SPF & spamming clients
SPF (Sender Policy Framework) helps to prevent spoofing of e-mails and is a method to prevent SPAM. SPF determines whether or not a sender is permitted to send on behalf of a domain. If the sender is not permitted to do so, that is, if the email fails the SPF check on the receiving mail server, the spam policy configured on that mail server determines what to do with the message. Senders with repeating SPF-fails can be considered SPAMmers (or compromised computers in a botnet). The e-mails are handled by the anti-SPAM software on the mailserver, but these trail and error mails use capacity, so why not block the sending client!?
Implementation
On my Ubuntu Postfix mailserver with Fail2Ban I made a filter to do exactly this. Analysing the mail.log file I found many lines like:
May 3 14:22:19 mailserver policyd-spf[113272]: 550 5.7.23 Message rejected due to: SPF fail - not authorized. Please see http://www.openspf.net/Why?s=mfrom;id=
This email address is being protected from spambots. You need JavaScript enabled to view it. ;ip=5.188.206.164;r=
May 3 14:22:19 mailserver postfix/smtpd[113267]: NOQUEUE: reject: RCPT from unknown[5.188.206.164]: 550 5.7.23 <
This email address is being protected from spambots. You need JavaScript enabled to view it. >: Recipient address rejected: Message rejected due to: SPF fail - not authorized. Please see http://www.openspf.net/Why?s=mfrom;id=This email address is being protected from spambots. You need JavaScript enabled to view it. ;ip=5.188.206.164;r=; from=<This email address is being protected from spambots. You need JavaScript enabled to view it. > to=<This email address is being protected from spambots. You need JavaScript enabled to view it. > proto=ESMTP helo=<[5.188.206.171]>
The corresponding regex is
failregex = SPF fail - not authorized.*ip=<HOST>.*
So I made a postfix-spf.conf file in the /etc/fail2ban/filter.d directory.
[Definition]
# Option: failregex
# Notes.: matches something like
# May 3 14:22:19 mailserver policy-spf[113272]: 550 5.7.23 Message rejected due to: SPF fail - not authorized. Please see http://www.openspf.net/Why?s=mfrom;id=
This email address is being protected from spambots. You need JavaScript enabled to view it. ;ip=5.188.206.164;r=# Values: TEXT
failregex = SPF fail - not authorized.*ip=<HOST>.*
# Option: ignoreregex
# Notes.: regex to ignore. If this regex matches, the line is ignored.
# Values: TEXT
# ignoreregex =
In jail.local add
[postfix-spf]
enabled = true
port = smtp,ssmtp,imap2,imap3,imaps,pop3,pop3s,465
filter = postfix-spf
logpath = /var/log/mail.log
maxretry = 3
Hype of niet?
De publiek private samenwerking is hot. Na de bouwsector kijkt nu ook de ICT-sector naar deze vorm van samenwerking tussen de overheid en het bedrijfsleven. Naast de behoefte om kosten te spreiden – als gevolg van de financiële crisis – is ook het steeds volwassener worden van de opdrachtgever-opdrachtnemer relatie daar de oorzaak van. Wat kan de Nederlandse overheid en het ICT-bedrijfslecen leren van de bouwsector en de Engelse conculega’s?
PPS
De definitie van een Publiek-Private Samenwerking (PPS) ligt niet vast. In de bouwsector wordt een aanbesteding bedoeld waarbij de overheid volledig stuurt op het gewenste einddoel en zich niet bemoeit met de inhoud. Dat gebeurt in de ICT-sector al geruime tijd, maar dan onder de noemer van een resultaatgerichte uitbesteding. In Engeland – waar men ver voorop loopt met "Public-Private Partnerships" – wordt een andere definitie gehanteerd, namelijk een contract waarmee een private partij een publieke taak uitvoert, waarbij het (financiële of technische) risico gedeeld wordt tussen beide. Het schoolvoorbeeld is Liverpool Direct Limited, dat voor 80% eigendom is van telecom operator BT.
