#include 'page.wmltmpl'

<doctitle "Miten tulkitsen headereita?">


<navhint>

<p>Katso myös dokumenttia <a href="laki.html">spämmäys ja
lainsäädäntö</a>, jossa annetaan yleisempi <a
href="laki.html#menettely">ohje spämmistä valittamiseen</a> (muun
muassa valittaminen viranomaisille).</p>

</navhint>

<h2>Miten tulkitsen headereita?</h2>

<p>Usein sähköpostispämmin otsikkotietoja (headereita) on yritetty
väärentää, jotta viestin lähettäjän selvittäminen olisi vaikeampaa.
Tässä dokumentissa annetaan pakostakin hiukan tekninen ohje
headereiden tulkitsemiseen.</p>

<p><strong>Headerien tulkinta onnistuu nopeasti ja vaivattomasti
esimerkiksi <a href="http://spamcop.net/">SpamCop</a>in
automaattipalveluilla.</strong> Joskus on kuitenkin hyvä tietää
itsekin, mistä on kyse. Tässä dokumentissa käsitellyssä tapauksessa
SpamCop olisi lähettänyt valituksen oikeaan osoitteeseen.</p>

<p>Unix-käyttöjärjestelmän mukana tulevista työkaluista (nslookup,
dig, traceroute, ...) on usein hyötyä spämmin alkuperän
selvittämisessä. Jos näiden työkalujen käyttöön tai opetteluun ei ole
mahdollisuutta, niin <a href="http://samspade.org/">SamSpade.org</a>
ja <a href="http://combat.uxn.com/">UXN</a> tarjoavat nämä palvelut
webbipohjaisina.</p>

<p><a href="http://www.claws-and-paws.com/spam-l/">SPAM-L-listan
FAQ</a> ja <a
href="http://www.stopspam.org/email/headers/headers.html">Stopspam.org:n
ohje</a> (englanniksi) sisältävät tätä dokumenttia kattavamman
kuvauksen headerien tulkitsemisesta.  MAPS RBL -projekti on tehnyt <a
href="http://mail-abuse.org/rbl/notifyfaq.html">hyvän yleisesityksen
spämmivalitusten tekemisestä</a>.</p>



<p>Aluksi yhteenveto siitä, mihin spämmistä <strong>ei kannata
valittaa</strong>:</p>

<ol>
<li>Spämmerille itselleen (tämä johtaa yleensä vain lisääntyneeseen
roskapostin määrään);</li>

<li>spämmissä annettuihin puhelinnumeroihin (usein nämä ovat kaiken
lisäksi lisämaksullisia numeroita); ja</li>

<li>spämmissä mainostetun webbisivun tekijälle (sen sijaan
webbisivujen palveluntarjoajalle voi ja usein kannattaa
valittaa).</li>
</ol>

<p><strong>Tällä sivulla:</strong> <a href="#spam">esimerkki:
spämmerin näkökulma</a> - <a href="#vast">esimerkki: vastaanottajan
näkökulma</a> (<a href="#rece">received-kentät</a>, <a
href="#muut">muut otsikkokentät</a>, <a href="#sisalto">spämmin
sisältö</a>, <a href="#vali">mihin tässä tapauksessa pitäisi
valittaa</a>)</p>

<h3><a name="spam">Esimerkki: spämmerin näkökulma</a></h3>

<p>Sähköpostispämmit lähetetään usein seuraavalla tavalla:</p>

<p>Tyypillisesti spämmeri ottaa yhteyttä johonkin <em>avoimena
releenä</em> (open relay) toimivaan <a href= 
"http://raddist.rad.com/networks/1998/smtp/smtp.htm">SMTP-palveluun</a> väliaikaisesta
osoitteesta, kuten dial-up-palvelusta. Avoin rele on SMTP-palveluja
tarjoava kone, johon kuka tahansa voi ottaa yhteyttä ja lähettää
sillä esimerkiksi spämmiviestin. Tällä tavalla spämmerit yleensä
peittävät jälkensä. Spämmeri voi pyytää avointa relettä lähettämään
saman viestin usealle vastaanottajalle: näin spämmeri säästää aikaa
ja avoimen releen omistaja maksaa tietoliikennekulut. Oikein
konfiguroitu postikone ei ole avoin rele: siitä voi lähettää postia
vain oman organisaation sisältä.</p>

