مرحبا!في المنشورات السابقة ، تحدثنا عن قدرات النظام في مكافحة البريد العشوائي. اليوم أريد أن أتطرق إلى القضايا الأمنية ، وكذلك التحدث عن الجديد في النظام على مدار الماضي.سأتذكر بإيجاز كيف يعمل هذا. لا يتم توفير مستخدم مورد البريد فقط لعنوان بريدي ، على سبيل المثال ، user@site.ru ، ولكن أيضًا بعض مساحة العنوان ، والتي يمكنك من خلالها إنشاء أي عناوين دعوتها ديناميكية.
في المثال الموضح في الشكل ، يمكن تغيير العنوان الديناميكي الحالي 1.user@site.ru إلى أي عنوان آخر في أي وقت. يقبل هذا العنوان الرسائل الواردة من الجميع ، بما في ذلك من خلال نموذج الملاحظات (FOS).المزيد عن النظامعند استخدام النظام ، يحصل المستخدم على حرية التصرف:- فتح / إغلاق عنوان user@site.ru الرئيسي للاستقبال ؛
- فتح / إغلاق FOS في الاستقبال ، وضبط تعقيد اختبار CAPTCHA ؛
- , , 1.user@site.ru abc.user@site.ru, .. « » « » , « »;
- « » , « », « ».
-, .. , .
habr.com/ru/post/317038/ habr.com/ru/post/347606/ تزوير
التقنيات الحديثة للاتصال الأول مع مستخدم غير معروف ليست مثالية. أقترح الآن عدم إثارة قضية الشبكات الاجتماعية والمراسلات الفورية ، والتي أعاد جزء معين من المستخدمين توجيهها لتنظيم تعليقات كاملة معهم على أمل التخلص من الرسائل غير المرغوب فيها والتصيّد الاحتيالي. كما أنهم يقومون بالرسائل غير المرغوب فيها هناك ... إلى حد معقول ، وإلا ، سيبدأ تدفق الجمهور من هذه الشبكات والمراسلين الفوريين. لن نتحدث أيضًا عن المهمة عند التسجيل فيها بالإشارة إلى الهاتف المحمول (في الواقع ، "الإنترنت وفقًا لجواز السفر") ، ونقل المعلومات الشخصية إلى أطراف ثالثة وإهانة في انتظار دعوة بعد أن طلبنا أن نكون أصدقاء مع شخص ما.لنتحدث عن البريد الإلكتروني الذي يمتلكه كل مستخدم. لذا ، إذا كتبنا إلى البريد الإلكتروني المقدم على الموقع في نموذج مفتوح ، فإننا نتفهم أن صندوق بريد المستلم غير مرغوب فيه ، ولا يوجد ضمان بقراءة رسالتنا. لا نعرف حتى على وجه اليقين أنه تم استلام الرسالة ، لأن قد تظهر في مجلد الرسائل غير المرغوب فيها ، أو يتم حذفها نهائيًا من خلال فلتر الرسائل غير المرغوب فيها.موارد الإنترنت التي تستخدم FOS ، تشير على الأقل إلى أنه تم استلام الرسالة المرسلة ، ولكننا نتفهم أيضًا أن احتمال وصول هذه الرسالة إلى البريد الوارد بعيد عن 100٪ ، لأن يتم إرساله بواسطة النموذج إلى صندوق بريد عادي ...يستخدم هذا العيب من قبل المحتالين والمؤديين المهملين والمديرين والمسؤولين والباحثين عن الأفكار والموردين. لديهم دائما فرصة "الاختباء" وراء مشكلة البريد المزعج.دراسة الحالة: , 3 , , , , . : « email». : « ». — « ». . - , , .
نظرًا لعدم وجود مجلد غير مرغوب فيه في نظام "البريد الإلكتروني الديناميكي" ، يمكن للمُرسِل التأكد من أن رسالته تقع في البريد الوارد للمستلم ، بالطبع ، إذا لم تكن هناك رسالة خطأ في التسليم. ويدرك المتلقي ذلك أيضًا ، ويصبح "صمته" أكثر بلاغة.رأيي الشخصي: ستظل مسألة تعيين الوضع القانوني للبريد الإلكتروني ، التي تمت مناقشتها لفترة طويلة ، مفتوحة طالما هناك مجلد بريد عشوائي في برامج البريد الإلكتروني للمستخدمين.منافسة غير عادلة
يجب أن يكون مالكو المواقع قد واجهوا عروض مشابهة:- ? . , . - . . email .
