Monopolio, abuso di potere e obiettivi egoistici o una mano tesa in un mare di spam? Rappresentanti di diverse aziende Internet hanno parlato con il giornalista tecnico Lars Sobiraj, per discutere il controverso progetto Spamhaus. Un'analisi adattata è disponibile dopo il salto.
Chi è il progetto Spamhaus
Cercando rapidamente online, si può scoprire che Spamhaus è un'organizzazione internazionale senza scopo di lucro, fondata nel 1998. Tuttavia, secondo quanto afferma l'ex CIO (leggi: portavoce) dell'azienda, Richard Cox, Spamhaus è una Limited Company britannica. Al momento della pubblicazione dell'intervista con Cox (nel 2011), l'ufficio centrale di Spamhaus si trovava a Ginevra. Tuttavia, tutte le informazioni sull'azienda sono contrastanti, incoerenti e misteriose.
Sven Olaf von Kamphuis (Sven Olaf von Kamphuis – di seguito SOvK), uno dei fondatori di Cyberbunker, esprime opinioni molto critiche su Spamhaus. Secondo lui, il signor Cox è inattivo da oltre 20 anni, se questa persona esiste davvero. Il progetto sarebbe controllato esclusivamente dal signor Steven John Linford e da sua moglie Maire Peters. Inoltre, come suppone SOvK, le organizzazioni senza scopo di lucro di solito non hanno bisogno di rappresentanze nelle Seychelles o a Mauritius. Anche il co-fondatore di Cyberbunker non capisce perché molti giornalisti siano "innamorati" del progetto: l'industria dei media è in larga misura responsabile dei problemi legati a Spamhaus. Tutte le informazioni che il progetto fornisce alle pubblicazioni tecnologiche vengono solitamente pubblicate senza alcun tipo di verifica, continua SOvK.
Account Twitter del progetto Spamhaus, quasi 4000 follower
Giudice e boia nella stessa persona senza alcun potere giuridico per farlo
Ciò che colpisce immediatamente è che, per quanto la funzione dell'azienda possa sembrare significativa e ragionevole, il progetto Spamhaus non ha alcuna base legale per le sue attività. Inoltre, la loro operatività non è mai stata ufficialmente autorizzata dallo stato o da organismi competenti: SOvK sottolinea che Spamhaus non è nemmeno membro di RIPE (Réseaux IP Européens – l'ente europeo che si occupa della registrazione e distribuzione delle risorse della Rete). Tuttavia, nel mondo esterno si ha l'impressione che Spamhaus sia una sorta di 'polizia di internet', mentre, evidenzia Kampuis, l'azienda stessa 'ha bisogno di un certo controllo da parte della polizia'. Sostiene anche che la pubblicazione di molti dati sul sito di Spamhaus è illegale e viola i diritti alla protezione dei dati. La diffusione di qualsiasi informazione sui mittenti di spam dovrebbe essere vietata. Il problema, secondo SOvK, risiede nella pubblicazione di dati personali nel Registro delle operazioni di spam note (Register Of Known Spam Operations – ROKSO). Questi dati devono essere protetti come altre informazioni personali, per non parlare del fatto che il contenuto delle banche dati di Spamhaus non sempre è stato ottenuto in modo legittimo.
La posizione di Roskomnadzor riguardo Spamhaus in RussiaA proposito della legalità delle attività del progetto. Dalla di chiarimento riguardante Spamhaus da parte di Roskomnadzor si evince che la loro attività in RF è illegale:
Ad eccezione dell'inserimento del sito nel Registro ai sensi della Legge sulle informazioni, di una decisione giudiziaria o di particolari accordi con un abbonato (utente) di servizi telematici, non ci sono altre ragioni per limitare l'accesso al sito (rete) (incluso su richiesta dell'azienda 'Spamhaus').
Nel caso in cui un operatore di telecomunicazioni limiti ingiustamente l'accesso al sito (rete) a un abbonato (utente) di servizi telematici, ciò costituirà una violazione del contratto con l'abbonato.
Com'è andata: Cyberbunker contro la 'polizia di internet'
Nel 2013, il conflitto tra il servizio di hosting web sotterraneo Cyberbunker e l'azienda Spamhaus è emerso. Spamhaus, che all'epoca era basata in Svizzera, ha inserito Cyberbunker nella sua lista nera a causa delle attività discutibili dei suoi clienti, rendendo pubblica questa informazione. Di conseguenza, si è verificato uno degli attacchi DDoS più grandi nella storia di Internet: Spamhaus.org è stata inondata da spazzatura digitale a una velocità di 75 Gbps. Si dice che a causa della sua ampiezza, l'attacco ha temporaneamente indebolito il traffico web globale. Nell'aprile del 2013, il presunto criminale, SOvK, che viveva all'epoca in Spagna, è stato visitato dalla polizia locale. I computer, i supporti informatici e i telefoni cellulari della persona identificata dal procuratore come signor K. sono stati sequestrati.