<p>Spämmeri voi kertoa avoimena releenä toimivalle SMTP-palvelulle
valheellisesti ottavansa yhteyttä esimerkiksi koneesta <i>
whitehouse.gov</i> ja olevansa esimerkiksi <i>
president@whitehouse.gov</i>. Seuraavaksi spämmeri kertoo
SMTP-palvelulle vastaanottajien sähköpostiosoitteet ja antaa viestin
headereineen. Huomaa, että headereilla ei ole vaikutusta viestin
kulkuun: spämmeri voi tässä vaiheessa antaa mitä tahansa
headerikenttiä. Siksi esimerkiksi from-kentän sisältöön ei voi
luottaa.</p>

<p>Jokainen viestiä välittänyt SMTP-palvelin lisää viestin alkuun
uuden received-kentän. <strong>Ainoa asia, mikä voi varmasti
viitata spämmeriin, on avoimena releenä toimivat SMTP-palvelimen
lisäämä received-kenttä ja sen yläpuolella olevat
received-kentät</strong> (Katso kommenttia <i><a href= 
"http://www.ling.helsinki.fi/users/reriksso/procmail/mini-faq.html#bcc-explanation">
Why Headers Don't Matter</a></i> <a href= 
"http://www.iki.fi/era/procmail/">Procmail-FAQ</a>ista).
Mahdollisesti myös avoimen releen lokitiedostoihin on jäänyt
hyödyllistä tietoa. Jos kyseessä on mainos, niin itse tekstissä on
yleensä joitakin yhteystietoja, jotka voivat johtaa spämmerin
jäljille.</p>

<p>Esimerkkinä lähetin itselleni osoitteeseen Kai.Puolamaki@iki.fi
meilin ottamalla soul.helsinki.fi:stä telnet-yhteyden
post.it.helsinki.fi:n SMTP-porttiin. Esittelin käyttämäni koneen
whitehouse.gov:ksi ja annoin palautusosoitteeksi
president@whitehouse.gov:n. Annoin kaksi headerikenttää: From-kentän,
johon laitoin Bill Clintonin yhteystiedot, ja Subject-kentän. Olisin
hyvin voinut antaa To-kentänkin, mutta en viitsinyt. Sillä kun ei ole
mitään vaikutusta viestin kulkuun. Olisin voinut antaa myös
Message-Id-kentän (esimerkiksi <code>Message-Id:
<1234567890.abcd@whitehouse.gov></code>). Nyt post.it.helsinki.fi
lisäsi sen automaattisesti. Meili kulki post.it.helsinki.fi:stä <a
href="http://www.iki.fi/">Iki ry</a>:n postikoneen (jatko.iki.fi)
kautta rock.helsinki.fi:hin, jossa minulla on sähköpostilaatikko.</p>

<ul>
<li><a href="esimerkkimua.txt">Miten tyypillinen sähköpostiohjelma
näyttäisi viestin</a>
<li><a href="esimerkkiposti.txt">Bill Clintonilta saamani
sähköpostiviesti kaikkine headereineen</a>
</ul>

<p>Tutkimalla viestin headereita seuraavassa kappaleessa kerrotulla
tavalla <a href="esimerkkiposti.txt">esimerkkiviesti</a> paljastuu
helposti väärennökseksi. (Viestissä näkyvä X-Sorted-headeri on oman <a
href="http://www.iki.fi/kaip/mail/filter.html">spämmisuodattimeni</a>
lisäämä.)

<h3><a name="vast">Esimerkki: vastaanottajan näkökulma</a></h3>

<p>Sain seuraavanlaisen spämmin syyskuussa 1999. Spämmi on
lähetetty osoitteeseen <i>Kai.Puolamaki@iki.fi</i>, joka on
luultavasti saatu webbisivuillani käyneen automaattisesti
sähköpostiosoitteita etsivän ohjelman avulla.</p>

<pre>
From bizlandt@excte.com  Sun Sep 12 04:13:00 1999
Received: from jatko.iki.fi (root@jatko.iki.fi [194.100.45.83])
        by rock.helsinki.fi (8.8.8/8.8.5) with ESMTP id EAA27963
        for &lt;puolamak@pcu.helsinki.fi&gt; Sun, 12 Sep 1999 04:12:58 +0300 (EET DST)
From: bizlandt@excte.com
Received: from lohi.clinet.fi (root@lohi.clinet.fi [194.100.0.7])
        by jatko.iki.fi (8.8.8/8.8.8) with ESMTP id EAA18974;
        Sun, 12 Sep 1999 04:12:21 +0300 (EET DST)
Received: from mail01.homewknow.com (XXXXXXXX.ipt.aol.com [152.207.128.XXX])
        by lohi.clinet.fi (8.9.1/8.9.0) with SMTP id EAA14525;
        Sun, 12 Sep 1999 04:13:26 +0300 (EEST)
Subject: LOSE 30 POUNDS IN 30 DAYS NOW!
Date: Sat, 11 Sep 1999 05:36:40
Message-Id: &lt;623.484125.433456@mail01.homewknow.com&gt;

