Email or username:

Password:

Forgot your password?
Alexey Skobkin

Когда-то я пришёл в Jabber и говорил апологетам XMPP, что он никак не защищён от спама. Тогда они говорили мне, что у них такая крутая матан-капча, что её не пройдёт даже их родная мать.

Уже давно, как только я посмотрел на то как выглядят инструменты модерации Mastodon, я говорю, что в федивёрсе тоже нет никакой защиты от спама, кроме того, что мы, как и пользователи jabber тогда, пока нахуй никому не нужны.

Пока что два лучших решения, которые я видел сегодня - это когда dansup добавил в Pixelfed блокировку по ключевым словам из .env-файла и чьё-то предложение внести в федиблок серверы, которые пострадали от нашествия учёток ботов.

Если первое - это более-менее разумная реакция, чтобы справиться с проблемой прямо сейчас, то в целом, если честно, это всё выглядит крайне несерьёзно.

Интересно, сколько ещё таких тупых инцидентов должно произойти чтобы кто-то начал работать над этим вопросом?

И да, я каждый раз смотрю с ухмылкой на заявления в стиле что "а вот в корпоративных сетях со спамом тоже не борются - я там ботов видел!".

Этим людям стоило бы понять, что то, что они видели - это остатки, которые проскользнули через работающий антиспам, а то, что они видят тут - это просто шалости каких-то малолетних долбоёбов, от котороых и прикрыться-то нечем кроме разрывов связности в сети 👏

К сожалению, большинство довольствуется поверхностными наблюдениями.

#Fediverse #spam #people #log #soft #thoughts

35 comments
Alexey Skobkin

Я почему всё это пишу?

Потому, что я в федивёрсе вижу потенциальную альтернативу.

А многие люди почему-то видят реальную альтернативу уже сейчас.

Но закрывают глаза на то, что какой-то малолетний долбоёб может вызвать проблемы у немалой части сети или на то, что когда Маск творит очередную хуйню, некоторые наши инстансы просто залипают под нагрузкой от НЕБОЛЬШОГО количества тех, кто пошёл смотреть альтернативы Twitter.

Не знаю как вам, а мне кажется, что чтобы наш федивёрс был реальной альтернативой, нам над этим нужно ещё поработать. И у тех самых сраных корпоратов поучиться решать некоторые проблемы, решение которых мы принимали за данность и не замечали.

Я почему всё это пишу?

Потому, что я в федивёрсе вижу потенциальную альтернативу.

А многие люди почему-то видят реальную альтернативу уже сейчас.

Но закрывают глаза на то, что какой-то малолетний долбоёб может вызвать проблемы у немалой части сети или на то, что когда Маск творит очередную хуйню, некоторые наши инстансы просто залипают под нагрузкой от НЕБОЛЬШОГО количества тех, кто пошёл смотреть альтернативы Twitter.

Вернувшийся из небытия
@skobkin я, кстати, не могу понять почему никто ещё не додумался прикрутить к федиверсу какой-нибудь SpamAssasin
Tired Bunny :bunhdcomfysleep:
@skobkin У всяких плером и акком оказывается самый продвинутый фильтр слов и других плюшек для фильтрации постов (например не принимать посты от новых аккаунтов, не принимать хеллтреды с кучей меншонов, и прочее) у админов есть. И ещё попроще фильтры кейвордов у юзеров.

Будь это у всех серверов - было бы проще в разы всем в этот раз, хотя это и не решение полное.

Ещё какое-то недоверие новым аккаунтам предлагали, типо чтобы писать посты нужно пройти ручную проверку или какую-то систему которая находит подозрительные действия (много меншонов, много постов, ссылки) у новых аккаунтов и переводит аккаунт в эдакий режим карантина.

