cox est inactif depuis plus de 20 ans, si cette personne existe réellement. Le projet serait supposément contrôlé uniquement par M. Steven John Linford et sa femme Maire Peters. De plus, comme le suppose SOvK, les organisations à but non lucratif n'ont généralement pas besoin de représentations aux Seychelles ou à Maurice. Le co-fondateur de Cyberbunker ne comprend pas non plus pourquoi tant de journalistes sont « tombés amoureux » du projet - l'industrie médiatique est en grande partie responsable des problèmes liés à Spamhaus. Toute l'information que le projet transmet aux publications technologiques est généralement publiée sans aucune vérification, poursuit SOvK.
Compte Twitter de Spamhaus Project, près de 4000 abonnés
Juge et bourreau en un seul, sans aucun pouvoir légal pour cela
Ce qui frappe immédiatement : quelle que soit la fonction significative et raisonnable de l'entreprise, le projet Spamhaus n'a pas de bases juridiques pour ses activités. De plus, ses activités n'ont jamais été officiellement autorisées par l'État ou les autorités compétentes : SOvK souligne que Spamhaus n'est même pas membre de RIPE (Réseaux IP Européens – régulateur européen qui s'occupe de l'enregistrement et de la distribution des ressources sur Internet). Néanmoins, le monde extérieur a l'impression que Spamhaus est une sorte de « police d'internet », alors que, souligne Kampuis, l'entreprise « a elle-même besoin d'une certaine attention de la police ». Il ajoute également que la publication de nombreuses données sur le site de Spamhaus est illégale et viole les droits à la protection des données. La publication de toute information sur les spammeurs dans le projet devrait être interdite. Selon SOvK, le problème réside dans la publication des données personnelles dans le Registre des opérations connues de spamming (Register Of Known Spam Operations – ROKSO). Ces données doivent être protégées comme d'autres informations personnelles, sans parler du fait que le contenu des bases de données de Spamhaus n'a pas toujours pu être obtenu de manière légale.
La position de Roskomnadzor sur Spamhaus en RussieÀ propos de la légalité des activités du projet. D'après de clarification concernant Spamhaus de Roskomnadzor, leurs activités en Russie sont illégales :
À l'exception de l'inscription du site dans le Registre sur la base de la Loi sur l'information, d'une décision judiciaire ou des particularités du contrat avec l'abonné (utilisateur) des services de télécommunications, il n'y a pas d'autres raisons de restreindre l'accès au site (réseau) (y compris à la demande de l'entreprise « Spamhaus »), pour l'opérateur de télécommunications.
Dans le cas où l'opérateur de télécommunications restreindrait illégalement l'accès au site (réseau) à l'abonné (utilisateur) des services de télécommunications, ses actions seraient considérées comme une violation du contrat avec l'abonné.
Comment cela s'est passé : Cyberbunker contre « la police d'internet »
En 2013, le conflit entre l'hébergement web souterrain Cyberbunker et la société Spamhaus s'est intensifié. Spamhaus, alors basé en Suisse, a placé Cyberbunker sur sa liste noire en raison des activités douteuses de ses clients et l'a rendu public. Par la suite, l'une des plus importantes attaques DDoS de l'histoire d'Internet s'est produite : Spamhaus.org a été submergé de déchets numériques à une vitesse de 75 Gbit/s. On dit qu'en raison de son ampleur, l'attaque a temporairement affaibli le trafic web mondial. En avril 2013, un présumé criminel, SOvK, qui vivait à l'époque en Espagne, a été visité par la police locale. Les ordinateurs, les supports d'information et les téléphones mobiles de la personne désignée par le procureur sous le nom de M. K. ont été confisqués.