يمكن لأي شخص إرسال بريد إلكتروني غير مرغوب فيه (ستخبرك محركات البحث بكيفية ذلك). على الأرجح ، تم بالفعل تمييز هذا البريد الإلكتروني في مكان ما. سوف تساعدك موارد مثل hunter.io في معرفة ذلك. إذا لم يكن "مضاءًا" ، يمكن إصلاح ذلك بسهولة عن طريق إرسال عرض إلى الموقع من خلال FOS "لا يمكن رفضه" أو طلب مثل "هل هناك نفس الشيء ولكن مع أزرار لؤلؤة؟". إن الإجابة على مثل هذه المكالمة أم لا هو سؤال كبير. يفضل المستخدمون ذوو الخبرة عدم الاستجابة ، وهم يدركون جيدًا مدى الخسائر المادية والسمعة المحتملة. إنهم يفهمون أنه بمجرد أن يتحول عنوان البريد الإلكتروني المصدق إلى "قنبلة موقوتة" طوال فترة وجوده. هناك تناقض: امنح جهات الاتصال الخاصة بك أي شخص ليكون على اتصال ، ولكن أخفيها عن الجميع لتجنب الرسائل غير المرغوب فيها.يمكن أن يتعامل البريد الإلكتروني الديناميكي بسهولة مع هذه المشكلة. للحفاظ على السمعة ، يكفي الرد على رسالة تم تلقيها من خلال FSF من عنوان غير موجود ، على سبيل المثال ، من العنوان do_not_reply_to.user@site.ru ، كما لو لمح إلى أن الموضوع غير مثير للاهتمام. إذا كان الموضوع مثيرًا للاهتمام ، فيجب عليك الرد من عنوان ديناميكي ، دون ترك المهاجم حتى فرصة لمعرفة "البريد الإلكتروني الرئيسي للمؤسسة".التصيد
من مقابلة مع رئيس مجموعة IB ، Ilya Sachkov ، إلى مؤسسة Roscongress (PRIME):من وجهة نظر أخطر المشاكل التي قد يتلقاها المستخدم ، لا يزال البريد الإلكتروني هو الوسيلة الرئيسية لتسليم الشفرة الضارة أو رسائل البريد الإلكتروني المخادعة.
أرى أن عبارة الخبير المحترم هي اعتراف باستحالة حل المشكلة بالوسائل المتاحة. في رأيي ، لا يمكن حل المشكلة إذا كان المهاجم يعرف عنوان البريد الإلكتروني. إذا كانوا يعرفون مكان الباب ، فسوف يحاولون فتحه. هناك الكثير من الامثلة على هذا. هذا صراع لا نهاية له بين الفكر والتقنيات الاصطناعية والبشرية. لسوء الحظ ، سيكون المهاجمون دائمًا متقدمين بخطوة واحدة. بينما يناقش المجتمع عبر الإنترنت شيئًا جديدًا ، يتمكن المهاجمون من العثور على ثغرات. الموضوع خطير. قرأت مؤخراً في الأخبار عن حبري :يتم حظر أكثر من 100 مليون بريد إلكتروني تصيد يوميًا في Gmail
تتفاقم مشكلة التصيد الاحتيالي للمستخدم من خلال تدفق مجنون من المعلومات الواردة ، والتي لا يكون لدى دماغ الإنسان وقتًا للتعامل معها. كما لاحظ د. كورباتوف في إفطار عمل في دافوس ، يستغرق الدماغ حوالي 23 دقيقة للتحول من وضع إدراك المعلومات إلى وضع معالجتها.بمعنى آخر ، إذا تلقى شخص عادي في 21 ساعة 21 رسالة واردة بفاصل زمني 23 دقيقة ، فلن يتمكن من معالجة وتنظيم هذه المعلومات.يصبح التفكير نمطيًا أو نمطيًا أو خاملًا
في مثل هذه اللحظات ، قد يرتكب المستخدم خطأ دون أن يلاحظ ، على سبيل المثال ، اختلاف حرف واحد في عنوان المرسل. يمكن للمستخدم ، بريد إلكتروني ديناميكي - لا ، ناهيك عن حقيقة أنه ليس من الضروري أن يتلقى المستخدم رسائل بريد إلكتروني غير مهمة بفاصل زمني يبلغ 23 دقيقة. لكي يحدث الهجوم ، تحتاج إلى معرفة مراسلات عناوين المرسل والمستلم ، والأفضل من ذلك ، الوصول إلى صندوق بريد المرسل.نكتة. . . :
– ?
