Grey­lis­ting : fonc­tion­ne­ment et avantages pour une mes­sa­ge­rie plus sécurisée

Le grey­lis­ting (en français « mise sur liste grise ») est une méthode efficace pour bloquer la réception de spams. Il s’exécute di­rec­te­ment sur le serveur de mes­sa­ge­rie du des­ti­na­taire et ne nécessite aucune con­fi­gu­ra­tion par­ti­cu­lière ni de la part de l’ex­pé­di­teur, ni de celle du des­ti­na­taire.

Où le grey­lis­ting est-il utilisé ?

Con­trai­re­ment aux filtres anti-spam clas­siques, le grey­lis­ting empêche di­rec­te­ment la livraison de spams évidents. Basé sur un processus simple, il consomme peu de res­sources et s’intègre fa­ci­le­ment dans des ar­chi­tec­tures de sécurité modernes telles que Zero Trust ou Defense in Depth. Cette méthode est prin­ci­pa­le­ment utilisée pour contrer l’envoi massif non autorisé de courriels in­dé­si­rables.

Les Un­so­li­ci­ted Bulk Emails (UBE) désignent des emails non per­son­na­li­sés envoyés en masse, souvent à partir de listes d’adresses achetées ou volées.

Ces envois pro­vien­nent gé­né­ra­le­ment d’or­di­na­teurs piratés ap­par­te­nant à des uti­li­sa­teurs compromis. Connectés entre eux dans des botnets, ces appareils servent à diffuser de grandes quantités de spam, dans la plupart du temps avec des adresses d’ex­pé­di­teur usurpées.

En revanche, le grey­lis­ting n’est pas conçu pour bloquer les Un­so­li­ci­ted Com­mer­cial Emails (UCE), c’est-à-dire les emails com­mer­ciaux in­di­vi­dua­li­sés envoyés par de vé­ri­tables en­tre­prises ou pro­fes­sion­nels. Pour ce type de messages, on pri­vi­lé­gie des filtres basés sur le contenu et le bla­ck­lis­ting.

Comment fonc­tionne le grey­lis­ting ?

Le principe du grey­lis­ting repose sur la capacité à filtrer les emails po­ten­tiel­le­ment in­dé­si­rables dès le processus de livraison. Pour mieux com­prendre son fonc­tion­ne­ment, voyons d’abord comment se déroule l’envoi d’un email.

Trans­mis­sion des emails expliquée sim­ple­ment

L’envoi d’un email repose sur le Simple Mail Transfer Protocol (SMTP). En résumé, voici les prin­ci­pales étapes du processus :

1. L’ex­pé­di­teur rédige son message à l’aide d’un Mail User Agent (MUA), c’est-à-dire un logiciel de mes­sa­ge­rie local ou une interface Web.
2. Pour l’envoi, le MUA établit une connexion SMTP avec le Mail Transfer Agent (MTA) de l’ex­pé­di­teur. Ce logiciel, installé sur un serveur SMTP, est chargé de trans­mettre les emails.
3. Le MTA de l’ex­pé­di­teur envoie ensuite le message au MTA du des­ti­na­taire. Si ce dernier accepte la connexion, l’email est déposé dans la boîte aux lettres du des­ti­na­taire.
4. Lors de la syn­chro­ni­sa­tion via IMAP ou POP3, le message apparaît ensuite dans la boîte de réception.

Point d’in­ter­ven­tion du grey­lis­ting

Le grey­lis­ting in­ter­vient à la troisième étape du processus d’envoi, lorsque le Mail Transfer Agent (MTA) du des­ti­na­taire reçoit le message. Avant d’accepter la livraison complète de l’email, le MTA dispose déjà de trois in­for­ma­tions clés :

• l’adresse IP du serveur de mes­sa­ge­rie ex­pé­di­teur
• l’adresse email de l’ex­pé­di­teur, transmise via la commande SMTP MAIL FROM
• l’adresse email du ou des des­ti­na­taires, indiquée par la commande SMTP RCPT TO

Ces éléments, connus avant même la trans­mis­sion du contenu de l’email, sont appelés données d’enveloppe. Le Mail Transfer Agent en­re­gistre ces données d’enveloppe pour chaque message entrant dans une liste spé­ci­fique appelée Greylist.

Exemple d’entrée dans une Greylist :

Première et deuxième tentative de livraison

Lorsqu’une com­bi­nai­son de données d’enveloppe apparaît pour la première fois, le Mail Transfer Agent (MTA) du des­ti­na­taire rejette tem­po­rai­re­ment l’email. Un code d’erreur est alors renvoyé au serveur ex­pé­di­teur, indiquant qu’un problème technique est survenu et l’invitant à réessayer après un délai défini.

Un MTA légitime, conforme aux standards SMTP, retentera na­tu­rel­le­ment l’envoi. Lors de la deuxième tentative, les données d’enveloppe étant déjà connues dans la Greylist, l’email est cette fois accepté et transmis à la boîte de réception.

En revanche, les serveurs utilisés pour l’envoi massif de spam ne rées­saient gé­né­ra­le­ment pas. C’est là que la pro­tec­tion du grey­lis­ting prend tout son sens : aucune seconde tentative n’est effectuée, et le spam n’est donc jamais livré. L’uti­li­sa­teur ne remarque rien ; une méthode élégante et discrète pour bloquer les courriels in­dé­si­rables.