Il progetto Spamhaus – un libro con sette sigilli
Indipendentemente dal caso Cyberbunker, abbiamo cercato di scoprire cosa sia realmente il progetto Spamhaus, dato che non è chiaro dalle informazioni sul loro sito ufficiale. Fino ad oggi, non ci sono state risposte alle richieste inviate all'indirizzo stampa da fine gennaio 2020. Il signor Kampuis sostiene che c'era solo una società non profit a responsabilità limitata menzionata in precedenza, ma è stata esclusa dal registro all'inizio del 2020. Le altre società non perseguivano scopi benefico. Il provider upstream e l'operatore di backbone, SquareFlow, ha citato in giudizio Spamhaus. SquareFlow offre servizi simili a Cogent, HE, GTT, LibertyGlobal e altri, ospitando VPN. Due dirigenti di SquareFlow Group hanno risposto alla nostra richiesta il 1 marzo 2020:
Non possiamo permetterci di disattivare arbitrariamente un cliente, negare tutti i servizi, solo perché Spamhaus li considera cattivi. Nelle condizioni della neutralità della rete, non possiamo determinare se il traffico sia dannoso o meno, senza effettuare un'analisi approfondita dei pacchetti, che, tuttavia, comprometterebbe gravemente la riservatezza dei dati dei nostri clienti e dei loro utenti. Ci guidiamo dalla legge, non dall'opinione di una società esterna che desidera dettare a tutta Internet chi può operare online e chi no. Al momento non abbiamo né prove né sentenze né altre basi per ritenere che i nostri clienti siano coinvolti in attività dannose.
Poiché non abbiamo collaborato con Spamhaus, hanno tentato varie volte di danneggiare la reputazione della nostra azienda, dei nostri fornitori e dei partner. In nessuna circostanza noi e i nostri clienti possiamo essere ritenuti responsabili per sospetti.
Intimidire, avvertire, separare forzatamente
I loro tentativi di influenzare intere reti possono essere giustamente considerati coercitivi, che sono atti criminosi in tutti i paesi dell'UE. Ci sono stati diversi casi in cui Spamhaus ha messo in blacklist intere reti di fornitori a causa di un solo cliente, costringendoli a interrompere il servizio a chi non era gradito. Crediamo che la privacy dei dati e l'anonimato siano diritti umani fondamentali. Di conseguenza, non seguiremo mai ciecamente richieste infondate da Spamhaus o da qualsiasi altra parte che cerchi di dettare le proprie condizioni. In seguito alle loro azioni, abbiamo iniziato a prendere provvedimenti contro le loro pratiche aziendali.
Supportiamo anche i nostri partner in azioni legali contro Spamhaus, in quanto Spamhaus sta ancora tentando di costringerci a interrompere il servizio di alcuni clienti attraverso pressioni sui nostri partner e fornitori, dichiarandoci criminali per non aver soddisfatto le loro richieste, il che è chiaramente un abuso di potere. Supponiamo che il loro trasferimento in Andorra sia legato al loro comportamento criminale, che ha incontrato la giustizia britannica.
Cordiali saluti.
SquareFlow Group – Relazioni pubbliche
A nome del consiglio di amministrazione: Wim B., Florian B.
Trasferimento di Spamhaus in Andorra
Il progetto Spamhaus è attualmente basato in Andorra, un piccolo stato situato nei Pirenei, noto principalmente per le sue stazioni sciistiche, i negozi duty-free e il suo status di paradiso fiscale, secondo Wikipedia. È importante notare che Andorra non è parte dell'UE e i rapporti tra Andorra e l'Unione Europea sono regolati esclusivamente da trattati.
Ottenere dati su una nuova organizzazione collegata a Spamhaus non è stato semplice, ma alla fine sono riuscito a trovare le informazioni necessarie in EUIPO (Ufficio dell'Unione Europea per la Proprietà Intellettuale). Nei dati di EUIPO si afferma che l'azienda chiamata Spamhaus IP Holdings S.L.U. attualmente detiene il marchio registrato n. 005703401, con data di registrazione del marchio – 8 febbraio 2007. La domanda di registrazione è stata presentata dalla società Boyes Turner LLP.
