Monopolizacja, nadużywanie władzy i chciwe cele, czy pomocna dłoń w morzu spamu? Przedstawiciele kilku firm internetowych rozmawiali z dziennikarzem technicznym Larsem Sobirajem (Lars „Ghandy” Sobiraj), aby omówić kontrowersyjny projekt Spamhaus. Zadaptowana analiza poniżej.
Kim jest Spamhaus Project
Jeśli szybko poszukać w sieci, można dowiedzieć się, że Spamhaus to międzynarodowa organizacja non-profit, założona w 1998 roku. Jednak według byłego CIO (czytaj: rzecznika) firmy, Richarda Coxa, Spamhaus jest brytyjską spółką Limited. W momencie publikacji wywiadu z Coxem (2011 rok) główna siedziba Spamhaus znajdowała się w Genewie. Cała informacja o firmie jest jednak sprzeczna, niespójna i tajemnicza.
Sven Olaf von Kamphuis (Sven Olaf von Kamphuis – dalej SOvK), jeden z założycieli Cyberbunker, wypowiada się o Spamhaus w maksymalnie negatywny sposób. Jego zdaniem, pan Cox od ponad 20 lat nie ma nic do roboty, jeśli w ogóle ta osoba istnieje. Projekt miałby być kontrolowany wyłącznie przez pana Stevena Johna Linforda i jego żonę Mayrę Peters. Ponadto, jak sugeruje SOvK, organizacjom non-profit zazwyczaj nie są potrzebne przedstawicielstwa na Seszelach czy na Mauritiusie. Współzałożyciel Cyberbunker nie rozumie także, dlaczego wielu dziennikarzy „zakochuje się” w projekcie – branża medialna w dużej mierze ponosi odpowiedzialność za problemy związane z Spamhaus. Wszystkie informacje, które projekt przekazuje wydaniom technologicznym, zazwyczaj publikowane są bez jakichkolwiek weryfikacji, kontynuuje SOvK.
Konto na Twitterze Spamhaus Project, prawie 4000 obserwujących
Sędzia i kat w jednym, bez żadnych prawnych uprawnień do tego
To co rzuca się w oczy: nie ważne jak istotna i rozsądna wydaje się rola firmy, projekt Spamhaus nie ma prawnych podstaw do swojej działalności. Co więcej, ich działania nigdy nie były oficjalnie zatwierdzone przez państwo lub odpowiednie organy: SOvK podkreśla, że Spamhaus nie jest nawet członkiem RIPE (Réseaux IP Européens – europejski regulator zajmujący się rejestracją i przydzielaniem zasobów w sieci). Niemniej jednak, na zewnątrz można odnieść wrażenie, że Spamhaus to swego rodzaju „policja internetowa”, podczas gdy, jak podkreśla Kampuis, firma sama „potrzebuje pewnej uwagi policji”. Mówi również, że publikacja wielu danych na stronie Spamhaus jest nielegalna i narusza prawa do ochrony danych. Publikacja wszelkich informacji o spamerach powinna być zabroniona. Problem, zdaniem SOvK, leży w publikacji danych osobowych w Rejestrze Znanych Operacji Związanych ze Spamem (Register Of Known Spam Operations – ROKSO). Te dane powinny być chronione jak wszelkie inne dane osobowe, nie wspominając już o tym, że zawartość baz Spamhaus nie zawsze mogła być pozyskana w sposób legalny.
Stanowisko Roskomnadzoru w sprawie Spamhaus w RosjiMówiąc o legalności działalności projektu. Z z wyjaśnieniami w sprawie Spamhaus od Roskomnadzoru wynika, że ich działalność w RF jest nielegalna:
Z wyjątkiem umieszczenia strony w Rejestrze na podstawie Ustawy o informacjach, decyzji sądu lub specyfiki umowy z abonentem (użytkownikiem) usług telematycznych, nie ma innych podstaw do ograniczenia dostępu do strony (sieci) (w tym na żądanie firmy „Spamhaus”).
