Ce qui entre dans une liste, et comment elle en sort.

Les entrées sortent toutes seules : personne n'a à penser à retirer une vieille adresse. Une adresse qui revient n'est listée de nouveau qu'après une nouvelle observation.

Chaque liste a aussi une version -high plus stricte, avec moins d'entrées. Par défaut, elle exige au moins 10 capteurs, des observations sur trois jours différents, et une vérification auprès d'une source externe de réputation.

Formats

• Texte brut, une adresse par ligne, aussi en fichiers IPv4 et IPv6 séparés.
• Scripts nftables, ipset et MikroTik RouterOS.
• CSV et JSON avec les dates : première observation, dernière observation et expiration.
• Paquets STIX 2.1 pour les listes sortantes.
• Les listes de domaines sont proposées en texte, CSV et JSON uniquement.

Signé avec minisign

Chaque fichier a une signature .minisig à côté, créée avec des clés Ed25519. La clé du flux est distincte de celle qui signe les messages du réseau, donc une fuite de l'une ne peut pas forger l'autre. La clé publique se trouve dans le README.txt à côté des listes. Pour vérifier un fichier :

minisign -Vm inbound.txt -P <public key>

Un pare-feu qui charge l'URL brute ne vérifie pas les signatures. Utilise un miroir vérifié, ou vérifie toi-même le fichier au préalable.

Une aide défensive, pas un verdict

Une inscription sur liste est une observation factuelle, pas une accusation contre la personne qui détient l'adresse. Beaucoup d'appareils listés sont eux-mêmes compromis, par exemple un routeur ou un NAS que quelqu'un d'autre contrôle. Ce que tu bloques sur ton propre réseau relève de ton choix.

Les règles

Ce sont des valeurs par défaut. Le hub peut les changer, et les valeurs en vigueur se trouvent sur suckerpot-hub.selfhostr.io/v1/info.

• Au moins cinq capteurs ont vu l'adresse. Chacun a été inscrit il y a au moins 14 jours et a fait un rapport sur au moins 7 des 14 derniers jours.
• Les observations datent d'au moins deux jours différents, ou viennent d'au moins dix capteurs.
• Une même semaine d'inscription ne peut pas fournir plus de la moitié des preuves, donc des capteurs inscrits ensemble ne peuvent pas lister une adresse seuls.
• Si aucune source externe de réputation ne connaît une adresse, il faut dix capteurs au lieu de cinq. C'est l'opérateur qui définit ces sources.
• Un scan ou une simple connexion ne liste jamais une adresse. Une entrée entrante exige une connexion, une commande, un téléchargement, une tentative d'exploit, ou de nombreuses devinettes de mot de passe.
• Un hôte de malware exige un fichier téléchargé qui correspond à une famille de malwares connue, ou qui est un programme ou un script exécutable, vu par au moins deux capteurs. Une URL dans une commande ne suffit pas.
• Un serveur de commande exige une forte confiance du réseau, et au moins deux échantillons de malwares différents, venant d'au moins deux capteurs, qui le désignent.

Jamais listé

• Les relais de sortie Tor. Des milliers de personnes partagent chacun d'eux.
• Les grandes plages de CDN et de cloud en façade. Une seule adresse peut servir des milliers de sites.
• Les résolveurs DNS publics et les serveurs racine. Les bloquer casse des réseaux.
• Les noms d'hôte d'hébergement mutualisé et de logiciels en tant que service. Les bloquer casse le travail.
• Les adresses privées et réservées, comme ton propre réseau local.
• Les scanners de recherche, qui se déclarent comme tels.
• Les adresses de la liste d'autorisation, par exemple après une demande de retrait acceptée.

Les serveurs cloud ordinaires ne sont pas exclus, car les malwares y vivent souvent. Une expiration courte et un retrait dès que la cible est hors ligne limitent le mal quand une adresse est réattribuée. Le nombre d'adresses exclues est public ; les adresses elles-mêmes ne le sont pas.