В общем, разрабам феди софта было по человечески лень, и они не рассчитывали на такой координированный спам.
@skobkin У всяких плером и акком оказывается самый продвинутый фильтр слов и других плюшек для фильтрации постов (например не принимать посты от новых аккаунтов, не принимать хеллтреды с кучей меншонов, и прочее) у админов есть. И ещё попроще фильтры кейвордов у юзеров.
⚛️Revertron :straight:

@skobkin Просто корпораты поняли истину - создание аккаунта не должно быть бесплатным.
Либо подтверди свой акк симкой, либо деньгами, либо ещё как.

Но что делать в опенсорсных поделках? PoW-капчу требовать?

Alexey Skobkin

@Revertron
Кстати, есть капчи, которые Monero майнят, например.

Только они нормальных людей срежут напрочь - никто не будет ждать.

⚛️Revertron :straight:

@skobkin Кстати, если бы был удобный способ подключить какой-нибудь Патреон и сделать платной регистрацию, то ботам было бы дорого регать каждые 5 минут новый акк.

А админам были бы деньги на расширение и поддержку инфраструктуры.

Alexey Skobkin

@Revertron
И пизда бы этому нашему мастодону бы пришла. Схлопнулся бы он в своей элитарности.

⚛️Revertron :straight:

@skobkin А может и нет. Пришли бы больше те, у кого есть 2 бакса на пожизненный аккаунт.

Отсекло бы кучу отморозков тоже.

Alexey Skobkin

@Revertron
Не, с предложениями элитарных сообществ - не ко мне, пожалуйста.

Я скорее соглашусь с идеей, что такое очень близко к базовым правам человека.

⚛️Revertron :straight:

@skobkin Так а как тогда быть? Использовать PoW, сложные капчи или ручное подтверждение аккаунтов?

Michael [Кошак] Skolsky (R1BLH)
@⚛️Revertron :straight:

> Кстати, если бы был удобный способ подключить какой-нибудь Патреон и сделать платной регистрацию, то ботам было бы дорого регать каждые 5 минут новый акк.



На хабзилле, ЕМНИП, есть такая фича.
Inari Uveh 🍄

@Revertron
Раньше ОК и ВК были равноценными конкурентами. Но ОК сделали платную регу за условные 50р... вот что из этого вышло. Отрицательный отбор произошол.

С другой стороны коль берёшь деньги, то тогда так же понабиться какой-то институт арбитража в решении споров. Защита данных аккаунта для бесшовного переезда пользователю, если сервер вдруг крякнется или его попросят на выход как нежелательного, а не просто баном по башке без объяснения причин.

@skobkin

@Revertron
Раньше ОК и ВК были равноценными конкурентами. Но ОК сделали платную регу за условные 50р... вот что из этого вышло. Отрицательный отбор произошол.

С другой стороны коль берёшь деньги, то тогда так же понабиться какой-то институт арбитража в решении споров. Защита данных аккаунта для бесшовного переезда пользователю, если сервер вдруг крякнется или его попросят на выход как нежелательного, а не просто баном по башке без объяснения причин.

⚛️Revertron :straight:

@inari Отрицательный отбор случился там на много лет раньше ввода оплаты.

@skobkin

Dr. Quadragon ❌

@skobkin Я давно уже говорил, что пора наконец выучить уроки прошлого, и ввести хотя бы серые списки, которые в почте очень хорошо порезали долю спама и прочих нежелательных явлений.

Alexey Skobkin

@drq
Да, возможно. Хотя идея тоже достаточно неприятная на самом-то деле.

Мы знаем, что благодаря таким разным спискам иметь почту на своём домене может быть не так просто как кажется.

Ну, точнее, иметь её просто, а вот чтобы она работала как ожидается - это уже другое.

Мне КАЖЕТСЯ, что можно посмотреть в это направление с поправкой на то, что списки должны быть федерированными, а не цетрализованными вроде спамхаусов. А ещё в сторону машинного обучения, которое всё дешевеет и проприетарными сетями ДАВНО используется.

Например, в чате Радио-Т работает антиспам, который сделан на коленке поверх GPT-4 по-моему.

Можно было бы подумать о том чтобы делать подобные решения с более целевой тренировкой на базе каких-нибудь llama/alpaca, etc. И подумать как их недорого дообучать на новых данных и делиться этим с другими.