Le projet Spamhaus – un livre fermé à double tour
Indépendamment du cas de Cyberbunker, nous avons tenté de découvrir ce qu'est réellement le projet Spamhaus, car cela n'est pas clair à partir des informations sur leur propre site. À ce jour, aucune réponse n'a été reçue aux demandes envoyées à l'adresse presse depuis fin janvier 2020. Monsieur Kampuis affirme que Spamhaus avait une seule société à but non lucratif à responsabilité limitée mentionnée précédemment, mais elle a été radiée du registre au début de 2020. Les autres sociétés n'avaient pas d'objectifs caritatifs. Le fournisseur en amont et opérateur de transport, SquareFlow, a poursuivi Spamhaus en justice. SquareFlow propose des services similaires à Cogent, HE, GTT, LibertyGlobal et d'autres, hébergeant des services VPN. Deux dirigeants de SquareFlow Group ont répondu à notre demande le 1er mars 2020 :
Nous ne pouvons nous permettre de déconnecter arbitrairement un client, de lui refuser tous les services, sur la seule base de l'opinion de Spamhaus qui les considère comme négatifs. Dans un contexte de neutralité du net, nous ne pouvons déterminer si le trafic est malveillant ou non, sans effectuer une analyse approfondie des paquets, ce qui nuirait cependant sérieusement à la confidentialité des données de nos clients et de leurs utilisateurs. Nous agissons selon la loi, et non selon l'avis d'une entreprise tierce qui souhaite dicter à l'ensemble d'Internet qui peut travailler en ligne et qui ne le peut pas. À l'heure actuelle, nous n'avons ni preuves, ni décisions judiciaires, ni autres raisons de croire que nos clients sont engagés dans des activités malveillantes.
Étant donné que nous n'avons pas collaboré avec Spamhaus, ils ont tenté à plusieurs reprises de nuire à la réputation de notre entreprise, de nos fournisseurs et de nos partenaires. En aucune manière nous, ni nos clients, ne pouvons être tenus responsables des soupçons.
Intimider, avertir, forcer à se diviser
Leurs tentatives d'influencer des réseaux entiers peuvent être considérées comme de l'intimidation, ce qui est un acte criminel dans tous les pays de l'UE. Il y a eu plusieurs cas où Spamhaus a mis des réseaux entiers de fournisseurs sur liste noire en raison d'un seul client, les obligeant à cesser de servir ceux qui étaient indésirables. Nous croyons que la confidentialité des données et l'anonymat sont des droits humains fondamentaux. Par conséquent, nous n'accéderons jamais aveuglément à des exigences non justifiées de Spamhaus ou de quiconque tentant de dicter ses conditions. En raison de leurs actions, nous avons commencé à prendre des mesures contre leurs pratiques commerciales.
Nous soutenons également nos partenaires dans leurs actions judiciaires contre Spamhaus, car Spamhaus continue d'essayer de nous faire cesser de servir certains clients en s'adressant à nos partenaires et fournisseurs, nous qualifiant de criminels pour ne pas avoir satisfait à leurs demandes, ce qui est manifestement un abus de pouvoir. Nous supposons que leur déménagement à Andorre est lié à leur comportement criminel face au système juridique britannique.
Cordialement.
SquareFlow Group – Relations publiques
Au nom du conseil d'administration : Wim B., Florian B.
Le déménagement de Spamhaus en Andorre
Le projet Spamhaus est désormais basé en Andorre – un petit État situé dans les Pyrénées, qui, selon Wikipédia, est surtout connu pour ses stations de ski, ses magasins hors taxes et son statut de paradis fiscal. Il est important de noter qu'Andorre ne fait pas partie de l'UE, les relations entre Andorre et l'Union européenne étant régies uniquement par des traités.
Il a été difficile d'obtenir des informations sur la nouvelle organisation liée à Spamhaus, mais finalement, j'ai réussi à trouver les informations nécessaires auprès de l'EUIPO (Bureau de la propriété intellectuelle de l'Union européenne). Selon ces données EUIPO, la société Spamhaus IP Holdings S.L.U. détient actuellement la marque n° 005703401, enregistrée le 8 février 2007. La demande d'enregistrement a été faite par la société Boyes Turner LLP.
Détails de l'enregistrement de la marque Spamhaus
Les contacts sont cachés pour des raisons évidentes
Note du traducteurTrouver quelque chose sur l'aspect juridique de Spamhaus est vraiment difficile. De plus, les informations accessibles en surface sont franchement trompeuses. La seule information disponible sur le site de Spamhaus concernant le lieu de l'entreprise concerne la marque – le mot « Spamhaus », qui est enregistré dans l'UE.
ROKSO comme pierre d'achoppement
Il est clair que l'objectif du projet Spamhaus était de traquer les distributeurs de spam. Comme mentionné précédemment, les données sur les spammeurs sont conservées dans la base de données ROKSO. Cependant, étant donné que cette base est publique, Spamhaus place littéralement tous les suspects sur la liste noire. Non seulement la base contient une multitude de données personnelles, mais il y a également des témoignages de victimes publiés sans censure. Et puisque Spamhaus est situé en dehors de l'UE, on peut s'attendre à ce qu'il n'y ait pas de conséquences pour l'entreprise de la part du RGPD.
