Opinion : Spamhaus – censure en ligne ou combattants pour un web propre ?

Monopole, abus de pouvoir et d’intérêt personnel ou coup de main dans une mer de spam ? Des représentants de plusieurs sociétés Internet se sont entretenus avec le journaliste technologique Lars "Ghandy" Sobiraj pour discuter du projet controversé Spamhaus. Analyse adaptée en dessous de la coupe.

Qui est le projet Spamhaus

Une recherche rapide en ligne révèle que Spamhaus est une organisation internationale à but non lucratif fondée en 1998. Cependant, selon l'ancien CIO (lire : conférencier) de l'entreprise, Richard Cox, Spamhaus est une société à responsabilité limitée britannique. Au moment de la publication de l'entretien avec Cox (2011), le siège social de Spamhaus était à Genève. Cependant, toutes les informations sur l’entreprise sont contradictoires, incohérentes et mystérieuses.

Sven Olaf von Kamphuis (ci-après SOvK), l'un des fondateurs de Cyberbunker, parle de Spamhaus de la manière la plus peu flatteuse possible. Selon lui, M. Cox est au chômage depuis plus de 20 ans, si tant est que cette personne existe. Le projet serait contrôlé uniquement par M. Stephen John Linford et son épouse Myra Peters. De plus, comme le suggère SOvK, les organisations à but non lucratif n’ont généralement pas besoin d’être présentes aux Seychelles ou à Maurice. Le cofondateur de Cyberbunker ne comprend pas non plus pourquoi tant de journalistes tombent amoureux du projet : l'industrie des médias est en grande partie responsable des problèmes liés à Spamhaus. Toutes les informations que le projet transmet aux publications technologiques sont généralement publiées sans aucune vérification, poursuit SOvK.

Compte Twitter du projet Spamhaus, près de 4000 XNUMX abonnés

Juge et bourreau en une seule personne sans aucune autorité légale pour le faire

Ce qui attire immédiatement l’attention : aussi importante et raisonnable que puisse paraître la fonction de l’entreprise, le projet Spamhaus n’a aucune base juridique pour ses activités. De plus, leurs activités n'ont jamais été officiellement autorisées par l'État ou les autorités compétentes : SOvK met l'accent sur le fait que Spamhaus n'est même pas membre du RIPE (Réseaux IP Européens est un régulateur européen qui s'occupe de l'enregistrement et de la distribution des ressources sur le L'Internet). Cependant, pour le monde extérieur, l’impression est que Spamhaus est une sorte de « police de l’Internet », alors que, souligne Campuis, l’entreprise elle-même « a besoin d’une certaine attention policière ». Il affirme également que la publication d'une grande partie des données sur le site Web Spamhaus est illégale et viole les droits en matière de protection des données. La publication de toutes les informations sur les spammeurs du projet doit être interdite. Le problème, selon SOvK, est la publication de données personnelles dans le registre des opérations de spam connues (ROKSO). Ces données doivent être protégées comme les autres informations personnelles, sans compter que le contenu des bases de données Spamhaus ne peut pas toujours être obtenu légalement.

Position de Roskomndazor sur Spamhaus en RussieÀ propos, sur la légalité des activités du projet. Depuis lettres avec des explications concernant Spamhaus de Roskomnadzor, il s'ensuit que leurs activités en Fédération de Russie sont illégales :

À l'exception de l'inscription du site au registre sur la base de la loi sur l'information, d'une décision de justice ou des spécificités d'un accord avec un abonné (utilisateur) de services de communication télématique et d'autres raisons de restriction de l'accès au site (réseau) ( y compris à la demande de la société Spamhaus), l'opérateur télécom ne l'a pas.

Si un opérateur télématique restreint illégalement l'accès à un site Web (réseau) à un abonné (utilisateur) de services de communication télématique, les actions de l'opérateur contiendront des signes d'une violation du contrat avec l'abonné.

Comment c’est arrivé : Cyberbunker contre la « police de l’Internet »

En 2013, le conflit entre l'hébergement Web clandestin Cyberbunker et Spamhaus s'est intensifié. Spamhaus, alors basée en Suisse, a placé Cyberbunker sur sa liste noire en raison des activités douteuses de ses clients et l'a rendue publique. Suite à cela, l'une des plus grandes attaques DDoS de l'histoire d'Internet s'est produite : Spamhaus.org a été bombardé de déchets numériques à une vitesse de 75 Gbit/s. En raison de son ampleur, l’attaque aurait perturbé le trafic Web mondial pendant une courte période. En avril 2013, l'auteur présumé, SOvK, qui vivait alors en Espagne, a reçu la visite de la police locale. Les ordinateurs, supports de stockage et téléphones portables de la personne identifiée par le procureur comme étant MK ont été confisqués.

