Monopolio, abuso di potere e interessi personali o una mano tesa in un mare di spam? Rappresentanti di diverse aziende internet hanno parlato con il giornalista tecnologico Lars Sobiraj per discutere del controverso progetto Spamhaus. Un'analisi adattata dopo il salto.
Chi sono i Spamhaus Project
Cercando rapidamente online, si può scoprire che Spamhaus è un'organizzazione internazionale no-profit, fondata nel 1998. Tuttavia, secondo l'ex CIO (leggi: portavoce) dell'azienda, Richard Cox, Spamhaus è una Limited Company britannica. Al momento della pubblicazione dell'intervista con Cox (nel 2011), la sede principale di Spamhaus si trovava a Ginevra. Tuttavia, tutte le informazioni sulla compagnia sono contraddittorie, incongruenti e misteriose.
Sven Olaf von Kamphuis (SOvK), uno dei fondatori di Cyberbunker, esprime opinioni molto negative su Spamhaus. Secondo lui, il signor Cox è inattivo da oltre 20 anni, se questa persona esiste davvero. Il progetto sarebbe controllato esclusivamente dal signor Stephen John Linford e da sua moglie Myra Peters. Inoltre, come suggerisce SOvK, le organizzazioni non profit di solito non hanno bisogno di rappresentanze alle Seychelles o a Mauritius. Il co-fondatore di Cyberbunker non comprende nemmeno perché molti giornalisti siano «innamorati» del progetto – l'industria dei media è in gran parte responsabile dei problemi legati a Spamhaus. Tutte le informazioni che il progetto fornisce alle riviste tecnologiche vengono pubblicate senza alcun controllo, continua SOvK.
Twitter account del Spamhaus Project, quasi 4000 follower
Giudice e boia in una sola persona senza alcun potere legale per farlo
Ciò che colpisce subito: per quanto significativa e ragionevole possa sembrare la funzione dell'azienda, il progetto Spamhaus non ha basi legali per le sue attività. Inoltre, la sua operatività non è mai stata ufficialmente autorizzata dallo stato o da enti competenti: SOvK sottolinea che Spamhaus non è nemmeno un membro di RIPE (Réseaux IP Européens – l'ente di regolazione europeo che si occupa della registrazione e distribuzione delle risorse nella rete). Tuttavia, al mondo esterno sembra che Spamhaus sia una sorta di "polizia di Internet", mentre, sottolinea Kampuis, l'azienda ha bisogno di un certo "atteggiamento della polizia". Egli afferma inoltre che la pubblicazione di molti dati sul sito di Spamhaus è illegale e viola i diritti alla protezione dei dati. La pubblicazione di tutte le informazioni sugli spammer dovrebbe essere vietata. Il problema, secondo SOvK, risiede nella pubblicazione di dati personali nel Registro delle operazioni di spam conosciute (Register Of Known Spam Operations – ROKSO). Questi dati dovrebbero essere protetti così come altre informazioni personali, per non parlare del fatto che il contenuto delle banche dati di Spamhaus non sempre potrebbe essere stato acquisito in modo legale.
Posizione del Roskomnadzor su Spamhaus in RussiaA proposito, riguardo alla legalità delle attività del progetto. Da con le spiegazioni riguardo a Spamhaus da parte del Roskomnadzor si evince che la loro attività in RF è illegale:
Fatta eccezione per l'inserimento del sito nel Registro sulla base della Legge sulle informazioni, decisioni del tribunale o particolarità del contratto con l'abbonato (utente) dei servizi di telecomunicazioni, non ci sono altre ragioni per limitare l'accesso al sito (rete) (compreso su richiesta della società "Spamhaus"), il gestore della rete non ha.
Se il gestore della rete limiterà illegittimamente l'accesso al sito (rete) per l'abbonato (utente) dei servizi di telecomunicazioni, nelle azioni del gestore si evidenzieranno segni di violazione del contratto con l'abbonato.
Come è andata: Cyberbunker contro la "polizia di Internet"
Nel 2013 il conflitto tra l'hosting web underground Cyberbunker e l'azienda Spamhaus si intensificò. Spamhaus, che all'epoca aveva sede in Svizzera, mise Cyberbunker nella sua lista nera a causa delle attività dubbie dei suoi clienti e rese la cosa pubblica. Ne seguì uno degli attacchi DDoS più grandi nella storia di Internet: Spamhaus.org fu sommerso da spazzatura digitale alla velocità di 75 Gbit/s. Si dice che, per il suo volume, l'attacco abbia temporaneamente indebolito il traffico web globale. Nell'aprile 2013, la polizia locale fece visita a un presunto criminale, SOvK, che allora viveva in Spagna. Furono confiscati computer, supporti informatici e telefoni cellulari della persona che il procuratore chiamò signor K.