W przypadku, gdy operator telekomunikacyjny bezprawnie ograniczy dostęp do strony (sieci) abonentowi (użytkownikowi) usług telematycznych, w działaniach operatora będą zawarte oznaki naruszenia umowy z abonentem.
Jak to było: Cyberbunker przeciwko „policji internetowej”
W 2013 roku zaostrzył się konflikt między podziemnym hostingiem Cyberbunker a firmą Spamhaus. Spamhaus, który wówczas miał siedzibę w Szwajcarii, umieścił Cyberbunker na czarnej liście z powodu wątpliwej działalności jego klientów i ujawnili to publicznie. W następstwie tego doszło do jednej z największych ataków DDoS w historii Internetu: Spamhaus.org został zalany cyfrowym śmieciem z prędkością 75 Gb/s. Mówi się, że z powodu swojej skali atak na krótki czas osłabił globalny ruch internetowy. W kwietniu 2013 roku do rzekomego przestępcy, SOvK, który wówczas mieszkał w Hiszpanii, odwiedziła lokalna policja. Komputery, nośniki informacji i telefony komórkowe osoby, którą prokurator nazwał panem K., zostały skonfiskowane.
Projekt Spamhaus – książka za siedmioma pieczęciami
Niezależnie od sprawy Cyberbunkera, próbowaliśmy ustalić, czym tak naprawdę jest projekt Spamhaus, ponieważ nie jest to jasne na ich własnej stronie internetowej. Do tej pory nie było żadnych odpowiedzi na zapytania wysyłane na adres dla prasy od końca stycznia 2020 roku. Pan Kampuis twierdzi, że Spamhaus miał jedną jedyną organizację non-profit z ograniczoną odpowiedzialnością, która była wcześniej wspomniana, ale została wykreślona z rejestru na początku 2020 roku. Inne firmy nie miały celów charytatywnych. Dostawca upstream i operator magistrali, SquareFlow, pozwał Spamhaus. SquareFlow oferuje usługi podobne do Cogent, HE, GTT, LibertyGlobal i innych, hostując u siebie usługi VPN. Dwóch kierowników SquareFlow Group odpowiedziało na nasze zapytanie 1 marca 2020 roku:
Nie możemy sobie pozwolić na dowolne odłączenie klienta, odmowę wszystkich usług, na podstawie jedynie tego, co Spamhaus uważa za złe. W warunkach neutralności sieci nie możemy ustalić, czy ruch jest złośliwy, czy nie, nie przeprowadzając głębokiej analizy pakietów, która jednak poważnie naraziłaby prywatność danych naszych klientów i ich użytkowników. Kierujemy się prawem, a nie opinią firmy trzeciej, która chce dyktować całemu internetowi, komu zezwolić na działanie w sieci, a komu nie. Na tę chwilę nie mamy ani dowodów, ani orzeczeń sądowych, ani innych podstaw, by sądzić, że nasi klienci prowadzili działalność złośliwą.
Ponieważ nie współpracowaliśmy z Spamhaus, podjęli oni kilka prób zaszkodzenia reputacji naszej firmy, naszym dostawcom i partnerom. W żadnym wypadku my ani nasi klienci nie możemy być pociągnięci do odpowiedzialności za podejrzenia.
Zastraszyć, ostrzec, przymusić do podziału
Ich próby wpływania na całe sieci mogą być słusznie postrzegane jako przymus, który jest przestępstwem we wszystkich krajach UE. Było kilka przypadków, gdy Spamhaus umieszczał całe sieci dostawców w czarnej liście z powodu jednego klienta, zmuszając ich do zaprzestania obsługi niewygodnych. Wierzymy, że prywatność danych i anonimowość są podstawowymi prawami człowieka. W związku z tym, nigdy nie będziemy ślepo podążać za bezzasadnymi żądaniami Spamhaus lub jakiejkolwiek innej strony, która stara się dyktować swoje warunki. W wyniku ich działań zaczęliśmy podejmować działania przeciwko ich praktykom biznesowym.