Le projet Spamhaus est un livre à sept sceaux

Indépendamment du cas Cyberbunker, nous avons essayé de découvrir ce qu'est réellement le projet Spamhaus, car cela ne ressort pas clairement des informations disponibles sur leur propre site Internet. A ce jour, les demandes adressées à l’adresse de presse sont restées sans réponse depuis fin janvier 2020. M. Campuis affirme que Spamhaus disposait d'une seule société anonyme à but non lucratif mentionnée précédemment, mais qu'elle a été radiée début 2020. Les autres sociétés n’avaient aucune fin caritative. Le fournisseur en amont et opérateur de backbone, SquareFlow, a poursuivi Spamhaus. SquareFlow propose des services similaires à Cogent, HE, GTT, LibertyGlobal et autres en hébergeant des services VPN. Deux dirigeants de SquareFlow Group ont répondu à notre demande le 1er mars 2020 :

Nous ne pouvons pas nous permettre de déconnecter arbitrairement un client, en lui refusant tous les services, sur la seule base du fait que Spamhaus les considère comme mauvais. Dans le cadre de la neutralité du Net, nous ne pouvons pas déterminer si le trafic est malveillant ou non sans effectuer une analyse approfondie des paquets, ce qui compromettrait toutefois sérieusement la vie privée de nos clients et de leurs utilisateurs. Nous sommes guidés par la loi, et non par l'opinion d'une société tierce qui veut dicter à l'ensemble de l'Internet qui est autorisé à travailler sur le réseau et qui ne l'est pas. À l’heure actuelle, nous n’avons aucune preuve, ordonnance du tribunal ou autre raison de croire que nos clients se livrent à des activités préjudiciables.

Parce que nous n'avons pas coopéré avec Spamhaus, ils ont tenté à plusieurs reprises de nuire à la réputation de notre entreprise, de nos fournisseurs et partenaires. En aucun cas nous ou nos clients ne pouvons être tenus responsables de soupçons.

Intimider, avertir, séparer par la force

Leurs tentatives d’influencer des réseaux entiers peuvent à juste titre être considérées comme de la coercition, ce qui constitue un acte criminel dans tous les pays de l’UE. Il y a eu plusieurs cas où Spamhaus a mis sur liste noire des réseaux entiers de fournisseurs à cause d'un seul client, les obligeant à cesser de servir les clients indésirables. Nous pensons que la confidentialité des données et l’anonymat sont des droits humains fondamentaux. Par conséquent, nous ne suivrons jamais aveuglément les demandes déraisonnables de Spamhaus ou de tout autre parti qui tente de dicter ses conditions. En raison de leurs actions, nous avons commencé à prendre des mesures contre leurs pratiques commerciales.

Nous soutenons également nos partenaires dans les poursuites contre Spamhaus, car Spamhaus essaie toujours de nous forcer à cesser de servir certains clients en contactant nos partenaires et fournisseurs, nous déclarant criminels pour ne pas avoir répondu à leurs demandes, ce qui constitue évidemment un abus de pouvoir. Nous pensons que leur déménagement en Andorre est lié à leur comportement criminel qui est en conflit avec le système juridique britannique.

Sincèrement.
Groupe SquareFlow - Relations publiques
Au nom du conseil d'administration : Wim B., Florian B.

Déménager Spamhaus en Andorre

Le projet Spamhaus est actuellement basé en Andorre, un petit pays situé dans les Pyrénées, qui, selon Wikipédia, est principalement connu pour ses stations de ski, ses magasins hors taxes et son statut de paradis fiscal. Il est important de noter qu'Andorre ne fait pas partie de l'UE ; les relations entre Andorre et l'Union européenne sont régies uniquement par des traités.

Il n'a pas été facile de trouver des informations sur la nouvelle organisation associée à Spamhaus, mais j'ai finalement pu trouver les informations dont j'avais besoin auprès de l'EUIPO (Office de l'Union européenne pour la propriété intellectuelle). Les données de l'EUIPO indiquent qu'une société appelée Spamhaus IP Holdings SLU détient actuellement la marque n° 005703401, avec une date d'enregistrement du 8 février 2007. La demande d'enregistrement a été déposée par Boyes Turner LLP.

Détails d’enregistrement de la marque Spamhaus

Les contacts sont masqués pour des raisons évidentes.

