[sage] greylisting - lessons learned

[Jochen Topf]

On Fri, May 24, 2013 at 09:34:14AM +0200, Peer Heinlein wrote:
> > Ja, das wäre fatal. Das Greylisting muss, wenn ich es richtig verstanden habe, 
> > für leere Envelope-From etwas anders aufgesetzt werden also sonst, damit man 
> > die sender callout verification nicht verhindert wird.
> 
> sender collaout verification ist Quatsch und darf aus verschiedenen
> Gründen nicht benutzt werden. Wer sowas macht, der betreibt u.a. ein
> Backscatter-System und gehört zurecht auf die RBL-Blacklisten und vom
> Netzbetrieb ausgesperrt. Und wer SCV macht, der ist von außen sehr
> einfach im Rahmen eines DoS angreifbar.
> 
> Sender Callout-Verification nutzt im übrigen nicht automatisch ein "<>"
> im Envelope. Postfix tut das beispielsweise per Default NICHT.
> 
> Aber ansonsten: SCV und Greylisting sind tödlich zusammen, keine Frage.
> Aber SCV ohne Greylisting ist auch schon tödlich, also was solls.
> Deswegen jetzt aber den Spammern Tor und Tür zu öffnen und defacto
> Greylisting wieder mal ausheben zu wollen, halte ich für echt die
> falsche Logik.

Kann ich nicht zustimmen. Ich benutze SCV seit > 10 Jahren sehr erfolgreich.
Ist allerdings auf einem kleinen System, für große Systeme würde ich das auch
nicht empfehlen.

Sehr seltene Probleme in der Praxis und die angesprochenen theoretischen
Probleme werden mehr als aufgewogen durch den Spam, der hierdurch jeden Tag
blockiert wird.

Jochen
-- 
Jochen Topf  jochen at remote.org  http://www.jochentopf.com/  +49-721-388298