*****AMAZING MELT AWAY FAT ABSORBER CAPSULES*****
</pre>

<p>... ja niin edelleen. <em>Olen ylikirjoittanut joitakin osia
headereista X-kirjaimilla.</em></p>

<p>Täydelliset otsikkotiedot saa esimerkiksi <a href=
"http://www.mutt.org/">Mutt</a>-postinlukuohjelmassa esille
h-näppäimellä. Kaikissa postinlukuohjelmistoissa pitäisi olla vastaava
toiminto (<a
href="http://www.claws-and-paws.com/spam-l/tracking.html#viewing">how
can I view the headers with mail client X?</a>).</p>

<h4><a name="rece">Received-kentät</a></h4>

<p>Spämmerin jäljille pääsee lukemalla received-kenttiä. Aina, kun
viesti siirtyy verkossa SMTP-protokollaa käyttävältä koneelta
koneelta toiselle, lisätään viestin alkuun uusi received-rivi.
<strong>Ainoat luotettavat otsikkotiedot ovat received-rivit, aina
siihen asti kunnes vastaan tulee tuntematon postikone.</strong></p>

<p>Rock.helsinki.fi (käyttämäni postikone) on saanut viestin
jatko.iki.fi:ltä (käyttämäni forwardointipalvelu).</p>

<pre>
Received: from jatko.iki.fi (root@jatko.iki.fi [194.100.45.83])
        by rock.helsinki.fi (8.8.8/8.8.5) with ESMTP id EAA27963
        for &lt;puolamak@pcu.helsinki.fi&gt;; Sun, 12 Sep 1999 04:12:58 +0300 (EET DST)
</pre>

<p>Jatko.iki.fi on saanut viestin lohi.clinet.fi:ltä.</p>

<pre>
Received: from lohi.clinet.fi (root@lohi.clinet.fi [194.100.0.7])
        by jatko.iki.fi (8.8.8/8.8.8) with ESMTP id EAA18974;
        Sun, 12 Sep 1999 04:12:21 +0300 (EET DST)
</pre>

Tässä tapauksessa satun tietämään, että <a href=
"http://www.iki.fi/">Iki ry</a> käyttää <a href= 
"http://www.clinet.fi/">Clinet</a>in palveluja. Jos en tätä olisi
tiennyt, olisi se selvinnyt komennolla <code>nslookup -query=MX
iki.fi</code>: 

<pre>
Non-authoritative answer:
iki.fi  preference = 10, mail exchanger = mail.iki.fi
iki.fi  preference = 11, mail exchanger = mail2.iki.fi
iki.fi  preference = 20, mail exchanger = mail.clinet.fi

Authoritative answers can be found from:
iki.fi  nameserver = ns.iki.fi
iki.fi  nameserver = ns2.iki.fi
mail.iki.fi     internet address = 194.100.45.84
mail2.iki.fi    internet address = 194.100.45.83
mail.clinet.fi  internet address = 194.100.0.7
ns.iki.fi       internet address = 194.100.45.83
ns2.iki.fi      internet address = 194.100.45.84
</pre>

Tämä tarkoittaa, että jos joku lähettää minulle mailia osoitteeseen
Kai.Puolamaki@iki.fi, niin meili lähetetään johonkin seuraavista
koneista: mail.iki.fi, mail2.iki.fi tai mail.clinet.fi.
IP-numeroista näkee (esimerkiksi komennolla <code>nslookup
194.100.0.7</code>), että lohi.clinet.fi (194.100.0.7) on sama kone
kuin mail.clinet.fi. 

<p><small>Tarkistan vielä esimerkin vuoksi ORBSista, että
lohi.clinet.fi ei ole <em>avoin rele</em>. Lohi.clinet.fi
(194.100.0.7) ei ole avoin rele, mutta koska se välittää (ainakin nyt,
1999-09-21) postia kahdelta avoimelta releeltä, on se ORBSin
boikottilistassa. Toinen kyseisistä avoimista releistä kuuluu suurelle
suomalaiselle viikkolehdelle ja toinen elektroniikkakauppiaalle, jotka
kumpikin ilmeisesti ostavat verkkopalvelunsa Clinetiltä. (Tämän vuoksi
useat postipalvelut eivät hyväksy postia avoimilta releiltä. ORBSia
käyttävät postipalvelut eivät hyväksyisi postia edes
lohi.clinet.fi:ltä.) [Lisäys 1999-12-01: Asia on korjattu,
lohi.clinet.fi ei enää ole ORBSin listassa. ORBS on sittemmin
lopettanut toimintansa.]</small></p>

