功能差用户认证或比无用户认证技术还糟糕

计世网消息 一位安全专家声称，功能差的用户认证可能比没有部署用户认证技术还糟糕。

　　据计算机病毒咨询公司的安全顾问菲兹杰拉德称，在阻止垃圾邮件传播方面，电子邮件用户认证可能比不部署还糟糕。上周五，他在“病毒公告”会议上讲话时说，作为一种反垃圾邮件措施，SPF在部署前就是有毛病的。它不仅仅是脆弱的，而且很容易被攻击。他说，SPF无法向我们提供有关电子邮件真正的发送者以及是否属于垃圾邮件的真实情况。SPF一直被“虚假地”宣传能够解决用户认证的问题。

　　菲兹杰拉德的观点受到了其他与会者的反对，他们坚持SPF将在打击垃圾邮件方面扮演重要角色。他们认为，SPF能够压制“欺骗”行为。尽管菲兹杰拉德认为SPF很容易被攻破，但目前还没有SPF被垃圾邮件发送者攻破的报道。

　　菲兹杰拉德声称，垃圾邮件发送者能够轻松地攻破SPF，他们已经有了大规模的botnet，80的垃圾邮件是由botnet发送的。垃圾邮件发送者能够操纵一台被攻击的计算机，读取其电子邮件软件的设置，例如其ISP电子邮件服务器的设置，这意味着垃圾邮件可以披上ISP的SPF标签这件合法外衣，使它看起来象合法的电子邮件。

　　反病毒厂商FRISK公司的维塞林说，用户可以与ISP联系，向它们报告这一问题，使它们能够修正服务器。菲兹杰拉德不同意这种观点，他说，ISP不能将被感染的计算机列入黑名单，因为这在经济上是不可行的。这一建议得不到ISP的响应，应为它们不敢将客户的连接掐断。