[Nlnog] [sabri at bit.nl: Re: Whitelist]

[Boudewijn Visser]

[resend, kwam niet op de lijst vanwege een type fout in m'n afzender adres. oeps]

Quoting Sabri :
>
>Hi,
>
>> > Vinden we hier van?
> 
>> Je antwoord is netjes geformuleerd, maar over de keuze is te discussieren.
>> Kies je inderdaad om de whitelist puur formeel tot ISP's te beperken is
>> het argument 100% terecht.
>
>> Dan is de vraag, is de primaire reden om travel-net niet op te nemen dat ze
>> klein zijn, dat het vermoedelijk een NAT betreft van meerdere mailservers
>> ipv 1 server, of de generieke keuze om alleen ISP's op te nemen ?
>
>Dit is dus de discussie waar ik min of meer naar op zoek was.
>

[knip achtergrond bouwen nlwhitelist , ietwat ad-hoc, combinatie virbl,
virussen die via ISP-mailserver mailen ]

>Daar komt bij dat iedereen met een 2MB dsl lijn zichzelf wel ISP kan
>noemen, maar een ISP zelfs z'n uitgaande "klanten"-smtp op hetzelfde
>NAT-ip heeft als z'n office (of zelfs z'n klanten) is wat mij betreft
>niet iets wat in de doelgroep van de NL-whitelist komt. 

Dat lijkt me wel een terecht standpunt, dat IP adressen op de lijst
dedicated mailserver zijn, geen combinatie van (interne) mailserver +
office verkeer achter 1 NAT adres.

Maar de bredere vraagt blijft, welk soort -organisatie- kwalificeert
(gegeven het smtp-dedicated IP adres) .

>
>Hoe dan ook; ik wil dat de NL-whitelist breed gedragen wordt; daar is ie
>voor. Vandaar mijn vraag: wat vind de rest van deze lijst van de
>criteria? Als we jan en alleman gaan whitelisten wordt het helemaal niks
>natuurlijk, maar we moeten wel een beetje ruimte overlaten voor de
>kleinere concullega's. Op dit moment is de beoordeling nogal subjectief
>(lees: als ik je ken als ISP ben je tha man, anders doe ik een whois en
>check of je niet stiekum een reseller ofzo bent) en wat objectieve
>criteria zijn misschien handig.
>
>Is het een idee om als criterium aan te houden dat men als aanbieder van
>een openbaar telecommunicatienetwerk staat ingeschreven bij de Opta? Dan
>is er immers duidelijk sprake van een klant->ISP relatie. Uitzonderingen
>zoals Surfnet e.d. daargelaten, zulks ter beoordeling van ondergetekende
>cq deze lijst?
>
>All input is appreciated.

Bij deze mijn suggesties, overwegingen en afwegingen :

Het doel van de whitelist moet m.i. zijn om een lijst te hebben van
mailservers waarvan je zegt "voor deze servers moet je even bewust nadenken 
voordat je mail ervan blindelings filtert, want daar zou je wel eens
echt wat aan kunnen missen" 

De reden om dat te moeten doen is dat vanwege foutjes, incidenten, clueless
klagers, grudges of whatever ook mailservers van good net neighbours op
blacklists terecht kunnen komen. En als dat een mailserver van een grote
partij is hebben heel veel mensen, zowel bij de desbetreffende partij als
elders daar behoorlijk hinder van.


Je beperkt de whitelist tot mailservers van organisaties met een (hoofd?)
vestiging in Nederland, simpelweg omdat je hier de meeste spelers en hun 
reputaties redelijk kent, of makkelijk kunt vinden.
Daarnaast kun je van het bijhouden ervan gewoon geen dagtaak maken. 

Met deze idee?n wil ik ervoor pleiten dat ook "enterprise" mailservers een plek
op de whitelist moeten kunnen krijgen.
In eerste instantie zou ik dan denken aan overheidsinstellingen, banken,
verzekeraars e.d.
Heel veel mensen zouden er behoorlijk last van hebben als ze het 
(langverwachte...) antwoord van zo'n organisatie vanwege een spamfilter misten, 
ook al is het geen ISP in de gebruikelijke zin des woords.

Dan is het nu alleen zaak om "enterprise" een beetje zinvol te defini?ren,
zodat je niet verdrinkt in de eenmanszaakjes en bijklussers.
Je zou kunnen denken aan iets als "bedrijf met meer dan 100 werknemers"
(of 50 ? of 1000?), alleen moet je dan voor ISPs een aparte categorie maken,
anders vallen er daar veel uit de boot.
Je zou ook kunnen denken aan iets als "bedrijf wat aan meer dan 100 personen
mail toegang verschaft" ; 
Vanaf deze schaal kun je er enigszins van uit gaan dat IT zaken een echte
functie zijn (en geen aangewezen vrijwilliger van de administratie); 
Niet dat een dedicated IT persoon nou 100% garantie is voor kwaliteit, maar
gemiddeld gesproken scheelt hopelijk toch wel wat vgl met de boekhouder.

Daarnaast eis je noch wat technische inkoppertjes, als "mail server is geen
open relay", mailserver heeft correcte reverse DNS, mailserver heeft dedicated ip
adres e.d. 

Discussiepuntje : organisatie komt niet voor op categorie oranje/rood
van www.spamvrij.nl ?

Nog een discussiepuntje : functionerend abuse/postmaster adres...
Technisch aanwezig kun je nog wel doen, maar met het criterium "en snelle actie"
vallen sommige ISPs snel van de whitelist.

Overigens heb je, gezien het feit dat mensen zich actief melden om gewhitelist
te worden al een aardige pre-selectie op clue, denk ik.
(en ja, sommige erg kleine bedrijven, boekhouders of prive-personen hebben hun 
setup tip-top picobello in orde. Helaas, die vallen hier ook buiten de boot).

Anyway, geheel vrijblijvend hier mijn E 0.02  ,

Boudewijn