Wspieramy również naszych partnerów w postępowaniach sądowych przeciwko Spamhaus, ponieważ Spamhaus wciąż próbuje zmusić nas do zaprzestania obsługi niektórych klientów poprzez apelacje do naszych partnerów i dostawców, nazywając nas przestępcami za niewykonanie ich żądań, co jest oczywiście nadużyciem władzy. Przypuszczamy, że ich przeprowadzka do Andory ma związek z ich przestępczym zachowaniem, które napotkało na system prawny Wielkiej Brytanii.
Z poważaniem.
SquareFlow Group – Public Relations
W imieniu zarządu: Wim B., Florian B.
Przeprowadzka Spamhaus do Andory
Projekt Spamhaus obecnie mieści się w Andorze – małym państwie położonym w Pirenejach, które według Wikipedii jest przede wszystkim znane ze swoich ośrodków narciarskich, sklepów duty-free i statusu raju podatkowego. Ważne jest, aby zauważyć, że Andora nie jest częścią UE, a relacje między Andorą a Unią Europejską regulują jedynie umowy.
Zgromadzenie jakichkolwiek informacji o nowej organizacji powiązanej z Spamhaus było trudne, ale ostatecznie udało mi się znaleźć potrzebne informacje w EUIPO (Biuro Własności Intelektualnej Unii Europejskiej). Z danych EUIPO wynika, że firma o nazwie Spamhaus IP Holdings S.L.U. obecnie posiada znak towarowy nr 005703401, a data rejestracji znaku towarowego to 8 lutego 2007 roku. Wniosek o rejestrację został złożony przez firmę Boyes Turner LLP.
Szczegóły rejestracji znaku towarowego Spamhaus
Dane kontaktowe są ukryte z oczywistych powodów
Uwagi od tłumaczaZnalezienie czegokolwiek na temat prawnej strony Spamhaus jest naprawdę trudne. Co więcej, informacje dostępne na powierzchni są wyraźnie niezgodne z rzeczywistością. Jedyną informacją dostępną na stronie samego Spamhaus dotycząca lokalizacji firmy jest ta o znaku towarowym – słowie „Spamhaus”, który został zarejestrowany w UE.
ROKSO jako kamień węgielny
Oczywiste jest, że celem projektu Spamhaus było znalezienie dystrybutorów spamu. Jak już wspomniano, dane o spammerach przechowywane są w bazie danych ROKSO. Jednak biorąc pod uwagę, że ta baza jest publiczna, Spamhaus dosłownie umieszcza wszystkich podejrzanych na liście hańby. Nie tylko można tam znaleźć mnóstwo danych osobowych, ale także wiadomości od ofiar, które są publikowane bez cenzury. A ponieważ Spamhaus działa poza UE, można nie oczekiwać żadnych konsekwencji ze strony RODO.
W ROKSO dosłownie prowadzi się rejestr wszystkich podejrzanych działań, nieważne czy to prawdziwy spam, czy zwykły błąd. W związku z tym, nie ma mowy o domniemaniu niewinności. Szybki kontakt z firmą również nie jest możliwy. Na ich stronie nie ma telefonu, e-maila ani nawet formularza kontaktowego do wsparcia. Niektóre szczątkowe dane można uzyskać, uważnie przeglądając FAQ. Próbowałem skontaktować się z firmą bezpośrednio: od końca stycznia 2020 roku do momentu publikacji artykułu [przyp.: 6 kwietnia tego samego roku], na żaden z moich zapytań nie uzyskałem odpowiedzi.
