Op zoek naar technische oplossing voor spam

Microsoft-voorstel zorgt voor wrevel

30 augustus 2004 | Stijn Wuyts Het Simple Mail Transfer Protocol (SMTP), het systeem dat instaat voor de bezorging van e-mails, is niet meer van deze tijd. De identiteit van afzenders wordt niet gecontroleerd, wat spammers en hackers de handen vrij laat. Maar een upgrade voor SMTP uitwerken is geen eenvoudige opdracht. De standaardengroep IETF onderzoekt nu verschillende alternatieven.

"We schrijven gewoon een compleet nieuw protocol", stelt professor Suzanne Sluizer voor. Zij was in 1981 één van de auteurs van het Mail Transport Protocol, de voorganger van SMTP. Een bestaande situatie proberen recht te trekken, is volgens haar in de meeste gevallen veel moeilijker dan van nul af aan opnieuw te beginnen. Maar in de online wereld, waar alle mailsystemen elkaar moeten blijven begrijpen, is dat evenmin een makkelijke klus.

Het probleem met SMTP is dat niemand kan zeggen of de afzender van een e-mail wel degelijk de persoon is die hij beweert te zijn. Dat wordt immers niet gecontroleerd. In een select clubje academici, zoals het internet tien jaar geleden, was dat geen probleem. Maar spammers en hackers misbruiken die mogelijkheid tegenwoordig om een hoop rommel in onze mailbox te dumpen. Een mailtje van de bank ter controle van je paswoord kan evengoed afkomstig zijn van een slimme hacker.

We moeten dus naar een protocol dat de identiteit van de afzender kan hardmaken. Momenteel ligt een aantal voorstellen op tafel. Meng Weng Wong, de technologiedirecteur van Pobox.com, ontwikkelde het Sender Policy Framework (SPF). Mailsystemen op basis van SPF publiceren een lijst van alle computeradressen die vanuit hun internetdomein e-mails mogen verzenden. Een server kan dan bij ontvangst van een e-mail controleren of het internetadres van de afzender op de lijst van zijn domein staat. Is dat niet het geval, dan heeft hij te doen met een vervalser.

Ook Microsoft heeft een voorstel om SMTP te verbeteren. Hun project werd Caller ID gedoopt en combineert XML-formulieren op de mailserver met een algoritme om te kunnen concluderen of een mailafzender echt of vervalst is. Het zag er eerst naar uit dat Microsoft Caller ID op eigen houtje zou invoeren, maar uiteindelijk werd het voorstel samengevoegd met SPF tot één geheel: Sender ID. "Niemand wil graag door Microsoft platgewalst worden, dus ben ik blij dat ze aan boord kwamen", geeft SPF-uitvinder Weng toe.

Samen met Sender ID ligt nog een aantal andere mogelijkheden open. Yahoo! experimenteert bijvoorbeeld al een tijdje met DomainKeys, een alternatief gebaseerd op digitale handtekeningen. De implementatie daarvan vergt echter meer werk. Voorlopig lijkt Sender ID nog de meeste steun van andere bedrijven te krijgen. Onder andere de grote Amerikaanse provider AOL wil er tests mee uitvoeren. Microsoft heeft eveneens een test gepland met Hotmail en MSN in oktober.