ROKSO tient un registre littéralement de toutes les activités suspectes, qu'il s'agisse de spam réel ou simplement d'une erreur. Ainsi, il n'est pas question de présomption d'innocence. Il est également impossible de contacter la société rapidement. Il n'y a pas de téléphone, d'e-mail ou même d'un formulaire de contact sur leur site. Certaines données éparses peuvent être obtenues en examinant attentivement la FAQ. J'ai essayé de contacter l'entreprise directement : depuis la fin janvier 2020 jusqu'à la publication de l'article [note : le 6 avril de la même année], aucune réponse n'a été reçue à mes demandes.
Critique de la liste noire Spamhaus (SBL) par le service VPN nVPN
Le fournisseur de VPN nVpn critique le projet pour d'autres raisons. La liste noire Spamhaus (SBL) est une base de données d'adresses IP en constante actualisation. Spamhaus recommande vivement de ne pas accepter d'e-mails provenant d'adresses figurant dans cette liste. L'entreprise déclare même que cette base peut être obtenue en temps réel. Sur le site de Spamhaus, dans la section SBL, il est mentionné que cette liste noire « permet aux administrateurs de serveurs de messagerie d'identifier, de marquer ou de bloquer les connexions entrantes à partir d'adresses IP qui, selon Spamhaus, sont liées à l'envoi, à l'hébergement ou à la création de courriers électroniques non désirés en masse. » Il est également souligné que la base de données SBL est maintenue par une équipe spéciale d'enquêteurs et de criminologues provenant de 10 pays, travaillant 24 heures sur 24 pour suivre les problèmes liés au spam. Cependant, il n'est pas expliqué comment la définition, la vérification ou même la suppression des enregistrements fonctionne au sein de l'entreprise.
nVpn rencontre toujours des problèmes avec les enregistrements dans la SBL, ce qui pousse les entreprises d'hébergement à menacer de résilier leurs contrats. Par exemple, en janvier 2019, un représentant d'un hôte en Albanie a informé la société que leurs serveurs VPN avaient été désactivés en raison d'une « possible inscription dans la SBL ».
Et ce n'est pas le seul cas. « Bien sûr, ce genre de choses se produit de temps en temps. Soit le serveur est temporairement désactivé en raison d'inscriptions dans la SBL, soit les entreprises annulent tout simplement leur contrat. Au début (nous le demandons intentionnellement), elles affirment qu'il n'y aura pas de problèmes avec la SBL, mais dès que toute la plage de leurs IP est placée sur la liste noire de Spamhaus, la situation change. Par exemple, c'est ainsi que nous avons perdu notre serveur à Niš, en Serbie. C'était il y a seulement quelques semaines. Heureusement, l'entreprise nous a accordé un remboursement partiel pour la location du serveur, qui avait été payée plusieurs mois à l'avance. Spamhaus est vraiment dangereux pour les services VPN, mais nous devons simplement vivre avec ça.
Un représentant de nVPN continue :
Nous proposons un service VPN sans enregistrement et faisons partie des rares à offrir à nos clients la possibilité d’ouvrir jusqu’à huit ports (TCP et UDP). Il est inévitable que certains malfaiteurs tentent d'abuser de cette fonctionnalité à des fins illégales. Bien que nous déclarions clairement dans nos conditions de service que de telles utilisations sont interdites, cela ne signifie pas que tous les clients respectent les règles. En conséquence, certains de nos préfixes ont été ajoutés à EDROP. Mais selon nous, l'inscription à EDROP n'est pas la fin du monde, même si cela bloque quelques sites web ou un ou deux services de streaming.
Cependant, cela pose tout de même des problèmes. Supposons que nous ayons loué un serveur quelque part et créé notre propre sous-réseau /24 pour l'annoncer sous l'ASN de la société d'hébergement ou sous le nôtre. Spamhaus contacte notre hébergeur et demande de déconnecter le client, c'est-à-dire nous. Si le fournisseur ne répond pas à leurs demandes, car il nous fait confiance, Spamhaus commence à ajouter les préfixes nets de l'hébergeur à la SBL, ce qui empêche tous ses autres clients d'envoyer des e-mails. L'entreprise se retrouve alors sans autre choix que de nous désactiver pour éviter d'énormes pertes financières.
