[linux-users:80053] Re: Virus Alert

[Takashi SHIRAI <shirai _at_ xxxxxxxxxxxxxx>]

　しらいです。

In Message-Id <3A88A478A.6195AKIE _at_ mail.ta2.so-net.ne.jp>
        Cz Akie <akie _at_ ta2.so-net.ne.jp>さんwrites:
> 秋江です。

> > >　virus 感知ソフトの宣伝行為を兼ねての仕様なんじゃないすかね。
> > >個人的には negative campaign に映ってしまいますが :-)
> > >
> > 
> > 設定がまずいだけでしょう。
> > とりあえず、外部にはアナウンスしない設定の方が良いのでは。
> 
> 発信者、受信者がサーバによって蹴られたことがわからないと困るので通知して
> いるのでは？

　発信者にも通知するようになっているのは、そういう設定が可能
になっているからに他ならなくて、それを可能にしている理由は確
かに双方に確認させたいからでしょう。
　但し、その文面に「InterScan は」なんて書いてある辺りは売名
行為も含まれているんじゃないでしょうかね。


> でも確か管理者・発信者・送信者のそれぞれに通知する｜しないという設定があ
> ったような。（うろ覚え）

　この場合問題なのは、「誰に」通知するかではなくて、その通知
相手をどのようにして拾い出すかです。

　linux-users _at_ linux.or.jp 宛に届いてしまっていることから、こ
の感知ソフトは envelope from/to ではなく本文の header 情報を
鵜呑みにしてしまっていることが明白です。
　header の From:/To: なんて何書いても届くんですから、そんな
いい加減な情報を元に返信したのでは思わぬ宛先に届いてしまうこ
とが考えられます。
　特に virus mail など悪意ある mail が正直に正しい From:/To:
なんぞ名乗っているなんて期待するのは楽観的過ぎます。感知ソフ
トに mail bomb の片棒担ぎさせることだって可能なんですから。

　勿論、envelope from/to だって多少は改竄可能かも知れません
が、最近の MTA は踏み台利用や SPAM を避けるために、envelope
from/to の正当性をチェックしていることが多いので、詐称した場
合はそもそも配信されないことが多いでしょう。
　少なくとも header の From:/To: よりは信頼出来るので、何故
その信頼出来る方の情報を使わないか、という辺りでこれらの感知
ソフトの信用が疑われることになると思います。

　多分、この感知ソフトは SMTP layer よりも更に上の階層でしか
チェック出来ていないんでしょう。
　virus のチェックなんて、パターン収拾の手間がかかるだけのこ
とで network 的な知識はそう必要ありませんから、より安易な実
装を選んでしまっているんでしょうね。

＃　なんか、新しい virus pattern の update 法を巡って特許合
＃戦が展開中みたいですが、そっちも network の technology で
＃はないからねー。
＃　開発陣に、virus に詳しい人はいても network に詳しい人が
＃少ないんじゃないかしらん。

                                               しらい たかし