Il progetto Spamhaus – un libro con molti segreti
Indipendentemente dalla questione del Cyberbunker, abbiamo cercato di capire cosa rappresenti realmente il progetto Spamhaus, poiché non è chiaro dalle informazioni presenti sul loro sito ufficiale. Ad oggi, non abbiamo ricevuto risposte alle richieste inviate all'indirizzo stampa, da fine gennaio 2020. Il signor Kampuis afferma che Spamhaus aveva un'unica società no profit a responsabilità limitata menzionata in precedenza, ma è stata espulsa dal registro all'inizio del 2020. Le altre aziende non avevano scopi di beneficenza. Il fornitore upstream e l'operatore di rete, SquareFlow, ha fatto causa a Spamhaus. SquareFlow offre servizi simili a Cogent, HE, GTT, LibertyGlobal e altri, ospitando al loro interno servizi VPN. Due dirigenti di SquareFlow Group hanno risposto alla nostra richiesta il 1° marzo 2020:
Non possiamo permettere di disattivare arbitrariamente un cliente e negare tutti i servizi basandoci solo sul fatto che Spamhaus li ritenga cattivi. Sotto le condizioni della neutralità della rete, non possiamo determinare se il traffico è malevolo senza eseguire un'analisi approfondita dei pacchetti, che potrebbe però compromettere seriamente la privacy dei dati dei nostri clienti e dei loro utenti. Ci atteniamo alla legge, e non all'opinione di una terza parte che vuole dettare a internet intero chi può lavorare nella rete e chi no. Al momento non abbiamo né prove, né sentenze, né altra motivazione per ritenere che i nostri clienti siano coinvolti in attività malevole.
Poiché non abbiamo collaborato con Spamhaus, hanno intrapreso diversi tentativi di danneggiare la reputazione della nostra azienda, dei nostri fornitori e partner. In nessuna circostanza noi e i nostri clienti possiamo essere ritenuti responsabili per sospetti.
Intimidire, avvertire, separare forzatamente
I loro tentativi di influenzare intere reti possono essere considerati a giusto titolo coercitivi, un reato in tutti i paesi dell'UE. Ci sono stati diversi casi in cui Spamhaus ha messo in lista nera intere reti di provider a causa di un singolo cliente, costringendoli a interrompere il servizio a clienti indesiderati. Crediamo che la privacy dei dati e l'anonimato siano diritti umani fondamentali. Pertanto, non seguiremo mai ciecamente richieste infondate da Spamhaus o qualsiasi altra parte che cerca di dettare le proprie condizioni. A causa delle loro azioni, abbiamo iniziato ad adottare misure contro le loro pratiche commerciali.
Sosteniamo anche i nostri partner in azioni legali contro Spamhaus, poiché quest'ultimo continua a cercare di costringerci a interrompere il servizio a certi clienti attraverso richieste ai nostri partner e fornitori, dichiarandoci dei criminali per non aver soddisfatto le loro richieste, il che è evidentemente un abuso di potere. Supponiamo che il loro trasferimento in Andorra sia legato al loro comportamento criminale, in conflitto con il sistema legale britannico.
Cordiali saluti.
SquareFlow Group — Pubbliche relazioni
A nome del consiglio di amministrazione: Wim B., Florian B.
Trasferimento di Spamhaus in Andorra
Il progetto Spamhaus è ora basato in Andorra, un piccolo stato situato nei Pirenei, noto, secondo Wikipedia, principalmente per le sue stazioni sciistiche, i negozi duty-free e il suo status di paradiso fiscale. È importante notare che l'Andorra non fa parte dell'UE, e i rapporti tra Andorra e l'Unione Europea sono regolati solo da accordi.
Ottenere informazioni su una nuova organizzazione legata a Spamhaus non è stato facile, ma alla fine sono riuscito a trovare le informazioni necessarie presso l'EUIPO (Ufficio dell'Intellectual Property dell'Unione Europea). I dati dell'EUIPO indicano che un'azienda chiamata Spamhaus IP Holdings S.L.U. detiene attualmente il marchio n. 005703401, registrato il 8 febbraio 2007. La domanda di registrazione è stata presentata dalla società Boyes Turner LLP.
