Спамхаус: три доллара, почта регистратора и вторая компания

В прошлом материале мы измерили, кто на самом деле исполняет DROP — список сетей, которые Спамхаус предлагает не маршрутизировать вообще. Ответ вышел скучный: транзит не исполняет никто, отказ приходит от одного назначения из сорока пяти.

Но у любого списка есть вторая половина вопроса. Не «работает ли он», а «кто его ведёт и как этот кто-то ведёт себя, когда с ним спорят». Список — это власть; власть проверяется не в спокойное время, а в конфликте.

Ниже — только то, что зафиксировано в судебных решениях, в заявлениях сторон и в собственных публикациях организации. Слухов здесь нет, и там, где обвинение осталось обвинением, это сказано прямо.

Дело e360: от 11,7 миллиона до трёх долларов

Сентябрь 2006 года. Американская рассылочная компания e360 Insight подаёт иск против Спамхауса в федеральный суд Иллинойса. Спамхаус — организация британская — на процесс не является, заявив, что американский суд над ней не властен.

Суд выносит заочное решение: 11 715 000 долларов. Дальше начинается то, ради чего это дело стоит помнить.

ЭтапГодСумма
Заочное решение суда первой инстанции200611 715 000 $
Апелляция, Седьмой округ: решение оставлено, размер убытков отменён2007
Новое рассмотрение по убыткам201027 002 $
Финальная апелляция20113 $

Три доллара. Номинальная сумма, которую присуждают, когда нарушение формально признано, а вреда не доказано. Судья Ричард Познер, разбирая расчёт убытков истца, высказался так, что фраза разошлась по отраслевым изданиям: он никогда не видел настолько некомпетентно представленного дела об убытках. Истец к тому моменту уже был банкротом — заявление о банкротстве e360 подала в январе 2008-го, сославшись на непосильные юридические счета.

Отдельный эпизод внутри этого дела важнее самой суммы. Добиваясь исполнения, истец просил суд обязать регистратора снять с делегирования сам домен spamhaus.org. То есть американский суд по иску рассылочной компании рассматривал отключение сайта организации, зарегистрированной в другой стране. ICANN тогда публично объяснила, что не является стороной по делу и что регистраторы такому предписанию не подчинены; домен остался на месте.

Что из этого следует? Не «Спамхаус плохой» — по существу спора он выстоял. Следует другое: спор с блоклистом почти невозможно вести обычными средствами. Организация может просто не прийти в суд чужой юрисдикции, и это работает. А единственный рычаг, который нашёлся у противоположной стороны, — снести домен целиком.

nic.at, 2007: когда в список попадает почта регистратора

Спамхаус потребовал от nic.at — национального реестра доменной зоны .at — снять с делегирования домены, которые считал фишинговыми. Реестр отказался, сославшись на австрийское право: у него нет полномочий отключать домен без предусмотренной законом процедуры.

В ответ Спамхаус внёс в SBL почтовые серверы самого реестра, и почта nic.at начала спотыкаться.

Здесь стоит остановиться. Списание почтового сервера — инструмент против источника спама. Почта nic.at спама не рассылала. Её внесли в список не за то, что она делала, а за то, чего организация-владелец делать отказалась. Инструмент, созданный для одной задачи, применён как рычаг давления в другой — причём против оператора инфраструктуры, который сослался на закон своей страны.

A2B Internet, 2011: «блокируйте клиента, иначе ляжет диапазон»

История повторяется через четыре года, уже в Нидерландах, и документирована подробнее.

Спамхаус потребовал от провайдера A2B Internet заблокировать весь трафик немецкого хостера CyberBunker. A2B отказался блокировать сеть целиком и заблокировал один конкретный адрес. Тогда Спамхаус внёс в список весь клиентский диапазон A2B — и несколько компаний, не имевших к CyberBunker никакого отношения, оказались отрезаны.

Управляющий директор A2B Эрик Байс пошёл в полицию с заявлением, публично назвав произошедшее шантажом. Стив Линфорд ответил метафорой:

«Говорить, что листинг в SBL равнозначен вымогательству, — то же самое, что заявлять о шантаже, когда вас не пустили в ресторан из-за неподходящей одежды».