@drq
Да, возможно. Хотя идея тоже достаточно неприятная на самом-то деле.

Мы знаем, что благодаря таким разным спискам иметь почту на своём домене может быть не так просто как кажется.

Ну, точнее, иметь её просто, а вот чтобы она работала как ожидается - это уже другое.

Мне КАЖЕТСЯ, что можно посмотреть в это направление с поправкой на то, что списки должны быть федерированными, а не цетрализованными вроде спамхаусов. А ещё в сторону машинного обучения, которое всё дешевеет и проприетарными сетями...

Dr. Quadragon ❌

@skobkin Механизм серых списков - он и так децентрализованный, если что. И это не черный список, и не белый. Это список "я этого хера с горы* впервые вижу и еще не понимаю, доверять ему или нет".

* сервер, в смысле

Alexey Skobkin

@drq
Я про то, что нам тут стоит пользоваться нашей федерацией и делиться знаниями между серверами. Не "импортируем все список от Олифанта или Федигардена", а распространять правила горизонтально - вероятнее всего, с голосованием и возможностью локально настраивать чьи голоса нам важны, а чьи лучше игнорировать.

Ну мы это уже в паре тредов обсуждали, да.

Dr. Quadragon ❌

@skobkin Я считаю, нужен комплексный подход. Метод, предлагаемый тобой тоже имеет право иметь место быть.

Беда в том, что проблема спама (как и любая, на самом деле, проблема модерации, раз уж на то пошло) - не решаема аналитическими методами. Это всегда битва брони и снаряда, гонка вооружений, уравнение без корней. И некоторые думают, что это повод не решать ее в принципе.

Alexey Skobkin

@drq
Ну, я-то так не думаю. Я как раз думаю в том числе про ML.

top.ofthe.top

> > ввести хотя бы серые списки, которые в почте очень хорошо порезали долю спама

Если речь о механизме типа greylisting, то это убогое говно удел в основном мелких серверов. Кстати, Яндекс его тоже использует при получении писем с серверов, не внесённых в белые списки, чем меня сильно удивил (впрочем, он всегда был колхозным).

Проблема грейлистинга в том что он задерживает доставку, что в современном мире никуда не годится. Я может уведомление срочно жду от какого-то сервиса, а оно там в грейлистинге застряло, сиди жди теперь когда сервер отправителя его заново переотправит. Дичь.

И кстати, грейлистинг беспоезная защита. Изначально её идея была в том чтобы отбросить сообщения, присылаемые какими-то скриатами, а не почтовыми серверами, типа скрипт в отличие от полноценного сервера, не хранит очередь сообщений и повторно отправлять не будет в случае "временных" ошибок. Ну типа greylist фильтр отвечает "произошла временная ошибка, повторите позже", если сообщение позже отправили ещё раз, значит норм. Но этот метод рассылки спама много лет уже не актуален, весь спам шлётся с полноценных серверов, взломанных или серверов однодневок.

А так пробшема спама сейчас сильно преувеличена, почтовый спам успешно фильтруется большей частью благодаря SPF и DKIM. Какие-то единичные сообщения прилетают со свежих или свежевзломанных доменов, где SPF и DKIM валидные, но этого не много, ну с десяток сообщений в неделю бывает, терпимо. Просто сейчас почему-то все стали кричать "СПАМ СПАМ КАРАУЛ" на каждое редкое сообщение. Ну спам и спам, никто не умер. В случае почты не в протоколах проблема, а в UI почтовых клиентов. Можно ведь было просто добавить автоматические группы где можно было бы посмотреть письма только от пользователей из контакт листа или переписку с теми, с кем уже общался, нормальную группировку по дискуссиям и т.п.

А так спам вон и в ТГ мне бывает прилетает, т.к. я разрешил приём сообщений от пользователей, не добавленных в контакты.

От антиспама вот проблем гораздо больше. Gmail последнее время стал некоторые письма фильтровать так что они даже и в папку "спам" не попадают, тупо дропают и всё.