Krytyka czarnej listy Spamhaus (SBL) ze strony usługi VPN nVPN
Dostawca VPN nVpn krytykuje projekt z innych powodów. Czarne listy Spamhaus (SBL) to stale aktualizowana baza adresów IP. Spamhaus zdecydowanie zaleca, aby nie akceptować wiadomości e-mail z adresów zawartych w tej bazie. Firma twierdzi nawet, że można uzyskiwać tę bazę w czasie rzeczywistym. Na stronie Spamhaus w sekcji SBL mówi się, że czarna lista „umożliwia administratorom serwerów e-mailowych identyfikowanie, oznaczanie lub blokowanie przychodzących połączeń z adresów IP, które, według Spamhaus, są związane z wysyłaniem, hostowaniem lub tworzeniem niechcianych masowych wysyłek e-mail.” Mówi się tam także, że baza danych SBL jest wspierana przez specjalną grupę śledczych i kryminologów z 10 krajów, którzy pracują 24 godziny na dobę, aby śledzić problemy związane ze spamem. Jak jednak dokładnie działa definiowanie, weryfikacja lub usuwanie zapisów wewnątrz firmy, nie jest wyjaśnione.
nVpn zawsze ma problemy z zapisami w SBL, przez co firmy hostingowe grożą rozwiązaniem swoich umów. Na przykład w styczniu 2019 roku przedstawiciel hostera z Albanii przekazał firmie, że ich serwery VPN zostały wyłączone z powodu „możliwego znalezienia się na SBL.”
I to nie jest jedyny przypadek. „Oczywiście, że coś takiego zdarza się od czasu do czasu. To serwer tymczasowo zostaje wyłączony z powodu zapisów w SBL, to firmy po prostu całkowicie rozwiązują umowę. Na początku (specjalnie pytamy) twierdzą, że nie będzie problemów z SBL, ale gdy cały zakres ich IP trafia na czarną listę Spamhaus, sytuacja się zmienia. Na przykład w ten sposób straciliśmy nasz serwer w Nisz, Serbia. To było zaledwie kilka tygodni temu. Na szczęście firma zwróciła nam część kosztów za wynajem serwera, który został opłacony na kilka miesięcy z góry. Spamhaus jest naprawdę niebezpieczny dla usług VPN, ale musimy po prostu z tym się pogodzić.
Przedstawiciel nVPN kontynuuje:
Oferujemy usługę VPN bez rejestracji i jesteśmy jednym z nielicznych, którzy dają klientom możliwość otwarcia do ośmiu portów (TCP i UDP). Niezależnie od tego, pewni przestępcy będą próbowali nadużyć tej funkcji w nielegalnych celach. Mimo że w naszych warunkach świadczenia usług wyraźnie stwierdzamy, że takie użycie jest zabronione, nie oznacza to, że wszyscy klienci przestrzegają zasad. W konsekwencji niektóre z naszych prefiksów znalazły się w EDROP. Jednak naszym zdaniem, wpis w EDROP to nie koniec świata, nawet jeśli blokuje kilka stron internetowych lub usługi streamingowe.
Jednakże powoduje to pewne problemy. Załóżmy, że gdzieś wynajęliśmy serwer i stworzyliśmy własną podsieć /24, aby ogłaszać pod ASN firmy hostingowej lub pod nasze własne. Spamhaus kontaktuje się z naszym dostawcą hostingu i prosi o wyłączenie klienta, czyli nas. Jeśli dostawca nie spełnia ich żądań, ponieważ nam ufa, Spamhaus zaczyna dodawać czyste prefiksy hostingu do SBL, w wyniku czego wszyscy inni klienci nie mogą wysyłać poczty. Wtedy firma nie ma innego wyboru i nas wyłącza, aby uniknąć ogromnych strat finansowych.
Przykład listu z odmową od dostawcy hostingu:
Witaj,
Niestety, nie możemy dłużej hostować Ciebie w naszej sieci, ponieważ Spamhaus dodał wszystkie nasze adresy IP do czarnej listy z powodu Twojego hostingu u nas.
