随着电子邮件的广泛使用，垃圾邮件（E-mail Spam）的问题日益严重，美国虽于2004年一月一日正式通过反制非法散布不请自来商业邮件的CAN-SPAM Act S.877联邦法案，然而这些日子以来，垃圾邮件的产生速度并没有减缓的趋势。根据反垃圾邮件厂商Brightmail在2004年7月的统计，垃圾邮件的比例已高达65%以上；另外，反毒及反垃圾邮件厂商Sophos统计，垃圾邮件的最大宗来源，43%来自美国，16%来自南韩，而11%来自中国大陆，其中大陆逐渐成为最大的垃圾邮件转寄国。

在对抗垃圾邮件的解决方案上，虽然各家厂商都有不同的提案，然而目前仍未制定出一套业界的统一标准。目前最常见的作法是透过邮件过滤软体，即在伺服器端及用户端进行垃圾邮件的过滤，然而过滤只是其中一种作法而已，对邮件使用者并无多大助益。

为此，验证E-mail发信端的功能则受到瞩目，最主要的有Microsoft的Sender ID － 寄件人身份、AOL的SPF、Cisco的Identified Internet Mail，以及Yahoo的Domain Keys，但目前仍是百家争鸣、各持己见的局面，能否产生整合仍有待观察。

另一方面在研究课题上，继MIT所主办2003及2004 年的Spam Conference之后，今年在2004反垃圾邮件研讨会（Conference on E-mail and Anti-Spam，CEAS）会议中发表了29篇论文，在此类的议题上可说是盛况空前，也显示出垃圾邮件问题的严重性。各篇论文分别从各式各样不同的角度来思考如何解决这个问题，不难看出目前仍有许多的困难有待突破。

本文以下即针对业界标准及研究议题这两部分，分别深入探讨目前的发展以及未来的趋势。

业界目前发展及标准制定

解决垃圾邮件日益严重的问题，网际网路研究任务小组（Internet Research Task Force，IRTF）于2003年3月成立了一个反垃圾邮件研究组织（Anti-Spam Research Group，ASRG），其任务在于专门探讨垃圾邮件问题的各种工具及解决方案，以提供网际网路工程工作特别小组（The Internet Engineering Task Force，IETF）制定标准时的参考。它们的定位主要是在分析垃圾邮件的问题，改进目前的解决方案，并研拟出新的方案。目前ASRG包括了以下八个群组，分别就邮件的来源、传送，以及身份认证等问题详加讨论：

目前在业界有许多不同层次的解决方案被提出，例如：在client-level及server-level有不胜枚举的商业及开放资源邮件过滤软体，如SpamAssassin等。在router-level有TurnTide Inc.的antiSpam router，直接在layer 3和layer 4拦截packet加以分析并阻挡可疑邮件；然而目前在ASRG mailing list上最热烈讨论的议题，莫过于在server-level对于SMTP session以及mail header的检查及验证，以进行邮件寄件者的验证，因为如此可以有效在伺服器就拦截下所有可疑的讯息，减少mail传送到个人端的overhead，又不须检查邮件内容，不至于造成侵犯私人的问题。目前有几家大厂各自推动其解决方案，如SPF、DomainKeys，及Sender ID等机制，以下就针对这些方案加以详细说明。

伺服器端寄件者验证的业界标准

由于垃圾邮件、病毒、或诈欺的邮件主要是以伪造寄件者身份来达成其欺骗的目的，而现有的验证方法如PGP（Pretty Good Privacy）等，又只包含了信件内容的验证，对于header栏位如寄件者，并无法确保其真实性。因此，在伺服器端验证的机制，主要目的在找出真正的寄件者身份。目前主要提案如Sender Permitted From（AOL）、Sender ID（Microsoft）、DomainKeys（Yahoo），以及Identified Internet Mail（Cisco）。

其中Microsoft虽然向IETF提出Sender ID成为Internet标准的申请，然而由于授权签署的限制条件相当严格，使得Open Source族群（如：Apache Foundation）不愿支持，在九月初被IETF投票否决，原因是微软将其专利部分的技术细节保密，随后AOL也表示不支持微软的提议。这些事件连带使得IETF决定解散MARID工作小组。因此，在这种群龙无首，谁也不愿屈服的情形下，要如何找出最佳的解决之道，恐怕已不单纯是技术的问题了。以下我们分别就这几种提案加以说明。

AOL提出的SPF方案

SPF（Sender Permitted From）方案，相当于是网域伺服器上的reverse Mail exchanger record。一般的MX record所储存的是这个网域有哪些合法的收件MTA，而SPF则可以让网域管理者用来指定哪些IP address才是该网域合法的寄件MTA。当收到一封新信件时，mail 伺服器经由DNS查询即可得知该信件是否确实由信件中所宣称的网域寄出。