Dettagli sulla registrazione del marchio Spamhaus
I contatti sono nascosti per ovvi motivi
Nota del traduttoreTrovare informazioni sulla parte legale di Spamhaus è davvero difficile. Inoltre, le informazioni disponibili in superficie sono palesemente fuorvianti. L'unica informazione disponibile sul sito ufficiale di Spamhaus riguardante la posizione dell'azienda riguarda il marchio – la parola «Spamhaus», registrata nell'UE.
ROKSO come ostacolo
È chiaro che l'obiettivo del progetto Spamhaus fosse identificare i distributori di spam. Come già citato, i dati sugli spammer sono conservati nel database ROKSO. Tuttavia, considerando che questo database è pubblico, Spamhaus colloca letteralmente tutti i sospetti su una sorta di lista nera. Non solo è possibile trovare un gran numero di dati personali, ma ci sono anche testimonianze delle vittime pubblicate senza censura. E poiché Spamhaus si trova al di fuori dell'UE, non si possono aspettare conseguenze per l'azienda da parte del GDPR.
Nel ROKSO è tenuta una registrazione di tutte le attività sospette, sia si tratti di spam reale o di semplici errori. Di conseguenza, non si può parlare di presunzione di innocenza. Inoltre, contattare rapidamente l'azienda non è possibile. Sul loro sito non sono presenti numeri di telefono, email o semplicemente un modulo di contatto per il supporto. Alcuni dati frammentari possono essere ottenuti esaminando attentamente le FAQ. Ho provato a contattare l'azienda direttamente: da fine gennaio 2020 fino al momento della pubblicazione dell'articolo [nota: 6 aprile dello stesso anno], non ho ricevuto risposte a nessuna delle mie richieste.
Critica della blacklist Spamhaus (SBL) da parte del servizio VPN nVPN
Il fornitore VPN nVpn critica il progetto per altri motivi. La lista nera Spamhaus (SBL) è un database di indirizzi IP costantemente aggiornato. Spamhaus raccomanda vivamente di non accettare email da indirizzi presenti nel database. L'azienda afferma persino che questo database può essere ottenuto in tempo reale. Sul sito di Spamhaus si legge nella sezione SBL che la lista nera "consente agli amministratori dei server di posta di identificare, contrassegnare o bloccare le connessioni in entrata da indirizzi IP che, secondo Spamhaus, sono associati all'invio, alla pubblicazione o alla creazione di email spam". Inoltre, viene detto che il database SBL è mantenuto da un gruppo speciale di investigatori e criminologi provenienti da 10 paesi che lavorano 24 ore su 24 per monitorare i problemi legati allo spam. Tuttavia, non viene spiegato come funzioni esattamente la definizione, la verifica o la rimozione dei record all'interno dell'azienda.
nVpn ha sempre problemi con i record nel SBL, motivo per cui le aziende di hosting minacciano di rescindere i loro contratti. Ad esempio, a gennaio 2019, un rappresentante di un provider di hosting in Albania ha informato l'azienda che i loro server VPN erano stati disattivati a causa di "una possibile presenza nella SBL".
E questo non è l'unico caso. "Certo, casi del genere si verificano di tanto in tanto. A volte un server viene disattivato temporaneamente a causa dei record nel SBL, altre volte le aziende annullano completamente il contratto. All'inizio (chiediamo appositamente), affermano che non ci saranno problemi con il SBL, ma non appena l'intero range dei loro IP entra nella lista nera di Spamhaus, la situazione cambia. Ad esempio, in questo modo abbiamo perso il nostro server a Niša, in Serbia. Era solo qualche settimana fa. Fortunatamente, l'azienda ci ha fornito un parziale rimborso per l'affitto del server, già pagato per alcuni mesi in anticipo. Spamhaus è davvero pericoloso per i servizi VPN, ma dobbiamo semplicemente rassegnarci a questo."
Un rappresentante di nVPN continua:
Offriamo un servizio VPN senza registrazione e siamo tra i pochi a offrire ai clienti la possibilità di aprire fino a otto porte (TCP e UDP). Inevitabilmente, alcuni malintenzionati cercheranno di abusare di questa funzione per scopi illegali. Anche se dichiariamo esplicitamente nei nostri termini di servizio che tale utilizzo è vietato, ciò non significa che tutti i clienti rispettino le regole. Di conseguenza, alcuni dei nostri prefissi sono finiti in EDROP. Ma a nostro avviso, la registrazione in EDROP non è la fine del mondo, anche se blocca alcuni siti web o uno o due servizi di streaming.
