pointers are complicated: clarify that this post is not about exploring the trade-off
[web.git] / ralf / _posts / 2018-06-10-mailman-subscription-spam-continued.md
1 ---
2 title: "Fighting Mailman Subscription Spam: Leveling Up"
3 categories: sysadmin
4 ---
5
6 Last week, I blogged about [my efforts to fight mailman subscription spam]({{
7 site.baseurl }}{% post_url 2018-06-02-mailman-subscription-spam %}).  Enabling
8 `SUBSCRIBE_FORM_SECRET` as described there indeed helped to drastically reduce
9 the amount of subscription spam from more than 1000 to less than 10 mails sent
10 per day, but some attackers still got through.  My guess is that those machines
11 were just so slow that they managed to wait the required five seconds before
12 submitting the form.
13
14 So, clearly I had to level up my game.  I decided to pull through on my plan to
15 write a simple CAPTCHA for mailman (that doesn't expose your users to Google).
16 This post describes how to configure and install that CAPTCHA.
17
18 <!-- MORE -->
19
20 ### CAPTCHA configuration
21
22 This simple CAPTCHA is based on a list of questions and matching answers that
23 you, the site admin, define.  The idea is to use questions that anyone who is
24 interested in your site can easily answer.  Since most sites are small enough
25 that they are not to be targeted specifically, the bots (hopefully) will not be
26 able to answer these questions.  At least for my sites, that has worked so far
27 (I am running with this patch for a week now).
28
29 The CAPTCHA requires `SUBSCRIBE_FORM_SECRET` to be enabled.  Configuration can
30 look something like this:
31 ```
32 SUBSCRIBE_FORM_SECRET = "<some random string, generated e.g. by [openssl rand -base64 18]>"
33 CAPTCHAS = [
34     # This is a list of questions, each paired with a list of answers.
35     ('What is two times six?', ['12', 'twelve']),
36     ('What is the name of this site's blog', ['Ralf's Ramblings']),
37 ]
38 ```
39
40 ### CAPTCHA patch
41
42 Right now, the `CAPTCHAS` part of the configuration will not yet do anything
43 because you still have to install my patch.  The patch is losely based on
44 [this blog post](https://warmcat.com/2017/08/12/mailman-captcha.html) and was
45 written against Mailman 2.1.23 on Debian 9 "Stretch".  If you are using a
46 different version you may have to adapt it accordingly.
47
48 First of all, create a new file `/usr/lib/mailman/Mailman/Captcha.py` with the
49 following content:
50 ```
51 import random
52 from Mailman import Utils
53
54 def display(mlist, captchas):
55     """Returns a CAPTCHA question, the HTML for the answer box, and
56     the data to be put into the CSRF token"""
57     idx = random.randrange(len(captchas))
58     question = captchas[idx][0]
59     box_html = mlist.FormatBox('captcha_answer', size=30)
60     return (Utils.websafe(question), box_html, str(idx))
61
62 def verify(idx, given_answer, captchas):
63     try:
64         idx = int(idx)
65     except ValueError:
66         return False
67     if not idx in range(len(captchas)):
68         return False
69     # Chec the given answer
70     correct_answers = captchas[idx][1]
71     given_answer = given_answer.strip().lower()
72     return given_answer in map(lambda x: x.strip().lower(), correct_answers)
73 ```
74 This contains the actual CAPTCHA logic.  Now it needs to be wired up with the
75 listinfo page (where the subscription form is shown to the user) and the
76 subscription page (where the subscription form is submitted to).
77
78 Here is the patch for `/usr/lib/mailman/Mailman/Cgi/listinfo.py`:
79 ```
80 --- listinfo.py.orig    2018-06-03 19:18:30.089902948 +0200
81 +++ listinfo.py 2018-06-10 19:12:59.381910750 +0200
82 @@ -26,6 +26,7 @@
83  
84  from Mailman import mm_cfg
85  from Mailman import Utils
86 +from Mailman import Captcha
87  from Mailman import MailList
88  from Mailman import Errors
89  from Mailman import i18n
90 @@ -216,10 +220,16 @@
91              #        drop one : resulting in an invalid format, but it's only
92              #        for our hash so it doesn't matter.