Exemple de lettre de refus de l'hébergeur :
Bonjour,
Nous sommes désolés, mais nous ne pouvons plus vous héberger dans notre réseau, car Spamhaus a inscrit toutes nos adresses IP sur liste noire à cause de votre hébergement chez nous.
Votre serveur sera déconnecté le dernier jour de location sans possibilité de prolongation.
Veuillez sauvegarder vos données dès que possible et passer à un autre fournisseur.Bien à vous,
Vikas S.
(Directeur / fondateur)
Skype : v **** vp *
Résiliation des services et cessation de toute collaboration
nVpn affirme avoir perdu de nombreux serveurs en raison de ruptures de collaboration de la part des hébergeurs ces dernières années. En fin de compte, il est devenu difficile de trouver une entreprise prête à les accepter. nVpn a présenté à Tarnkappe.info un ordre de suspension de collaboration et de cessation de services daté du 11 juillet 2019. Dans une lettre du fournisseur d'hébergement suisse, il est stipulé que le projet Spamhaus exercerait une « coercition criminelle » – c'est-à-dire contraignant le fournisseur à cesser de fournir de l'hébergement à une autre entreprise sous peine de poursuites judiciaires.
Un représentant de nVpn a commenté :
Parfois, Spamhaus n'hésite pas à contacter des entreprises et à leur demander de ne plus router nos préfixes. Mais tout le monde ne s'y conforme pas. L'une de ces entreprises a décidé de poursuivre Spamhaus Ltd au Royaume-Uni, où se trouvait auparavant le siège officiel du projet. À l'époque, Spamhaus ne pouvait pas utiliser Ltd dans son nom.
En conséquence des procédures judiciaires, Spamhaus a dû déménager son siège du Royaume-Uni en Andorre.
Depuis, nVpn reçoit encore des notifications de SBL, mais Spamhaus a finalement cessé de menacer leurs fournisseurs d'hébergement. Spamhaus a également arrêté de répondre aux demandes du service VPN concernant la suppression d'enregistrements de SBL, ce qui signifie que de nombreux anciens enregistrements ne sont plus supprimés et restent dans la base de données, même s'ils ne sont plus pertinents.
Le fournisseur de VPN mentionne qu'auparavant, Spamhaus contribuait à réduire le volume de spam mondial, ce qui était utile. Mais avec le temps, le projet a commencé à tirer la couverture à lui, publiant des données personnelles de ceux qui sont sur liste noire et manipulant les entreprises fournissant de l'hébergement.
Il n'y a toujours pas de réponses à des questions cruciales.
Il y a encore beaucoup de questions concernant le projet Spamhaus, auxquelles personne ne veut répondre. Ma demande envoyée il y a trois semaines à Brian Krebs, un chercheur en spam américain et journaliste, n'a toujours pas reçu de réponse. Peut-être que les questions étaient trop sensibles, mais cela reste incertain. Des demandes ont également été envoyées à d'autres entreprises, mais presque personne ne connaît toute l'histoire du projet Spamhaus.
À propos de l'auteur de l'article original
Lars « Ghandy » Sobiraj
Lars Sobiraj a commencé sa carrière en 2000 en tant qu'auteur dans divers magazines informatiques. Il est le fondateur de Tarnkappe.info. Depuis 2014, Ghandy, comme il se fait appeler sur scène, parle aux étudiants dans diverses universités et autres établissements d'enseignement de comment fonctionne Internet.
Du traducteur
Les activités de Spamhaus ont déjà Cela a été couvert sur Habr, et uniquement de manière négative. En Russie, Spamhaus perturbe (et perturbe toujours) le travail des entreprises privées ainsi que des grands hébergeurs. En 2010, la Lettonie entière a été mise sur liste noire : en réponse aux plaintes d'un des plus grands fournisseurs du pays, Spamhaus a déclaré que la Lettonie était l'un des plus petits pays du monde, comme pour sous-entendre. Étrangement, les derniers articles concernant Spamhaus datent de 2012-2013, alors que l'entreprise existe encore aujourd'hui, je pense qu'il est temps de mettre fin à cet oubli injuste.
Source : habr.com
