CARLOS COLETTI Daniel Longhi

Transcrição

1 CARLOS COLETTI Daniel Longhi

2 com IPv6 na Unesp Domínios com IPv6 desde Faculdades ~60 mil usuários

3 com IPv6 Era uma vez Ao falarmos em IPv6 aos network admins:

4 com IPv6 Era uma vez Ao falarmos em IPv6 aos network admins:

5 com IPv6 Era uma vez Ao falarmos em IPv6 aos network admins:

6 com IPv6 Era uma vez Ao falarmos em IPv6 aos Postmasters:

7 Problemas do SMTP Simple Mail Transfer Protocol Pouc os me canis mos d e con trole ntes e t e rem r a j r a fo r a p es d a d i l Faci entam m le p im s re o d ve ro p s co Pou nça mecanismos de segura SPAM

8 Estatísticas de Mensagens Base: Nov/ % 72% Mensagens OK SPAM/Banidos

9 O que fazer contra o SPAM? IP Reverso: Verifica se o IP do sender possui registro PTR no DNS Greylist: Cria uma lista de IPs confiáveis RBL: Reputation Block List Listagem de IPs considerados spammers DNSBL: DNS Block List Listagem de domínios e IPs considerados spammers SPF: Sender Policy Framework Verifica se o IP de origem é permitido para aquele domínio DKIM: Domain Keys Identified Mail Verifica a assinatura do campo FROM: contra o domínio de origem DMARC: Domain-based Message Authentication, Reporting and Conformance Domínio de origem define a política de ações Baseado no resultado da checagem DKIM e SPF Anti SPAM: softwares atribuem pontuação à mensagem, baseado em suas características

10 Desafios com o IPv6 Alto número de endereços possíveis Bloquear qual prefixo? (/64, /56, /48) Tamanho da Block List se tornará inviável Spammers podem usar um IP e substitui-lo rapidamente por outro Internet das Coisas: Novos dispositivos enviando s Como lidar com isso?

11 Oportunidades com o IPv6 OK, a guerra contra o SPAM é grande! E se o IPv6 fosse uma oportunidade de fazermos algo diferente do IPv4 para resolver o problema?? Então o que fazer?

12 Proposta para no IPv6 1) Autenticação de mensagens IPv6 Não PTR? Sim Rejeita msg Tem DKIM? Sim Não Não DKIM Pass Sim Aceita msg Não SPF Pass Sim

13 Proposta para no IPv6 2) Criptografia TLS entre os MTAs

14 Proposta para no IPv6 2) Criptografia TLS entre os MTAs

15 Mais números Base: Nov/2015 s non-spam 8,6% no-auth 2,25% DKIM 14,4% SPF 74,7% DKIM+SPF Sem Autenticação DKIM SPF DKIM + SPF

16 Mais números Domínios Google Base: Nov/2015

17 Mais números Base: Nov/2015 SPAM/Virus OK Com DKIM Sem DKIM 34% 85% 15% 27% 0% Virus/Banidos em IPv6 TLS Sem TLS 73% 85% 66% % de Domínios Mensagens recebidas % de Conexões Inbound 15% IPv4 IPv6

18 Com autenticação de mensagens IPv4/v6 Não PTR? Sim Rejeita msg SPF? Fail SPF Pass (+) Tem DKIM? Softfail ( ) ou Neutral DKIM Pass Não Aceita msg Sim Não Pontua msg Pontua msg Sim Sim

19 Conclusão IPv6 traz novas oportunidades de controle de SPAMs Utilizar DNSBL ao invés de RBL Autenticação mandatória para IPv6 (DKIM, SPF e DMARC) TLS para criptografar mensagens entre MTAs Definir como tratar devices que enviam (IoT)

20 Referências New Research: Encouraging trends and emerging threats in security Linkedin - Enviando e recebendo s com IPv6 Microsoft Approach - Nov/ IPv6 to IPv4 Fallback Technique Imagens: Unidades da Unesp Logos IPv6 Brave Heart Postmaster preocupado Envelope sem TLS com TLS Google stats 2013 to

21 ::0B316AD0::