<p><small><a href="http://mail-abuse.org/">Mail Abuse Prevention
System</a> (MAPS) tarjoaa myös tietokantoja, joka sisältävät spämmiä
lähettäneiden koneiden IP-numeroita. Ero ORBSin ja sitä vastaavan <a
href="http://mail-abuse.org/rss/">MAPS RSS</a>n välillä on, että MAPS
listaa vain osoitteita, joita on jo käytetty spämmin
lähettämiseen. MAPS RSS ei myöskään listaa niin sanottuja 3rd party
-releitä.</small></p>

<p>Lohi.clinet.fi:lle mailin lähettänyt kone on esitellyt itsensä
valheellisesti mail01.homewknow.com:ksi:</p>

<pre>
Received: from mail01.homewknow.com (XXXXXXXX.ipt.aol.com [152.207.128.XXX])
        by lohi.clinet.fi (8.9.1/8.9.0) with SMTP id EAA14525;
        Sun, 12 Sep 1999 04:13:26 +0300 (EEST)
</pre>

Kyseistä osoitetta ei kuitenkaan ole olemassa. Komento <code>
nslookup mail01.homewknow.com</code> antaa tuloksen 

<pre>
*** blues.helsinki.fi can't find mail01.homewknow.com: Non-existent
host/domain
</pre>

Oikeasti meili tuli IP-osoitteesta 152.207.128.XXX (loppuosa
peitetty), mikä viittaa osoitteeseen XXXXXXXX.ipt.aol.com.
Katsotaan valitusosoite <a href="http://www.abuse.net/">
Abuse.net</a>in <a href="http://www.abuse.net/lookup.phtml">
tietokannasta</a>. Vastaukseksi saadaan abuse@aol.com. Myös
SpamCopin <a href="http://spamcop.net/hosttracker.shtml">Host
Tracker</a> kertoo valitusosoitteen. 

<p>Joskus received-rivillä annetaan vain IP-osoite (tässä
152.207.128.XXX), joka tässä tapauksessa on ainoa luotettava viite
valitusosoitteelle. Tässä tapauksessa se selvisi helposti <a href= 
"http://www.aol.com/">AOL</a>-osoitteeksi. Joskus tieto on
kuitenkin kiven alla. Jos käytössä on unix-järjestelmä, olisi oikea
osoite selvinnyt esimerkiksi komennolla <code>dig -x
152.207.128.XXX</code>. Jos unixin käyttöön ei ole mahdollisuutta,
niin hyvä apukeino on käyttää <a href="http://spamcop.net/">
SpamCop</a>in <a href="http://spamcop.net/hosttracker.shtml">Host
Tracker</a>ia tai muita webbipohjaisia palveluja.</p>

<p>AOLin osoite 152.207.128.XXX ei ole <a href=
"http://www.orbs.org/">ORBS</a>in listassa, mutta kylläkin <a href= 
"http://mail-abuse.org/dul/">MAPS&nbsp;DUL</a> -listassa
(nettiblokki 152.200/13 sisältää dial-up-osoitteita tai vastaavia
(tekninen yksityiskohta: /13 tarkoittaa, että kyseiseen blokkiin
kuuluvat kaikki IP-osoitteet, joiden 13 ensimmäistä bittiä ovat
samat kuin IP-osoitteessa 152.200.0.0)).</p>

<h4><a name="muut">Muut otsikkokentät</a></h4>

<p>Viestissä on kaksi from-riviä. Ensimmäinen from-rivi kertoo minkä
nimen viestin lähettäjä on kertonut <a href=
"http://raddist.rad.com/networks/1998/smtp/smtp.htm">SMTP-protokollaa</a>
käyttävälle ohjelmalle, tyypillisesti unix-koneessa toimivalle
sendmail-demonille:</p>

<pre>
From bizlandt@excte.com  Sun Sep 12 04:13:00 1999
</pre>

<p>Normaalisti postiohjelma antaa täksi nimeksi automaattisesti
lähettäjän postiosoitteen. Spämmipostiohjelma voi kirjoittaa tähän
vaikka <i>president@whitehouse.gov</i>, jos spämmeri niin haluaa.
Virhetilanteissa postijärjestelmä lähettäisi vastausviestin tähän
osoitteeseen.</p>