93              remote = remote.rsplit(':', 1)[0]
94 +        # get CAPTCHA data
95 +        (captcha_question, captcha_box, captcha_idx) = Captcha.display(mlist, mm_cfg.CAPTCHAS)
96 +        replacements['<mm-captcha-question>'] = captcha_question
97 +        replacements['<mm-captcha-box>'] = captcha_box
98 +        # fill form
99          replacements['<mm-subscribe-form-start>'] += (
100 -                '<input type="hidden" name="sub_form_token" value="%s:%s">\n'
101 -                % (now, Utils.sha_new(mm_cfg.SUBSCRIBE_FORM_SECRET +
102 +                '<input type="hidden" name="sub_form_token" value="%s:%s:%s">\n'
103 +                % (now, captcha_idx, Utils.sha_new(mm_cfg.SUBSCRIBE_FORM_SECRET +
104                            now +
105 +                          captcha_idx +
106                            mlist.internal_name() +
107                            remote
108                            ).hexdigest()
109 ```
110 And here the patch for `/usr/lib/mailman/Mailman/Cgi/subscribe.py`:
111 ```
112 --- subscribe.py.orig   2018-06-03 19:18:35.761813517 +0200
113 +++ subscribe.py        2018-06-03 20:35:00.056454989 +0200
114 @@ -25,6 +25,7 @@
115  
116  from Mailman import mm_cfg
117  from Mailman import Utils
118 +from Mailman import Captcha
119  from Mailman import MailList
120  from Mailman import Errors
121  from Mailman import i18n
122 @@ -144,13 +147,14 @@
123              #        for our hash so it doesn't matter.
124              remote1 = remote.rsplit(':', 1)[0]
125          try:
126 -            ftime, fhash = cgidata.getvalue('sub_form_token', '').split(':')
127 +            ftime, fcaptcha_idx, fhash = cgidata.getvalue('sub_form_token', '').split(':')
128              then = int(ftime)
129          except ValueError:
130 -            ftime = fhash = ''
131 +            ftime = fcaptcha_idx = fhash = ''
132              then = 0
133          token = Utils.sha_new(mm_cfg.SUBSCRIBE_FORM_SECRET +
134                                ftime +
135 +                              fcaptcha_idx +
136                                mlist.internal_name() +
137                                remote1).hexdigest()
138          if ftime and now - then > mm_cfg.FORM_LIFETIME:
139 @@ -165,6 +169,10 @@
140              results.append(
141      _('There was no hidden token in your submission or it was corrupted.'))
142              results.append(_('You must GET the form before submitting it.'))
143 +        # Check captcha
144 +        captcha_answer = cgidata.getvalue('captcha_answer', '')
145 +        if not Captcha.verify(fcaptcha_idx, captcha_answer, mm_cfg.CAPTCHAS):
146 +            results.append(_('This was not the right answer to the CAPTCHA question.'))
147      # Was an attempt made to subscribe the list to itself?
148      if email == mlist.GetListEmail():
149          syslog('mischief', 'Attempt to self subscribe %s: %s', email, remote)
150 ```
151
152 Finally, the HTML template for the listinfo page needs to be updated to show the CAPTCHA question and answer box.
153 On Debian, the templates for enabled languages are located in `/etc/mailman/<lang>`.
154 The patch for the English template looks as follows:
155 ```
156 --- /usr/share/mailman/en/listinfo.html 2018-02-08 07:54:28.000000000 +0100
157 +++ listinfo.html       2018-06-03 20:35:10.680275026 +0200
158 @@ -116,6 +116,12 @@
159        </tr>
160        <mm-digest-question-end>
161        <tr>
162 +        <TD BGCOLOR="#dddddd">Please answer the following question to prove that you are not a bot:
163 +          <mm-captcha-question>
164 +        </TD>
165 +        <TD><mm-captcha-box></TD>
166 +      </tr>
167 +      <tr>
168         <td colspan="3">
169           <center><MM-Subscribe-Button></center>
170      </td>
171 ```
172
173 If you have other languages enabled, you have to translate this patch
174 accordingly.
175
176 That's it!  Now bots have to be adapted to your specific questions to be able to
177 successfully subscribe someone.  It is still a good idea to monitor the logs
178 (`/var/log/mailman/subscribe` on Debian) to see if any illegitimate requests
179 still make it through, but unless you site is really big I'd be rather surprised
180 to see bots being able to answer site-specific questions.
181
182 **Update:** With Mailman 2.1.30, this patch is now included upstream.
183 The `CAPTCHAS` format is slightly different than above to support multiple languages; consult the Mailman documentation for further details. **/Update**