Dettagli sulla registrazione del marchio Spamhaus
I contatti sono nascosti per motivi evidenti
Nota del traduttoreTrovare informazioni sulla dimensione legale di Spamhaus è davvero difficile. Inoltre, le informazioni disponibili in superficie non corrispondono affatto alla realtà. L'unica informazione presente sul sito di Spamhaus relativa alla posizione dell'azienda riguarda il marchio – la parola 'Spamhaus', registrata nell'UE.
ROKSO come ostacolo
È evidente che l'obiettivo del progetto Spamhaus fosse la ricerca dei distributori di spam. Come già accennato, i dati sugli spammer sono conservati nel database ROKSO. Tuttavia, dato che questo database è pubblico, Spamhaus mette letteralmente tutti i sospettati alla berlina. Non solo nel database si trovano numerose informazioni personali, ma ci sono anche messaggi delle vittime pubblicati senza censura. E poiché Spamhaus opera al di fuori dell'UE, non ci si può aspettare conseguenze per l'azienda da parte del GDPR.
In ROKSO viene tenuto un resoconto letterale di tutte le attività sospette, che si tratti di spam reale o di un semplice errore. In questo modo, non c'è spazio per alcuna presunzione di innocenza. È anche impossibile contattare rapidamente l'azienda. Sul loro sito non ci sono numeri di telefono, email o nemmeno un modulo di contatto per il servizio clienti. Alcune informazioni frammentarie possono essere ottenute esaminando attentamente le FAQ. Ho provato a contattare l'azienda direttamente: dall'inizio di gennaio 2020 fino al momento della pubblicazione dell'articolo [nota: 6 aprile dello stesso anno], non ho ricevuto risposta a nessuna richiesta.
Critica della lista nera Spamhaus (SBL) da parte del servizio VPN nVPN
Il fornitore di VPN nVpn critica il progetto per altre ragioni. La lista nera Spamhaus (SBL) è un database di indirizzi IP costantemente aggiornato. Spamhaus raccomanda vivamente di non accettare email provenienti da indirizzi presenti nel database. L'azienda afferma anche che questo database può essere ottenuto in tempo reale. Sul sito di Spamhaus, nella sezione SBL, si afferma che la lista nera "permette agli amministratori dei server di posta di identificare, contrassegnare o bloccare le connessioni in ingresso da indirizzi IP che, a parere di Spamhaus, sono coinvolti nell'invio, nella pubblicazione o nella creazione di email di massa indesiderate." Inoltre, viene specificato che il database SBL è mantenuto da un gruppo speciale di investigatori e criminologi provenienti da 10 paesi, che lavorano 24 ore su 24 per monitorare i problemi legati allo spam. Tuttavia, non viene spiegato come la definizione, la verifica o anche la rimozione dei record funzioni all'interno dell'azienda.
nVpn ha costantemente problemi con le registrazioni nel SBL, motivo per cui le aziende di hosting minacciano di rescindere i loro contratti. Ad esempio, a gennaio 2019 un rappresentante di un host in Albania ha informato l'azienda che i loro server VPN erano stati disattivati a causa di "una possibile inclusione nel SBL".
E questo non è l'unico caso. "Certamente, qualcosa del genere accade di tanto in tanto. A volte il server viene temporaneamente disattivato a causa delle registrazioni nel SBL, altre volte le aziende annullano semplicemente completamente il contratto. All'inizio (chiediamo appositamente), affermano che non ci saranno problemi con il SBL, ma non appena l'intero range dei loro IP viene inserito nella lista nera di Spamhaus, la situazione cambia. Ad esempio, in questo modo abbiamo perso il nostro server a Niša, in Serbia. È successo solo alcune settimane fa. Fortunatamente, l'azienda ci ha fornito un rimborso parziale per l'affitto del server, che era già stato pagato per alcuni mesi in anticipo. Spamhaus è davvero pericoloso per i servizi VPN, ma dobbiamo semplicemente rassegnarci a questo."
Il rappresentante di nVPN continua:
Offriamo un servizio VPN senza registrazione e siamo tra i pochi a dare ai clienti la possibilità di aprire fino a otto porte (TCP e UDP). È inevitabile che alcuni malintenzionati cerchino di abusare di questa funzione per scopi illeciti. Sebbene dichiariamo esplicitamente nei nostri termini di servizio che tale utilizzo è vietato, ciò non significa che tutti i clienti rispettino le regole. Di conseguenza, alcuni dei nostri prefissi sono finiti in EDROP. Tuttavia, a nostro avviso, essere elencati in EDROP non è la fine del mondo, anche se blocca alcuni siti web o qualche servizio di streaming.