由于IETF的MARID工作小组解散，各家依然坚持自己的提案，Meng Weng Wong重提了一个之前被忽略的折衷方案，Unified SPFii，可整合各种不同的寄件者验证方法，系统管理者可采用一个或多个不同的验证方法，保持最大的弹性，但究竟能否一统天下仍有待观察。

Microsoft提出的Sender ID方案

Sender ID的架构是一种hybrid的架构，主要来自Microsoft的Caller ID for E-mail，前面所提的Sender Policy Framework，以及submitted optimization。如(图一)所示，基本上它是一种domain-based的架构，所有E-mail只能从拥有正确IP address的mail servers寄出，因此，未经合法验证许可的mail server所寄出的E-mail则被认为是不合法的。

《图一 Microsoft 的 Sender ID 运作原理》

目前Sender ID已被UNIX系列伺服器最广为使用的mail server sendmail所初步采用测试，初步的测试结果对于整体的伺服器流出与流入封包的处理速度分别减慢了8%与15%。

Yahoo所提出的Domainkeys

Domain Keys目前也是IETF的Internet draft，它的想法也很类似，为了有效分辨哪些邮件是假造身份发出的，它采用了数位签章（digital signature）的方法来验证寄件者domain。

如(图二)所示，网域管理者会产生一对公钥放在DNS伺服器上，用来验证邮件的网域，而私钥放在邮件伺服器上用来将寄出的邮件加以签章。寄出信件时，合法的使用者所寄出的信会被邮件伺服器以私钥签章，附在信件上，当收件者的邮件伺服器收到时，会先从信上所宣称的网域的DNS伺服器取得公钥并验证签章，证明信件的确是从该网域所寄出而且途中未经窜改。同样地，这样的做法也只能验证寄件网域。

《图二 Domain Keys（Yahoo）的运作原理》

Cisco提出的Identified Internet Mail方案

Identified Internet Mail目前也是IETF的Internet Draft，与前者不同的是，它同时支援了user-level及domain-level 签章，可做到更细部的确认寄件者身份，而不只是寄件的网域而已，因此可以弥补Sender ID等方法之不足。与前述的Domain Keys不同的是，它的公钥和签章皆是以header的形式包含在讯息中。

目前主要研究方向

虽然E-mail Spam的研究自从1998年之后陆陆续续有人在进行，然而真正大规模在国际会议上从各种不同观点来探讨，则首推MIT 2003及2004的Spam Conference，以及今年第一届的CEAS，共有180人与会29篇论文发表，创下这方面议题的记录，可见问题的迫切性。探讨的主题层面相当广，包括E-mail本身的问题、垃圾邮件的过滤问题、网路层的解决方法、身分认证，以及法律与政策面的问题，分述如下：

E-mail已经成为日常生活中主要沟通工具之一，垃圾邮件所影响的层面可说越来越广，因此，垃圾邮件不只是邮件过滤的问题而已，必须从全面的解决方案来着手。虽然在垃圾邮件的这场攻防战中，有越来越多的专家投入，目前也正努力使得原有的电子邮件传送机制（SMTP）更加健全。然而，在整体架构尚未健全之际，仍然会有许多不法的垃圾邮件寄件者藉由种种漏洞，大量寄发广告信件，赚取非法的利益。因此，除了法律的约束及制裁外，如何教育一般民众使用电子邮件时的正确认知，养成良好的习惯，例如：不随便开启、转寄或回覆陌生寄件者的信，也是非常重要的。与其他资讯安全问题同样的，唯有全方位的整体思考从各种角度同时着手，才有可能真正彻底将垃圾邮件的问题解决。

延 伸 阅 读	本文统计出前12大垃圾邮件的产出国：美国占42.53%、南韩15.42%、中国与香港11.62%、巴西6.17%、加拿大 2.91%、日本2.87%、德国1.28%、法国1.24%、西班牙1.16%、英国1.15%、墨西哥0.98%、台湾0.91%、其他11.76%，同时提出其他的分析报告。相关介绍请见「垃圾邮件出口国比一比  」一文。 根据调查显示，全球每分钟有1040万封垃圾邮件（SPAM）在流通，美国的企业花在处理垃圾邮件的时间，加上网路频宽被垃圾邮件占据，导致生产效率下降，一年损失超过百亿美元。你可在「垃圾邮件手法日益翻新 网路病毒抢搭顺风车」一文中得到进一步的介绍。 大陆从2002年起，信誓旦旦的要清除「垃圾邮件」以保护收信人的权益，对外宣称是为保护收件人不被干扰。北京防的「垃圾」邮件，真相是什么？在「 反垃圾邮件？中国醉翁之意不在酒」一文为你做了相关的评析。

相关组织网站	sophos官方网站 spamhaus官方网站 spamassassin官方网站