Frein d'urgence

Si une seule mise à jour ajoutait ou retirait plus de la moitié d'une liste, et si au moins 200 entrées changeaient, rien n'est publié. Les fichiers précédents restent en ligne jusqu'à ce qu'un opérateur vérifie le changement. Cela empêche un lot défectueux ou un bogue de modifier pendant la nuit ce que ton pare-feu bloque.

Une nouvelle entrée attend six heures après sa confirmation avant d'apparaître. Les listes sont reconstruites une fois par heure.

• Aucune adresse IP de membre. Les listes contiennent les adresses des attaquants, pas celles des capteurs.
• Aucun nom de membre, pseudonyme, identifiant de nœud ni empreinte.
• Pas d'heure exacte d'une observation, seulement le jour.
• Aucune URL, aucun échantillon de malware ni texte libre dans les listes.
• Aucun journal de qui télécharge une liste. Le site du flux ne tient aucun journal d'accès.
• Aucun cookie, aucun outil d'analyse et aucune requête tierce sur le site du flux.
• Aucun compte et aucun jeton.

Comment demander

1. Ouvre le formulaire de demande à https://suckerpot-feeds.selfhostr.io/v1/delist.html.
2. Saisis l'adresse ou le nom d'hôte, choisis un motif, et ajoute des détails si tu veux (texte brut, 2 000 caractères au maximum).
3. Le formulaire résout d'abord un défi de preuve de travail, qui prend environ une seconde. Cela remplace une connexion et limite les vagues de requêtes.
4. Tu reçois un numéro de demande et un code de statut. Le code n'est affiché qu'une fois : garde-le pour vérifier le statut plus tard sur la même page.

Motifs que tu peux donner

• J'exploite cette adresse et elle n'attaquait personne.
• C'est une infrastructure partagée, comme un CDN, un proxy ou un résolveur.
• Le problème est corrigé ou nettoyé.
• L'adresse appartient maintenant à quelqu'un d'autre.
• Autre chose. Explique-le dans les détails.

Vérifier une valeur

Tu peux vérifier n'importe quelle adresse ou nom d'hôte sans envoyer de requête, avec la case de recherche de la page de demande ou l'appel ci-dessous. La réponse nomme chaque liste qui contient la valeur, avec ses dates. La recherche est limitée en débit.

GET https://suckerpot-feeds.selfhostr.io/v1/lookup?value=192.0.2.10

La suite

• Nous visons à traiter chaque demande dans les 72 heures.
• Une entrée entrante est masquée tant que sa demande est ouverte.
• Une entrée sortante reste listée jusqu'à ce qu'une personne ait examiné la demande. Ces entrées protègent le plus, donc nous ne les retirons pas sur simple affirmation.

Tes données dans une demande

• Le formulaire ne stocke pas ton adresse IP.
• Les détails et ton adresse de contact ne servent qu'à répondre, et sont supprimés 30 jours après la décision.
• Si une demande est encore ouverte après 180 jours, ses détails et son adresse de contact sont alors supprimés. L'enregistrement de la demande lui-même est supprimé 180 jours après son dépôt.

• Seules les entrées confirmées sont signalées, jamais un scan ni une simple connexion.
• Par défaut, un opérateur relit chaque signalement avant son envoi.
• Les signalements vont au contact d'abus du propriétaire du réseau, trouvé dans les données publiques du registre (RDAP).
• Un signalement ne contient que des faits : jours, services, comptes par tranches, et nombre de capteurs ayant vu l'attaque. Il ne nomme jamais un membre.
• Les signalements passent par un VPN. Un contrôle d'identité refuse tout texte qui nomme le projet ou son opérateur.
• Un signalement par cible et par destinataire. La même cible n'est pas signalée de nouveau dans les 30 jours.

abuse.ch

Les hôtes de malwares et serveurs de commande confirmés peuvent aussi aller à abuse.ch, où URLhaus et ThreatFox les listent pour tout le monde. C'est facultatif et désactivé par défaut. Aujourd'hui, une personne relit chaque envoi, et les serveurs de commande ne sont envoyés qu'après approbation d'un opérateur. L'historique d'un envoi terminé est conservé 365 jours.