Tuttavia, questo crea comunque problemi. Supponiamo di aver affittato un server da qualche parte e di aver creato una propria sottorete /24 per annunciare sotto l'ASN dell'azienda di hosting o sotto il nostro. Spamhaus contatta il nostro provider e chiede di disabilitare il cliente, cioè noi. Se il provider non è in grado di soddisfare le loro richieste, poiché si fida di noi, Spamhaus inizia ad aggiungere i prefissi puliti dell'hosting alla SBL, rendendo impossibile l'invio di email a tutti gli altri clienti. A questo punto, l'azienda non ha altra scelta e ci disabilita, affinché non debbano affrontare enormi perdite finanziarie.
Esempio di email di rifiuto dal fornitore:
Salve,
Sfortunatamente, non possiamo più ospitarvi nella nostra rete, poiché Spamhaus ha inserito nella blacklist tutti i nostri indirizzi IP a causa della vostra ospitalità con noi.
Il vostro server sarà disabilitato nell'ultimo giorno di noleggio senza possibilità di estensione.
Vi preghiamo di eseguire il backup il prima possibile e di passare a un altro fornitore.Cordiali saluti,
Vikas S.
(Direttore / Fondatore)
Skype: v **** vp *
Cessazione dei servizi e rinuncia a ulteriori collaborazioni
nVpn afferma di aver perso molti server a causa del rifiuto di collaborare da parte degli host negli ultimi anni. Alla fine, è diventato difficile trovare un'azienda disposta ad accoglierli. nVpn ha presentato a Tarnkappe.info un'ordinanza di sospensione della collaborazione e di cessazione della fornitura di servizi dal 11 luglio 2019. Nella lettera dell'hosting provider svizzero si afferma che il progetto Spamhaus eserciterà "coazione penale" – costringendo il provider a rinunciare a fornire hosting a un'altra azienda sotto minaccia di contenzioso.
Un rappresentante di nVpn ha commentato:
A volte Spamhaus non esita a contattare le aziende e a chiedere loro di non instradare più i nostri prefissi. Ma non tutti ci si piegano. Una di queste aziende ha deciso di citare in giudizio Spamhaus Ltd nel Regno Unito, dove si trovava in precedenza la sede ufficiale del progetto. All'epoca, non era possibile utilizzare "Ltd" nel nome.
A seguito delle controversie, Spamhaus è stata costretta a trasferire la propria sede dal Regno Unito in Andorra.
Da allora nVpn continua a ricevere notifiche da SBL, ma Spamhaus ha finalmente smesso di minacciare i loro fornitori di hosting. Inoltre, Spamhaus ha smesso di rispondere alle richieste del servizio VPN per la rimozione delle voci da SBL, il che significa che numerose vecchie voci non vengono più eliminate e restano nel database, anche se non sono più valide.
Il fornitore VPN menziona che in passato Spamhaus ha aiutato a ridurre il volume dello spam globale, dimostrandosi utile. Ma col tempo, il progetto ha iniziato a tirare acqua al proprio mulino, pubblicando dati personali degli utenti nella lista e manipolando le aziende di hosting.
Non ci sono risposte a domande critiche.
Ci sono ancora molte domande sul progetto Spamhaus a cui nessuno vuole rispondere. Non ho ricevuto risposta alla mia richiesta inviata tre settimane fa al ricercatore di spam americano e giornalista Brian Krebs. Forse le domande erano troppo scomode, ma non è del tutto chiaro. Le richieste sono state inviate anche ad altre aziende, ma quasi nessuno conosce l'intera storia del progetto Spamhaus.
A proposito dell'autore dell'articolo originale
Lars «Ghandy» Sobiraj
Lars Sobiraj ha iniziato la sua carriera nel 2000 come autore in diverse riviste informatiche. È il fondatore di Tarnkappe.info. Dal 2014, Gandhi, come si fa chiamare sul palco, racconta agli studenti di varie università e altre istituzioni educative come funziona Internet.
Dall'autore
L'attività di Spamhaus è già su Habr, sempre in un contesto negativo. In Russia, Spamhaus ha ostacolato (e ostacola) il lavoro di imprese private e grandi hosting. Nel 2010, l'intera Lettonia è finita nella blacklist: allora, a seguito di denunce da parte di uno dei più grandi fornitori del Paese, Spamhaus ha risposto che la Lettonia è uno dei paesi più piccoli del mondo, quasi dando a intendere. Per qualche motivo, gli ultimi post riguardanti Spamhaus risalgono al 2012-2013, sebbene l'azienda sia ancora attiva; credo sia ingiusto interrompere questo oblio.
Fonte: habr.com