Grey­lis­ting : processus détaillé

Close

(a) Le Mail User Agent (MUA) envoie un email au serveur de mes­sa­ge­rie de l’ex­pé­di­teur (P).

(b) Le serveur de l’ex­pé­di­teur (P) transmet le message au serveur du des­ti­na­taire (Q).

Celui-ci vérifie les données d’enveloppe : l’adresse IP du serveur ex­pé­di­teur et les adresses email con­cer­nées.

Si la com­bi­nai­son de ces trois éléments est inconnue, le serveur (Q) refuse tem­po­rai­re­ment le message, invoquant une erreur technique.

Il en­re­gistre ensuite ces données dans la Greylist : l’email est alors « greylisté ».

(c) S’il s’agit d’un envoi légitime, le serveur de l’ex­pé­di­teur (P) retentera l’envoi après un certain délai.

Les données étant désormais reconnues, le serveur du des­ti­na­taire (Q) accepte et délivre le message.

En option, le serveur peut ajouter ces données à la liste blanche (whi­te­lis­ting), per­met­tant ainsi la livraison immédiate des futurs emails cor­res­pon­dants.

(d) Dans le cas d’un envoi il­lé­gi­time (spam), aucune nouvelle tentative n’est effectuée.

Le grey­lis­ting accomplit alors son rôle de barrière anti-spam, empêchant le message d’être livré au des­ti­na­taire.

Grey­lis­ting comme com­po­sante d’une pro­tec­tion anti-spam complète

Le grey­lis­ting est gé­né­ra­le­ment utilisé en com­plé­ment d’autres tech­no­lo­gies de lutte contre le spam. Associé à des pro­to­coles tels que le Sender Policy Framework (SPF), le Do­main­Keys Iden­ti­fied Mail (DKIM) et le Domain-based Message Au­then­ti­ca­tion, Reporting and Con­for­mance (DMARC), il contribue à sécuriser ef­fi­ca­ce­ment le trafic email contre les abus les plus courants.

Com­bi­nai­son du grey­lis­ting avec d’autres méthodes

Le grey­lis­ting est par­ti­cu­liè­re­ment efficace lorsqu’il est combiné au whi­te­lis­ting et au bla­ck­lis­ting. Voici un exemple il­lus­trant le dé­rou­le­ment temporel des ten­ta­tives de livraison sur un serveur de mes­sa­ge­rie récepteur :

Close

e1 Un email provenant d’un ex­pé­di­teur inconnu arrive sur le serveur. Le Mail Transfer Agent refuse tem­po­rai­re­ment la livraison et en­re­gistre les données d’enveloppe dans la greylist.

e2 Lors d’une tentative ul­té­rieure, un autre email du même ex­pé­di­teur au même des­ti­na­taire est reçu. Les données d’enveloppe étant déjà présentes dans la greylist, l’email est accepté et livré. Ces données sont ensuite ajoutées à la whitelist.

e3 Plus tard, l’adresse IP du serveur SMTP d’Anne change ; au­pa­ra­vant 192.0.2.3, elle devient 192.0.2.34. Ce nouvel envoi est alors traité comme provenant d’un ex­pé­di­teur inconnu et est placé sur la greylist.

e4 Lors d’un envoi suivant, le serveur SMTP d’Anne revient à son adresse IP d’origine (192.0.2.3. Comme cette com­bi­nai­son figure déjà sur la whitelist, l’email est im­mé­dia­te­ment livré sans délai.

e5 Une tentative de livraison provient du serveur 192.0.2.66. Ce serveur est ré­per­to­rié comme mal­veil­lant dans la blacklist ; la livraison est donc refusée. Il est probable que l’adresse d’ex­pé­di­teur anne@exemple.com ait été usurpée (spoofing).

Quels sont les avantages et les in­con­vé­nients du grey­lis­ting ?

Quels sont les problèmes du grey­lis­ting  ?

Malgré ses nombreux avantages, le grey­lis­ting présente aussi certaines limites :

• L’adresse IP du serveur SMTP ex­pé­di­teur doit rester stable. Si l’adresse IP change, le serveur des­ti­na­taire considère la tentative comme provenant d’un ex­pé­di­teur inconnu et l’email est à nouveau « greylisté ».
• Des échecs de livraison peuvent survenir en cas de mauvaise con­fi­gu­ra­tion. Si le serveur d’envoi ne respecte pas les standards SMTP ou ne retente pas la livraison, l’email ne sera jamais remis.
• Les spammeurs peuvent théo­ri­que­ment con­tour­ner la pro­tec­tion s’ils disposent de res­sources suf­fi­santes. En théorie, ils peuvent pro­gram­mer des renvois multiples pour passer le grey­lis­ting, mais le coût lo­gis­tique rend cette méthode peu rentable.
• Les emails tem­po­raires peuvent devenir inu­ti­li­sables. Par exemple, un lien de réi­ni­tia­li­sa­tion de mot de passe envoyé par un ex­pé­di­teur inconnu peut être retardé par le grey­lis­ting, qui peut expirer avant sa réception.
• Manque de vi­si­bi­lité pour les uti­li­sa­teurs. Dans certaines solutions Cloud modernes, le grey­lis­ting est activé par défaut sans accès direct à sa con­fi­gu­ra­tion. Les retards oc­ca­sion­nels d’emails peuvent donc sembler inex­pli­qués aux uti­li­sa­teurs.