Метафора не выдерживает проверки ровно в одном месте, и место это принципиальное. В ресторан не пустили вас. Здесь же не пустили соседей по столику — клиентов A2B, которые о конфликте не знали и повлиять на него не могли. Это не отказ в обслуживании, это коллективная ответственность.

Закончилось капитуляцией: A2B убрал CyberBunker из своей маршрутизации, листинг сняли. Байс обещал вынести вопрос на ближайшую встречу RIPE.

Порт-сканы, 2019: спор, отрицание и разворот через неделю

Исследователи заявили, что система Спамхауса вносит в списки источники сетевого сканирования, не проверяя, действительно ли трафик идёт оттуда, откуда заявлено, — то есть реагирует на пакеты, которые тривиально подделать.

Организация ответила резко: администратор Люк Россини назвал утверждение «полной чушью» и сказал, что системы устроены не так, как думает автор претензии.

Примерно через неделю подход к обработке сканирований изменился.

Кто был прав по технической части — со стороны установить нельзя, и мы этого не утверждаем. Существенно другое: не нашлось способа проверить. Ни описания алгоритма, ни независимого аудита, ни процедуры, по которой спорное решение пересматривается публично. Есть только заявление одной стороны и заявление другой — а между ними тихое изменение поведения системы.

Две компании: кто раздаёт и кто продаёт

Структура организации выглядит так:

Юридическое лицоЮрисдикцияРоль
The Spamhaus Project SLUАндорра, рег. № 18159некоммерческая, ведёт и бесплатно публикует списки
Spamhaus Technology LtdЛондон, Великобританиякоммерческая, продаёт промышленный доступ к тем же данным

Собственное объяснение организации: некоммерческий проект не имеет коммерческого интереса, а отдельная компания-дистрибьютор позволяет закрыть спрос на доставку данных в реальном времени и в объёме, не отвлекая команду проекта.

Объяснение связное, и мы не называем это схемой. Но конструкцию стоит описать точно, потому что она нетривиальна: одна структура определяет, кто попал в список, а вторая продаёт доступ к этому списку. Чем шире и жёстче списки, тем ценнее продукт. Это не доказательство злоупотребления — это устройство, при котором внешняя проверка была бы уместна. Её нет.

Публичной отчётности ни у одной из компаний нет, бенефициары не раскрыты. Именно поэтому проверка «Кольцом» по карточке реестра INT-066 дала уровень 1 — «связи не подтверждены»: движок ищет документированные владение, контроль и финансирование, а публичных документов такого рода не существует.

ROKSO: список людей без суда

Отдельно от сетевых списков организация много лет вела ROKSO — Register of Known Spam Operations, публичный реестр, где перечислены люди и компании, признанные организацией спам-операторами. Не сети, не адреса — имена. Без приговора, без процедуры оспаривания, с публикацией в открытом доступе. С 2023 года публичный доступ к реестру закрыт, доступ для правоохранительных органов сохранён.

Чего мы не утверждаем

Здесь легко соскользнуть, поэтому границы обозначим явно.

Наша запись

Наша запись: проблема здесь не в добросовестности, а в отсутствии процедуры. Организация, чьи решения отключают чужую почту и чужие сети, устроена так, что её решения нельзя ни проверить, ни обжаловать — только исполнить или сдаться. Когда она права, разницы не видно. Разница видна только в тот день, когда она ошибётся.

Взвешивание сердца в египетской традиции — не наказание, а процедура: есть весы, есть перо, есть свидетели, и решение выносится не тем, кто громче. Исфет — не зло с рогами, а порядок без процедуры: правило, которое действует, но никому не подотчётно. По этому признаку блоклист неотличим от любой другой непрозрачной власти, независимо от того, насколько благие у неё намерения.

Мы не предлагаем отменить списки. Мы предлагаем считать нормальным вопрос: кто проверял и как это оспорить. Если ответа нет — это не мелочь, это и есть описание конструкции.

Источники