Note du traducteurTrouver quoi que ce soit sur l’aspect juridique de Spamhaus est vraiment difficile. De plus, les informations disponibles en surface sont franchement fausses. La seule information disponible sur le site Web de Spamhaus lui-même concernant l'emplacement de l'entreprise concerne la marque - le mot « Spamhaus », qui est enregistrée dans l'UE.

ROKSO comme pierre d'achoppement

Évidemment, l'objectif du projet Spamhaus était de trouver des distributeurs de spam. Comme déjà mentionné, les données sur les spammeurs sont stockées dans la base de données ROKSO. Cependant, étant donné que cette base de données est publique, Spamhaus met littéralement tous les suspects au tableau de la honte. Non seulement vous pouvez trouver une tonne de données personnelles dans la base de données, mais elle contient également des messages de victimes publiés sans censure. Et comme Spamhaus vit en dehors de l’UE, le RGPD n’entraîne aucune conséquence pour l’entreprise.

ROKSO conserve littéralement une trace de toutes les activités suspectes, qu'il s'agisse d'un véritable spam ou d'une simple erreur. Il n’est donc question d’aucune présomption d’innocence. Il n'est pas non plus possible de contacter rapidement l'entreprise. Il n'y a pas de numéro de téléphone, d'e-mail ou simplement de formulaire de contact pour le support client sur leur site Web. Certaines informations fragmentaires peuvent être obtenues en étudiant attentivement la FAQ. J'ai essayé de contacter directement l'entreprise : de fin janvier 2020 jusqu'à la publication de l'article [ndlr : 6 avril de la même année], aucune réponse n'a été reçue à une seule demande.

Critique de la liste noire Spamhaus (SBL) du service VPN nVPN

Le fournisseur VPN nVpn critique le projet pour d'autres raisons. La liste noire de Spamhaus (SBL) est une base de données d'adresses IP constamment mise à jour. Spamhaus recommande fortement de ne pas accepter les e-mails provenant d'adresses contenues dans la base de données. L'entreprise affirme même que cette base de données peut être obtenue en temps réel. Sur le site Web de Spamhaus, la section SBL indique qu'une liste noire "permet aux administrateurs de serveurs de messagerie d'identifier, de signaler ou de bloquer les connexions entrantes à partir d'adresses IP que Spamhaus détermine comme étant associées à l'envoi, à l'hébergement ou à la génération d'e-mails en masse non sollicités". Il indique également que la base de données SBL est gérée par une équipe dédiée d'enquêteurs et de médecins légistes de 10 pays qui travaillent XNUMX heures sur XNUMX pour surveiller les problèmes liés au spam. Cependant, le fonctionnement interne exact de l’identification, de la vérification ou même de la suppression des enregistrements n’est pas expliqué.

nVpn a toujours des problèmes avec les entrées SBL, ce qui amène les hébergeurs à menacer de résilier leurs contrats. Par exemple, en janvier 2019, un représentant d'un hébergeur albanais a déclaré à l'entreprise que ses serveurs VPN étaient en panne en raison d'un « possible coup SBL ».

Et ce n'est pas le seul cas. « Bien sûr, quelque chose comme ça arrive de temps en temps. Soit le serveur est temporairement arrêté en raison d'entrées dans le SBL, soit les entreprises annulent simplement complètement le contrat. Au début (nous le demandons spécifiquement), ils prétendent qu'il n'y aura aucun problème avec SBL, mais une fois que toute leur gamme IP est mise sur liste noire par Spamhaus, la situation change. Par exemple, c'est ainsi que nous avons perdu notre serveur à Niš, en Serbie. C'était il y a seulement quelques semaines. Heureusement, la société nous a remboursé partiellement la location de notre serveur, payée plusieurs mois à l'avance. Spamhaus est vraiment dangereux pour les services VPN, mais nous devons simplement vivre avec.

Le représentant nVPN poursuit :

Nous fournissons un service VPN sans enregistrement et sommes l'un des rares à offrir aux clients la possibilité d'ouvrir jusqu'à huit ports (TCP et UDP). Il est inévitable que certains attaquants tentent d’exploiter cette fonctionnalité à des fins illégales. Bien que nous indiquions explicitement dans nos conditions de service qu'une telle utilisation est interdite, cela ne signifie pas que tous les clients adhèrent aux règles. En conséquence, certains de nos préfixes se sont retrouvés dans EDROP. Mais à notre avis, une entrée EDROP n’est pas la fin du monde, même si elle bloque quelques sites Web ou un ou deux services de streaming.