Tuttavia, questo crea comunque dei problemi. Supponiamo di aver affittato un server da qualche parte e di aver creato una nostra subnet /24 per annunciare sotto l'ASN della società di hosting o sotto il nostro. Spamhaus contatta il nostro host e chiede di disattivare il cliente, ossia noi. Se il provider non esegue le loro richieste, poiché si fida di noi, Spamhaus inizia ad aggiungere i prefissi puliti dell'host nella SBL, con il risultato che tutti gli altri suoi clienti non possono inviare email. A quel punto l'azienda non ha altra scelta e ci disattiva per non dover affrontare enormi perdite finanziarie.
Esempio di email di disdetta dall'host:
Salve,
Sfortunatamente, non possiamo più ospitarvi nella nostra rete, poiché Spamhaus ha messo nella lista nera tutti i nostri indirizzi IP a causa del vostro hosting con noi.
Il vostro server sarà disattivato nell'ultimo giorno di affitto senza possibilità di proroga.
Vi preghiamo di eseguire un backup il prima possibile e di passare a un altro provider.Cordiali saluti,
Vikas S.
(Direttore / Fondatore)
Skype: v **** vp *
Cessazione dei servizi e rifiuto di ulteriori collaborazioni
nVpn sostiene di aver perso molti server a causa di rifiuti di collaborazione da parte degli host negli ultimi anni. Alla fine, è diventato difficile trovare un'azienda disposta ad accoglierli. nVpn ha presentato a Tarnkappe.info un ordine di sospensione della collaborazione e rifiuto di ulteriori servizi datato 11 luglio 2019. Nella lettera del provider di hosting svizzero si afferma che il progetto Spamhaus attuerà "coercizione penale" - cioè costringe il provider a ritirarsi dal fornire hosting ad un'altra azienda sotto la minaccia di azioni legali.
Un rappresentante di nVpn ha commentato:
A volte Spamhaus non esita a contattare le aziende e richiedere loro di non instradare più i nostri prefissi. Ma non tutti accettano questa situazione. Una di queste aziende ha deciso di fare causa a Spamhaus Ltd nel Regno Unito, dove si trovava in precedenza la sede ufficiale del progetto. All'epoca, Spamhaus non poteva usare Ltd nel nome.
Di conseguenza, Spamhaus ha dovuto trasferire la sua sede dal Regno Unito in Andorra.
Da allora nVpn continua a ricevere notifiche da SBL, ma Spamhaus ha finalmente smesso di minacciare i loro fornitori di hosting. Inoltre, Spamhaus ha smesso di rispondere alle richieste del servizio VPN per la rimozione delle registrazioni da SBL, il che significa che numerose vecchie registrazioni non vengono più rimosse e rimangono nel database, anche se non sono più rilevanti.
Il fornitore VPN menziona che in passato Spamhaus ha contribuito a ridurre il volume dello spam globale, il che è stato utile. Tuttavia, col passare del tempo, il progetto ha iniziato a tirare la coperta a sé, pubblicando dati personali delle persone finite nella lista e manipolando le aziende di hosting.
Le risposte a domande critiche ancora non ci sono.
Ci sono ancora molte domande sul progetto Spamhaus a cui nessuno vuole rispondere. Non ho ricevuto risposta alla mia richiesta inviata tre settimane fa al ricercatore di spam americano e giornalista Brian Krebs. Forse le domande erano troppo scomode, ma non è chiaro fino in fondo. Sono state inviate richieste anche ad altre aziende, ma quasi nessuno conosce tutta la storia del progetto Spamhaus.
Sull'autore dell'articolo originale
Lars «Ghandy» Sobiraj
Lars Sobiraj ha iniziato la sua carriera nel 2000 come autore in varie riviste informatiche. È il fondatore di Tarnkappe.info. Dal 2014 Ghandy, come si fa chiamare sul palco, racconta a studenti di diverse università e altre istituzioni educative come funziona Internet.
Dall'autore
L'attività di Spamhaus è già è stata trattata su Habr, e in modo esclusivamente negativo. In Russia, Spamhaus ha ostacolato (e ostacola) il lavoro sia delle aziende private che dei grandi provider di hosting. Nel 2010, l'intera Lettonia è finita nella blacklist: in risposta alle denunce di uno dei maggiori provider del paese, Spamhaus ha dichiarato che la Lettonia è uno dei paesi più piccoli al mondo, come a suggerire. Per qualche motivo, gli ultimi post relativi a Spamhaus risalgono al 2012-2013, anche se l'azienda esiste ancora oggi; penso che questa ingiusta dimenticanza debba essere interrotta.
Fonte: habr.com