– , !
– ?
– .
– , , !
– , … ( )
– , , , .
– , !
– , ?
رش كلمات المرور والقوة الغاشمة
ضعف البريد الإلكتروني الذي لا جدال فيه (وليس فقط) هو مصادفة البريد الإلكتروني مع تسجيل الدخول. مشكلة أخرى - يقترح أي خادم بريد إمكانية الاتصال عبر بروتوكول POP3 ، الذي يوفر أمرين فقط للتفويض USER و PASS ، أي تسجيل الدخول وكلمة المرور. ليس هناك شك في أي تفويض من عاملين. إذا كان المهاجم يعرف البريد الإلكتروني لشخص ما ، فسيكون لديه تلقائيًا معلومات حول خادم البريد وتسجيل الدخول. التالي هو مسألة تقنية.بالنسبة للحالات المهمة ، يمكنك تطبيق تفويض خاص على مورد البريد ونسيان مخاطر مثل تعثر كلمات المرور والقوة الوحشية. كما أنه سيعقد هجمات MITM.مثال: user@site.ru - العنوان الأساسي ، 1.user@site.ru- ديناميكي ، my_pin.user@site.ru - للحصول على إذن. ونتيجة لذلك ، نحصل على نوع من التفويض بعاملين وآلية تحذير إضافية حول محاولات القرصنة. من الصعب للغاية الحصول على صندوق بريد بهذه الحماية ، على الرغم من إمكانية استخدام كلمات مرور أبسط.بالنسبة للحالات الحرجة ، يمكنك حتى استخدام التفويض الديناميكي ، والعمل على مبدأ إنذار السيارة مع التعليقات ، أي تسجيل دخول جديد لكل جلسة اتصال لاحقة مع تغيير كلمة المرور. ما ليس خيار عمل؟ إذا تم تشخيص إصابة المريض بهوس الاضطهاد ، فهذا لا يعني أنه لا يتم ملاحقته.النشرات الإخبارية
الرسائل الإخبارية خطيرة لأن رسائلهم تحتوي على العديد من الروابط إلى الموارد ، بالإضافة إلى إمكانية شن هجوم نيابة عن علامة تجارية ، على سبيل المثال ، منظمة الصحة العالمية. اليوم ، يدرك الكثير من الناس أن النقر بلا تفكير على الروابط في الرسالة المستلمة أمر خطير ، ولكن لا يدرك الجميع أن الرابط "إلغاء الاشتراك في النشرة الإخبارية" لا يقل خطورة. في الواقع ، هذا هو نفس التصيد الاحتيالي مع بعض الميزات: لا يتم دعوة المستخدم لاتخاذ أي إجراء ، فهو غاضب من الرسالة المستلمة بشكل غير عادل ، مسترخياً من إمكانية تصحيح الوضع (بالنقر على الرابط). نتيجة إلغاء الاشتراك لا يمكن التنبؤ بها. يمكن توجيه المستخدمين إلى موقع النسخ. يبقى دون حماية من سرقة أو بيع البيانات الشخصية. من المستحيل عمليا تحديد مصدر التسرب ومعاقبة "الجاني". حزينيعمل البريد الإلكتروني الديناميكي على تصحيح الموقف هنا: لا تحتاج إلى النقر فوق الارتباطات ، ويتم حساب الجاني للتسرب من خلال مراسلات عناوين المرسل-المستلم ، ولا يهم تسرب البيانات الشخصية نفسها. من الجميل أن من السهل معاقبة مرتكب التسرب عن طريق تحويل بريدك الإلكتروني في قاعدة البيانات الخاصة به إلى مهملات رقمية بنقرة بسيطة على زر.التعدين الزائف
هناك الكثير من المعلومات حول هذا الموضوع ، على سبيل المثال: تسونامي من "التعدين" الكاذب: ما هو معروف وكيف نعيش الآن .اقتباس مثير للاهتمام من هذا المنشور:في الآونة الأخيرة ، بدأت ملاحظة غريبة تظهر في رسائل المشاغبين - "تذكر القانون الجنائي للاتحاد الروسي 205.6. عدم الإبلاغ عن جريمة ". مثل هذه المادة من القانون الجنائي موجودة وتواجه غرامة تصل إلى مائة ألف روبل ، وكذلك السجن لمدة تصل إلى عام واحد
