[FZH] LinuxToy 投稿：FOSS 邮件列表被用于洪水攻击

[Tom Li]

-----BEGIN PGP SIGNED MESSAGE-----
Hash: SHA256

黑日白月，抄送的 Fedora 邮件列表的全体订阅者您好：

近日起，多名用户遭到强烈的邮件洪水攻击，严重影响的部分人的正常工作，而更加令人气愤的是，这次攻击利用的是自由和开源软件项目的基础设施。如果
LinuxToy 能报道这一问题，问题会在社区引起关注度，最终很有希望得到解决。因此，我向您投稿如下。如果能得到采纳，我将十分感谢。

比尔盖子

![A Flooded Mailbox][1]

近日起，比尔盖子在 24 小时内收到了 20000
封来自公共邮件列表的订阅确认邮件，八成都来自自由和开源软件（FOSS）项目的邮件列表。而涵盖的项目也至少多达 20 个，不限于
OpenBSD、FreeBSD、GNU 计划、Ubuntu、CentOS、Qt、HostAp，甚至是以邮件著称的
Postfix。“订阅者”来自多个 IP。

在社交网络上分享经历后，不到 5 个小时，截至第一次发稿，仅在新浪微博就确认了受害者 @LI欣欣zn, @黑椒饼干, @路过的小新,
@玩脱了的奶鱼, @機智的阿卡林chan, @06peng, @被窝型笨笨鱼, @和樹白翼,
@无名小卒_路人A，似乎以技术圈为主。紧接下来的几天内，确认的受害者里更是出现了萌娘百科官方邮箱，[月光博客的作者 William
Long][2]，上海 Linux 用户组的 Thomas
等显著案例。部分受害者的邮箱因来信太多已经停止工作。个人用户只能暂时利用关键词过滤器规避攻击。更有甚者，@和樹白翼
紧急更换的新邮箱居然在新的一波攻击中遭殃。

邮件列表是 FOSS 项目的重要交流工具，日常开发几乎完全倚仗邮件列表。订阅邮件列表时，常见的程序均会给用户发送确认邮件，避免用户受到骚扰。然而，由于
FOSS 项目邮件列表大量存在，这就使得利用确认邮件本身加以骚扰他人成为可能。邮件列表通常均使用 GNU
Mailman，而且通常不设有验证，更是为批量自动化操作提供了捷径。一个数字节的 POST 请求即可放大为内容更长的电子邮件。

这已经不是第一次发生类此状况，去年，[GNOME 基金会管理的 FreeDesktop.org
列表就被利用进行攻击][3]，管理者通过自行给 GNU Mailman 订阅增加了 reCAPTCHA
验证解决了问题。然而，还有大量的社区邮件列表处于没有保护的境地下（如 Fedora
Project）。如果公共邮件列表一旦被广泛利用，这类低成本的攻击将会严重耗费 FOSS
项目系统资源，影响大量潜在的个人或机构正常使用电邮，如果这类邮件被归类为垃圾邮件，更会影响用户和开发者的正常工作。

  [1]: https://biergaizi.info/ftp/IT/ScreenShots/mailing-list-flooding.png
  [2]: http://www.williamlong.info/archives/4225.html
  [3]: https://www.dragonsreach.it/2014/05/03/adding-recaptcha-support-to-mailman/

（原载于个人博客 https://biergaizi.info/archives/2015/05/1976.html）
> -----BEGIN PGP SIGNATURE-----
> Version: GnuPG v2
>
> iQIcBAEBCAAGBQJVS3k+AAoJEPrT6wXojo1tQPYQAKJNmBQevsHJnvnrwdeDDN7Y
> 4/SvzvF1NCxgqhVoYvJ4pi44bT7q0/a2RJHXzkUq4G90rXmwYwnrgVWAHgqq0qb3
> JS6DkEdL9b/Q0omdx+8dRP0VxrgMH2oGwlb+DkHS7+Ed8Em1nbfm54UEnVIDM5MG
> tohjAKWeN/DVBL1FfOngmwY6On+SGMdqoZm+1BOAi5VtRtb/wvOCDVdBcoNoUlVJ
> +85yXReua+7ykVVnlmras00gW10I0xKGD3p5i5AwxyDu93CVq1/ytWpclPCElCN+
> 1cY6+CNLA5gVNCg/Sxj4ZhEnMgnPbmsR1RXES0UYoFBqheE/Z++r5zHn7Kw5dWxv
> rQvVrRYPEfLnCqBWs0QcvKqV31NY6cG8/NBTuhYUR8G5f5Xqg8ejaMNTFM5QZFZ9
> pXmjYjedXK1hKbu32eZTSwxlxgtTkRgV2tVuuEpjiZ1LwMWQD4excLOOzyzVrkZg
> zoPmBMmBA25DhYxfaA3IpuLLwjip53b87hQIpmx5kh4zzEu1bTbmrR4PlCG6iK9g
> jfRA60S2c4jBxsFsdW12YD7lXEo2DeOjAmRxNwcngNcvmtZ56pHnlqtmrJJVWx82
> nAEJu0m1azd2KATYbIanDZnbnBhCCsomAdQ7jUYpJMKqfQTlbwEscIGM7F196nqx
> 4q+HlXBAhb5flGiuS/Cw
> =1IfH
> -----END PGP SIGNATURE-----
>