Qu’est-ce qu’un greylisting ?

Le greylisting (en français : « placer sur liste grise ») est une méthode efficace pour empêcher l’envoi de spams. Le greylisting est effectué sur le serveur de messagerie du destinataire des e-mails et ne nécessite aucune configuration de la part de l’expéditeur ou du destinataire.

En théorie, le greylisting n’exclut aucun e-mail légitime. C’est la raison pour laquelle cette technique est l’une des plus répandues pour lutter contre les spams dans le monde.

Si vous exploitez votre propre serveur de messagerie, vous devriez considérer l’utilisation du greylisting comme protection de base contre les spams.

Les filtres anti-spams sont des logiciels complexes qui essayent d’identifier les spams grâce à l’heuristique. Contrairement à ces méthodes laborieuses, le greylisting a pour objectif d’empêcher la diffusion de spams évidents. Le greylisting étant basé sur un processus simple, son exécution ne requiert pas de ressources importantes.

Le greylisting est en particulier utilisé pour lutter contre l’envoi de spams illégitimes à grande échelle. Les « Unsolicited Bulk E-Mail » (UBE) sont des e-mails non personnalisés, envoyés à grande échelle. Ce procédé utilise souvent des archives d’adresses e-mail achetées ou dérobées.

Habituellement, l’envoi est effectué par des ordinateurs détournés appartenant à des utilisateurs naïfs. Ces ordinateurs réunis en un botnet commandé à distance sont utilisés pour envoyer des spams à grande échelle. Des adresses électroniques usurpées sont généralement utilisées dans ces vagues de spams.

Le greylisting ne peut pas être utilisé pour lutter contre l’envoi d’« Unsolicited Commercial E-Mail » (UCE). Il s’agit ici d’e-mails souvent personnalisés, envoyés par des entreprises ou des professionnels réels de façon individuelle. Pour lutter contre ce type de spams, on utilise les filtres basés sur le contenu et le blacklisting.

L’idée du greylisting consiste à trier les spams potentiels lors du processus de distribution. Regardons comment cela fonctionne précisément.

Le Simple Mail Transfer Protocol (SMTP) est utilisé pour qu’un e-mail puisse être envoyé d’un expéditeur à un destinataire. En principe, un e-mail envoyé via Internet suit le chemin suivant :

1. L’expéditeur écrit un e-mail avec son Mail User Agent (MUA) ou « agent de distribution du courriel ». Il peut s’agir d’un programme de messagerie installé localement ou d’une interface de messagerie en ligne.
    
2. Pour envoyer l’e-mail, le Mail User Agent établit une connexion SMTP avec le Mail Transfer Agent (MTA). Il s’agit ici d’un logiciel sur le serveur SMTP qui reçoit et transfère les e-mails.
    
3. Le Mail Transfer Agent de l’expéditeur transfère l’e-mail au Mail Transfer Agent du destinataire. Lorsque cet agent reçoit l’e-mail, ce dernier est placé dans la boîte de réception du destinataire.
    
4. Au moment où le destinataire synchronise sa boîte de réception locale via le protocole IMAP ou POP3, l’e-mail est affiché en tant que nouveau message.

Le greylisting a lieu à la troisième étape lorsque le Mail Transfer Agent du destinataire reçoit l’e-mail. Trois données sont connues du MTA récepteur avant d’accepter véritablement l’e-mail :

• l’adresse IP du serveur de messagerie à l’origine de l’envoi,
• l’adresse e-mail du destinataire, via la commande SMTP « MAIL FROM »
• la/les adresse(s) e-mail du/des destinataire(s), via la commande SMTP « RCPT TO »

Ces données étant visibles par le Mail Transfer Agent avant le message à proprement parler, elles sont également appelées « données d’enveloppe ». Le Mail Transfer Agent mentionne les données d’enveloppe de chaque e-mail entrant dans une liste appelée la « greylist ». Voici un exemple d’entrée dans la greylist :

Les différentes tentatives de distribution des e-mails (e1 à e5) ont été classées par ordre chronologique.

e1) Un e-mail d’un expéditeur inconnu de la greylist (« Listed ? Non. ») arrive sur le serveur de messagerie. Le Mail Transfer Agent refuse la réception de l’e-mail en prétextant une erreur technique. Les données d’enveloppe sont enregistrées dans la greylist.

e2) Par la suite, un autre e-mail du même expéditeur parvient au même destinataire. Comme les données d’enveloppe sont déjà enregistrées dans la greylist, l’e-mail est distribué. Par ailleurs, les données d’enveloppe sont enregistrées dans la whitelist.

e3) Depuis la dernière correspondance entre Anne et Louis, l’adresse IP du serveur SMTP d’Anne a changé : auparavant, cette adresse était 192.0.2.3 et est à présent 192.0.2.34. Anne est alors traitée comme un expéditeur inconnu et arrive tout d’abord dans la greylist.

e4) Plus tard, Anne écrit à nouveau à Louis. Cette fois-ci, le serveur SMTP est à nouveau utilisé sous l’adresse IP initiale 192.0.2.3. Comme les données d’enveloppe se trouvent déjà dans la whitelist, l’e-mail d’Anne est immédiatement distribué.

e5) Une tentative de distribution du serveur 192.0.2.66 a lieu. Comme ce serveur est connu pour être malveillant et est listé sur la blacklist, la distribution de l’e-mail est refusée. Selon toute vraisemblance, l’adresse d’expédition anne@example.com a été usurpée.

Bien que les avantages du greylisting soient attractifs, cette technologie comporte également son lot de problèmes :

• L’adresse IP du serveur SMTP à l’origine de l’envoi doit rester la même. Si l’adresse IP du serveur SMTP de l’expéditeur change, l’e-mail sera considéré comme inconnu par le serveur SMTP du destinataire ; l’e-mail sera greylisted.
   
• Dans certaines circonstances, la distribution échoue en cas d’erreur dans l’implémentation ou la configuration du serveur de messagerie à l’origine de l’envoi. Si le Mail Transfer Agent de l’expéditeur ne répond pas à la demande de renvoi de l’e-mail, celui-ci n’est pas distribué.
   
• L’utilisation de ressources par les spammers peut permettre de passer à travers cette protection. En théorie, les spammers pourraient envoyer leurs e-mails à plusieurs reprises pour franchir le greylisting. Cependant, l’effort logistique nécessaire est tel qu’il n’en vaut actuellement pas la peine.
   
• Le délai de distribution peut rendre invalides les contenus d’e-mails limités dans le temps. Ce problème est souvent observé lors de la réinitialisation des mots de passe : l’e-mail de réinitialisation du mot de passe provient d’un expéditeur jusqu’alors inconnu et reste en attente dans le greylisting du destinataire. Le temps écoulé avant que l’expéditeur ne renvoie l’e-mail est si long que le lien de réinitialisation du mot de passe ou le code de connexion a expiré.