<p>Tässä tapauksessa osoite on luultavasti väärennetty. Osoite
tosin <em>voi</em> olla oikea. Ainakin domain on olemassa. Komento
<code>nslookup -query=MX excte.com</code> antaa seuraavan
tuloksen:</p>

<pre>
Non-authoritative answer:
excte.com       preference = 10, mail exchanger = mail.excte.com

Authoritative answers can be found from:
excte.com       nameserver = NS5.WGN.NET
excte.com       nameserver = NS6.WGN.NET
mail.excte.com  internet address = 207.213.0.59
NS5.WGN.NET     internet address = 207.213.0.5
NS6.WGN.NET     internet address = 207.213.0.6
</pre>

<p>Tässä tapauksessa molemmilla from-riveillä on sama osoite:
<code>From: bizlandt@excte.com</code> Jos haluaa, voi excte.comille
ilmoittaa, että heidän järjestelmässään <em>saattaa</em> olla
spämmerin postilaatikko. Abuse.netin <a href=
"http://www.abuse.net/lookup.phtml">tietokannan</a> mukaan oikea
osoite ilmoitukselle olisi postmaster@excte.com.</p>

<p>Sähköpostissa ei ole to-kenttää, jossa normaalisti on
vastaanottajan sähköpostiosoite. To-kentällä ei ole mitään vaikutusta
viestin kulkuun. To-kentän puuttuminen on tyypillistä
spämmiviesteille.</p>

<h4><a name="sisalto">Spämmin sisältö</a></h4>

<p>Joskus spämmissä mainostetaan jotain webbiosoitetta. Usein
webbiosoite on palveluntarjoajalla, jonka käyttöehdoissa kielletään
sivujen mainostaminen spämmäämällä. Siksi valituksesta kannattaa
lähettää kopio myös webbisivun palveluntarjoajalle. Webbisivun
valitusosoitteen selvittäminen sujuu helpoiten käyttämällä
SpamCopin <a href="http://spamcop.net/hosttracker.shtml">Host
Tracker</a>ia.</p>

<p>Spämmissä voidaan mainita myös jokin sähköpostiosoite. Usein
annettu sähköpostiosoite on jossakin lukuisista <a href= 
"http://www.fepg.net/">ilmaispalveluista</a>. Sähköpostiosoite voi
toimia spämmerin yhteyspostilaatikkona tai niin sanottuna
remove-boksina, johon vastaamalla, jos spämmeriin olisi uskomista,
pääsee pois postituslistalta. Annettu osoite voi olla oikea, tai
sitten ei. Ilmaisia sähköpostiosoitteita tarjoavat yritykset
suhtautuvat spämmiin pääsääntöisesti erittäin kielteisesti.
Esimerkiksi <a href="http://mail.yahoo.com/">Yahoo!</a> on
haastanut oikeuteen spämmereitä, jotka ovat antaneet ymmärtää, että
heillä olisi siellä postilaatikko. Siksi annetuista
yhteyspostilaatikoista tai remove-bokseista kannattaa ilmoittaa
sähköpostiosoitteiden palveluntarjoajille.</p>

<h4><a name="vali">Mihin tässä tapauksessa pitäisi valittaa</a></h4>

<p>Spämmistä pitäisi siis ensisijaisesti valittaa osoitteeseen
abuse@aol.com. Mukaan pitäisi liittää koko spämmiviesti
headereineen. Valitusviestistä voi lähettää kopion
postmaster@excte.com:ille, jossa spämmerillä <em>ehkä</em> on
postilaatikko, ja mahdollisen mainostetun webbisivujen tai
sähköpostilaatikoiden palveluntarjoajalle.</p>

<p>AOL suhtautuu spämmiin vakavasti. Jotkut palveluntarjoajat
kuitenkin viis veisaavat valituksista. Silloin kannattaa valittaa
palveluntarjoajan palveluntarjoajalle. Palveluntarjoajan
palveluntarjoaja löytyy esimerkiksi traceroute-komennolla (tässä
<code>/usr/sbin/traceroute 152.207.128.XXX</code>). Komento
näyttää, että AOLista seuraava palveluntarjoaja on alter.net.</p>

<p>Euroopan unionissa spämmäystä koskeva lainsäädäntö ei
pääsääntöisesti aseta velvotteita internet-palveluntarjoajille.
Oikeudellinen vastuu kuuluu spämmerille. Siksi spämmistä kannattaa
valittaa palveluntarjoajien lisäksi myös <a href= 
"laki.html#menettely">asiaankuuluville viranomaisille</a>.</p>