Lessen uit de bouw
Ondanks dat in de bouw een andere definitie wordt gehanteerd zijn hier wel lessen uit te trekken. Daarvoor moeten we eerst even terug naar de probleem bij ICT uitbestedingen. Veel grote ICT-projecten lopen uit tijd en geld en de kwaliteit van het opdrachtgeverschap in de publieke sector is nog niet optimaal. En laat een PPS juist hiervoor een oplossing bieden. Opdrachten in de bouw gaan op basis van DBFMO (Design Build Finance Maintain & Operate) en het aanbiedende consortium bestaat dan ook minimaal uit een architect, een bouwonderneming, een bank en een onderhoudsbedrijf. Ondanks dat de architect onderdeel uit maakt van het opdrachtnemend consortium heeft hij hetzelfde belang als de opdrachtnemer als het gaat om kwaliteit en afwerking. De architect staat niet toe als er concessies worden gedaan aan de functionaliteit en presentatie. Dat is zijn/haar visitekaartje. De bank daarentegen stuurt met de opdrachtgever mee op het binnen geld realiseren van de opdracht. Omdat uitloop in tijd in de meeste gevallen gepaard gaat met uitloop in geld wordt de opdrachtgever ook hierbij geholpen door de bank.
Wil de ICT-sector van deze voordelen gebruik dan moeten de volgende twee aandachtspunten meegenomen worden:
- De financiering moet voldoende omvang hebben om het voor een bank interessant te maken
- De rol van IT-architect moet ingevuld worden vanuit een onafhankelijk architecten bureau met naam (en een reputatie die hoog gehouden moet worden).
Samenwerkingsverbanden
In de Engelse variant zijn twee samenwerkingsverbanden mogelijk:
- Een organisatie met twee aandeelhouders, namelijk een ICT-dienstverlener en de overheid
- Tussen de Rijksoverheid en een commerciele organisatie die samen diensten afnemen bij een ICT-dienstenleverancier.
De looptijd van dergelijke publiek-private samenwerkingen moet ruim zijn (10-12 jaar)
Publieke diensten
De kern van een PPS voor ICT is dus het leveren van publieke diensten door een private partij, waarbij risico’s worden gedeeld. Over welke publieke diensten hebben we het dan en welke risico’s moeten gedeeld worden? Gedacht kan worden aan datacenters of de ICT-werkplek voor de Rijksoverheid. Het uitwerken van het businessmodel achter een dergelijke samenwerking en het in kaart brengen van de risico-deling is een mooi onderwerp voor een scriptie.
ProRail doet het al langer en Rijkswaterstaat en de Rijksgebouwendienst gaan er ook aan is te lezen op PIANOo en OverheidsManagement:
Niet alleen referenties meewegen, maar daadwerkelijke prestaties. In de ICT is het terugbrengen van het aantal leveranciers in de selectiefase op basis van referenties als op meerdere plaatsen geïmplementeerd, maar het meenemen van ervaringen bij het gunnen is nieuw. In de bouw mogen aannemers die in het verleden goed presteerden hoger inschrijven bij een gunning op basis van emvi (economisch meest voordelige inschrijving). Grootste randvoorwaarde voordat een dergelijk systeem in de ICT kan worden toegepast is het meetbaar en vergelijkbaar maken van prestaties van diensten en projecten. En juist dit blijkt voor veel organisaties nog een hele kluif.
De effecten van global warming zijn duidelijk merkbaar bij diverse pizzarias: bestel je een pizza quattro stagioni ontvang je een pizza hawaii...
Iedere autoradio heeft tegenwoordig een zogenaamde trafic-information optie, waarbij filemeldingen de ipod of radio naar achteren drukken. Iedere automobilist ziet een aanstormende ambulance wel eens op het laatste moment en ik kan me zo voorstellen dat iedere ambulancechauffeur zich wel eens ergert aan automobilisten die hen niet horen of zien.
Een bijdrage aan oplossing van dit probleem kan worden gevonden in het uitrusten van ambulances met een zender die de sirene uitzend op de frequentie van de verkeersinformatie, waardoor - als de ambulance dicht genoeg genaderd is - de ipod of radio naar de achtergrond gaat en de automobilist de sirene via de eigen radio hoort en tijdig kan reageren. Dit werkt natuurlijk niet in het geval van gillende kinderen op de achterbank!