> > ввести хотя бы серые списки, которые в почте очень хорошо порезали долю спама

Если речь о механизме типа greylisting, то это убогое говно удел в основном мелких серверов. Кстати, Яндекс его тоже использует при получении писем с серверов, не внесённых в белые списки, чем меня сильно удивил (впрочем, он всегда был колхозным).

Michael [Кошак] Skolsky (R1BLH)
@Alexey Skobkin с шансами я -- неуловимый джо. Но вот спаммеры на хабзиллу пока не зарятся. Ни в ленте, ни в личке.
Michael [Кошак] Skolsky (R1BLH)
@Alexey Skobkin оффтоп.
к вопросу о капчах:
Как с подобным бороться?

> Google reCAPTCHA v3 thinks that you are a bot, you can't access this feature.


Независимо от броузера (комп/ос/броузер или мобильник), точки выхода в инет.
Ténno Seremélʹ

@skobkin К вопросу о жабирах, 404.city, кажется, считает сообщения от всех, кто не в контакт-листе, спамом.

Alexey Skobkin

@tennoseremel
Ну лол, ну что я могу сказать.

Достаточно типичный хикки-дизайн 😄

Ténno Seremélʹ

@skobkin Дёшево и сердито… 😅

ZD915

@skobkin в мастодонте очень много чего нет. И защиты от спама, и защиты от ЦП, и возможности прикрутить аналитику, и переводов сообщений на выбранный язык "из коробки", и многого другого.

тёплый ветер тихо воет :wave1:

@skobkin история антиспама в мастодоне:

разрабов шесть лет пинали сделать капчу на регистрации, а появилась она только "как временная мера" когда начали доставать конкретно юзеров mastodon.social

github.com/mastodon/mastodon/i

история закончена. всё ещё ждём:

серые списки github.com/mastodon/mastodon/i
отключение комментов github.com/mastodon/mastodon/i
спамфильтр github.com/mastodon/mastodon/i
блок по IP и юзерагентам github.com/mastodon/mastodon/i
закрытие репортов скопом github.com/mastodon/mastodon/i
и так далее

@skobkin история антиспама в мастодоне:

разрабов шесть лет пинали сделать капчу на регистрации, а появилась она только "как временная мера" когда начали доставать конкретно юзеров mastodon.social

github.com/mastodon/mastodon/i

история закончена. всё ещё ждём:

серые списки github.com/mastodon/mastodon/i
отключение комментов github.com/mastodon/mastodon/i
спамфильтр github.com/mastodon/mastodon/i
блок по IP и юзерагентам

Sandro

@oreolek в Misskey капча, кстати, давно есть. Видимо они раньше хлебнули)

@skobkin

⚛️Revertron :straight:

@san @oreolek @skobkin А кто-нибудь видит как включить каптчу в Мастодоне?
Заявляют, что она добавлена в прошлом году, но нигде нет даже упоминания, даже в доках.

ZD915

@oreolek @skobkin блок по айпи самый нужный. И его в релизе нет. Чудеса.

⚛️Revertron :straight:

@zd915 В доках только пишут как банить с помощью ipset.

@oreolek @skobkin

Sandro

@zd915 ты не про это? https://ДОМЕН_ТВОЕГО_ИНСТАНСА/admin/ip_blocks/new

@oreolek @skobkin

Лафиэль Элентари

@san @zd915 @oreolek @skobkin
В mastodon есть поддержка блокировки по IP адресам:
tootctl ip_blocks help

MaxSMaker

@skobkin С одной стороны, отрицание проблемы - не лучший подход к ее решению.

А с другой - какие есть варианты для действительно децентрализованных (и анонимных) сетей?

Только централизация вокруг нескольких крупных сетей, отказ от анонимности, да введение глобальных черных и белых списков.

Простейший пример - электронная почта. Проблема спама более-менее решена (причем скорее более, чем менее). Но и цена этого решения, на мой взгляд, очень высока.

Go Up