Twój serwer zostanie odłączony w ostatnim dniu wynajmu bez możliwości przedłużenia.
Proszę, zrób kopię zapasową jak najszybciej i przejdź do innego dostawcy.Z poważaniem,
Wikas S.
(Dyrektor / założyciel)
Skype: v **** vp *
Zakończenie usług i odmowa dalszej współpracy
nVpn twierdzi, że stracił wiele serwerów z powodu odmów ze strony dostawców hostingu w ostatnich latach. W końcu stawało się trudno znaleźć firmę gotową ich przyjąć. nVpn przedstawił Tarnkappe.info zlecenie o zawieszenie współpracy i odmowę dalszych usług z 11 lipca 2019 roku. W liście od szwajcarskiego dostawcy hostingu stwierdzono, że projekt Spamhaus będzie stosował "przymus karny" – zmuszając dostawcę do rezygnacji z hostingu innej firmy pod groźbą postępowania sądowego.
Przedstawiciel nVpn skomentował:
Czasami Spamhaus nie waha się kontaktować z firmami i domagać się, aby już nie routowały naszych prefiksów. Jednak nie wszyscy się na to godzą. Jedna z takich firm postanowiła pozwać Spamhaus Ltd w Zjednoczonym Królestwie, gdzie wcześniej mieściła się oficjalna siedziba projektu. Wtedy Spamhaus nie mógł używać Ltd w nazwie.
W wyniku sporów Spamhaus musiał przenieść swoją siedzibę z Wielkiej Brytanii do Andory.
Od tego czasu nVpn nadal otrzymuje powiadomienia od SBL, ale Spamhaus w końcu przestał grozić ich dostawcom hostingu. Również Spamhaus przestał odpowiadać na zapytania usługi VPN o usunięcie wpisów z SBL, co oznacza, że licznie stare wpisy nie są już usuwane i pozostają w bazie, nawet jeśli nie są już aktualne.
Dostawca VPN wspomina, że w przeszłości Spamhaus pomógł zmniejszyć globalny spam, co było przydatne. Jednak z biegiem czasu projekt zaczął ciągnąć kołdrę na siebie, publikując dane osobowe osób umieszczonych na liście i manipulując firmami zapewniającymi hosting.
Brak odpowiedzi na krytycznie ważne pytania
Wciąż jest wiele pytań dotyczących projektu Spamhaus, na które nikt nie chce odpowiedzieć. Na wysłane przeze mnie trzy tygodnie temu zapytanie do amerykańskiego badacza spamu i dziennikarza Briana Krebsa nie otrzymałem odpowiedzi. Może pytania były zbyt ostre, ale nie jest to do końca jasne. Zapytania wysyłane były także do innych firm, ale prawie nikt nie zna całej historii projektu Spamhaus.
O autorze oryginalnego artykułu
Lars „Ghandy” Sobiraj
Lars Sobiraj rozpoczął swoją karierę w 2000 roku jako autor w różnych czasopismach komputerowych. Jest założycielem Tarnkappe.info. Od 2014 roku Ghandy, jak siebie nazywa na scenie, opowiada studentom w różnych uniwersytetach i innych instytucjach edukacyjnych, jak działa Internet.
Od tłumacza
Działalność Spamhaus już była omawiana na Hackerze, i to wyłącznie w negatywnym kontekście. W Rosji Spamhaus utrudniał (i nadal utrudnia) pracę zarówno prywatnym firmom, jak i dużym hostingom. W 2010 roku na czarną listę trafiła cała Łotwa: w odpowiedzi na skargi jednego z największych dostawców w kraju, Spamhaus odpowiedział, że Łotwa to jeden z najmniejszych krajów na świecie, jakby sugerując coś. Dlaczego ostatnie posty związane ze Spamhaus datowane są na lata 2012-2013, chociaż firma działa do dziś, myślę, że ta niesprawiedliwa zapomnienie powinna zostać przerwana.
Źródło: habr.com