Cependant, cela pose encore des problèmes. Supposons que nous ayons loué un serveur quelque part et créé notre propre sous-réseau /24 pour faire de la publicité sous l'ASN de la société d'hébergement ou sous le nôtre. Spamhaus contacte notre hébergeur et nous demande de déconnecter le client, c'est-à-dire nous. Si le fournisseur ne répond pas à ses demandes parce qu'il nous fait confiance, Spamhaus commence à ajouter des préfixes d'hébergeur propres au SBL, empêchant tous ses autres clients d'envoyer du courrier. L’entreprise n’a alors pas d’autre choix et nous ferme ses portes pour ne pas subir d’énormes pertes financières.

Un exemple de lettre de refus d'un hébergeur :

Accueil

Malheureusement, nous ne pouvons plus vous héberger sur notre réseau car Spamhaus a mis sur liste noire toutes nos adresses IP en raison de votre hébergement chez nous.
Votre serveur sera arrêté le dernier jour de votre location sans possibilité de renouvellement.
Veuillez enregistrer une sauvegarde dès que possible et passer à un autre fournisseur.

Cordialement,
Vikas S.
(Directeur/Fondateur)
Skype : v **** vp *

Résiliation des services et refus de coopération ultérieure

nVpn affirme avoir perdu de nombreux serveurs à cause d'hébergeurs peu coopératifs ces dernières années. Finalement, il est devenu difficile de trouver une entreprise prête à les accepter. nVpn a présenté à Tarnkappe.info une ordonnance de suspension de la coopération et de refus de la poursuite de la fourniture de services en date du 11 juillet 2019. La lettre du fournisseur d'hébergement suisse affirme que le projet Spamhaus exercera une « application pénale », c'est-à-dire obligera le fournisseur à refuser de fournir un hébergement à une autre entreprise sous peine de poursuites judiciaires.

Un représentant de nVpn a commenté :

Parfois, Spamhaus n'hésite pas à contacter des entreprises et à exiger qu'elles ne routent plus nos préfixes. Mais tout le monde ne supporte pas cela. L'une de ces sociétés a décidé de poursuivre Spamhaus Ltd au Royaume-Uni, où se trouvait auparavant le siège officiel du projet. À l'époque, Spamhaus ne pouvait pas utiliser Ltd dans son nom.

À la suite de cette procédure, Spamhaus a dû déplacer son siège social du Royaume-Uni vers Andorre.

Depuis, nVpn reçoit toujours des notifications de SBL, mais Spamhaus a finalement cessé de menacer ses hébergeurs. Spamhaus a également cessé de répondre aux demandes du service VPN visant à supprimer les entrées du SBL, ce qui signifie que de nombreuses anciennes entrées ne sont plus supprimées et restent dans la base de données, même si elles ne sont plus pertinentes.

Le fournisseur VPN mentionne que Spamhaus a contribué à réduire le spam à l’échelle mondiale dans le passé, ce qui s’est avéré utile. Mais au fil du temps, le projet a commencé à se cacher, en publiant les données personnelles des personnes figurant sur la liste et en manipulant les sociétés d'hébergement.

Il n'y a toujours pas de réponses aux questions critiques

Il reste encore de nombreuses questions sur le projet Spamhaus auxquelles personne ne veut répondre. Une demande que j’ai envoyée il y a trois semaines au chercheur et journaliste américain Brian Krebs n’a jamais reçu de réponse. Les questions étaient peut-être trop pointues, mais ce n’est pas tout à fait clair. Des demandes ont été envoyées à d'autres sociétés, mais presque personne ne connaît toute l'histoire du projet Spamhaus.

À propos de l'auteur de l'article original

Lars "Ghandy" Sobiraj

Lars Sobiraj a débuté sa carrière en 2000 en tant qu'écrivain pour divers magazines informatiques. Il est le fondateur de Tarnkappe.info. Depuis 2014, Gandhi, comme il se fait appeler sur scène, s'adresse à des étudiants de diverses universités et autres établissements d'enseignement sur le fonctionnement d'Internet.

Du traducteur

Les activités du Spamhaus ont déjà plus d'une fois a été couvert sur Habré, et exclusivement de manière négative. En Russie, Spamhaus a interféré (et interfère encore) avec le travail d'entreprises privées et de grandes sociétés d'hébergement. En 2010, l'ensemble de la Lettonie a été mis sur liste noire : puis, en réponse aux plaintes de l'un des plus grands fournisseurs du pays, Spamhaus a répondu que la Lettonie était l'un des plus petits pays du monde, comme pour laisser entendre. Pour une raison quelconque, les derniers articles liés à Spamhouse datent de 2012-2013, même si l'entreprise existe toujours aujourd'hui, je pense que cet oubli injuste doit être interrompu.

Source: habr.com