يكمن تفرد الموقف في حقيقة أن المهاجم يحقق النتيجة القصوى بأقل تكلفة وخطر الاكتشاف: أي محرك بحث سيساعدك على وضع قائمة للهجوم ، فقط اكتب "مدرسة" ، "مركز تسوق" ، "محكمة" ، إلخ ؛ على موقع أي منظمة تقريبًا ، يتم تقديم البريد الإلكتروني بنص واضح ؛ يخاطر عدد قليل من أدوات ضبط تصفية البريد العشوائي بإرسال رسائل حول التعدين إلى مجلد البريد العشوائي ، فمن الأسهل نقل المسؤولية إلى شخص آخر.لا يمكننا الحديث عن الخسائر المادية والنفسية من مثل هذه الهجمات. لحل المشكلة ، ما عليك سوى إخفاء البريد الإلكتروني للمؤسسة وإرسال المهاجم إلى FSF.يدرك المهاجم جيدًا أن إرسال الرسائل من خلال FSF يبسط إلى حد كبير عملية التحقيق في حالات الوصول الخاطئ. عملية حظر المكالمات إلى FOS ، والتي من المجهولين ، من أي عنوان IP ، أكثر حساسية بكثير من حظر الموارد مثل startmail.com و protonmail.com ، التي كانت تستخدم لإرسال رسائل حول التعدين. قام Mail.ru أيضًا بتنفيذ هجمات ، ولكن لسبب ما لم يتم حظر هذا المورد. لماذا لا تقوم وزارة التربية والتعليم بإدخال مثل هذا النظام بمركز واحد لتحليل المعلومات الواردة؟ تكلفة تنفيذه أقل بعشر مرات (إن لم يكن مئات) من الخسائر المالية من عمليات التعدين الزائفة في العام الماضي فقط.المتصيدون والكراهية
يمثل ممثلو النباتات والحيوانات صداعًا لكبار الشخصيات وأي شخصيات عامة. إن كونك ممتعًا ومثيرًا للاهتمام بنسبة 100٪ للجميع ليس أمرًا واقعيًا ، ولكن "يمكن للجميع الإساءة إلى فنان" ينظم مستخدم البريد الإلكتروني الديناميكي بشكل مستقل بشكل مستقل "انفتاحه" على العالم. للبقاء على اتصال للأصدقاء القدامى فقط لفترة غير محددة ، يكفي: أغلق FOS للاستقبال ، وأغلق العنوان الرئيسي للاستقبال وقم بتغيير العنوان الديناميكي. بعد هذا الإجراء ، يمكنك الصعود بأمان إلى منزلك والقيام بأعمال تجارية دون تشتيت انتباهك بكل أنواع "الأشياء الصغيرة". يقرر المستخدم العلامة المعلقة "على الباب" "لا تزعج!" أو "لا تستيقظ حتى الربيع!".الحرب السيبرانية
تم إعداد النظام للحرب السيبرانية ، أي الهجمات على الموارد أو الدولة ككل. في حالة وقوع هجوم على المسؤول أو خوارزمية موارد البريد ، يكفي إغلاق جميع العناوين الرئيسية للاستلام ، وربما ، مع تطور الموقف ، قم بتغيير العناوين الديناميكية للمستخدمين بشكل عشوائي ، وإخطارهم بذلك ، على سبيل المثال ، باستخدام الرسائل القصيرة. نظرًا لأنه تم حظر المهاجمين قبل تنزيل الرسائل على الخادم ، يبدو من غير المرجح أن تفرط في تحميل قنوات نقل البيانات وقدرات الأجهزة مع حركة المرور الواردة. في رأيي ، تجاوزت أنظمة تصفية البريد العشوائي الحديثة ذروة تطورها ، ويجب استبدالها بأنظمة حجب البريد العشوائي. سيصبح هذا الموضوع أكثر أهمية مع تطور 5G وانتشار إنترنت الأشياء. حسن القول المأثور: "الأقراص الصلبة ليست المطاط".علم البيئة
كيف بدونها! موضوع السلامة البيئية يثير الجميع. سأقدم فقط اثنين من الاقتباسات:- إحصائيات من تقرير ICF International و McAfee في أبريل 2009: يتم إرسال 62 تريليون رسالة "قمامة" سنويًا في العالم ، وتوليد الكهرباء (أكثر من 33 مليار كيلوواط / ساعة) ، والتي يتم إنفاقها على هذا ، ينتج عنها انبعاث أكثر من 17 مليون طن من ثاني أكسيد الكربون
- من تقرير بيئي فرنسي لعام 2011: بلغ مجموع الرسائل غير المرغوب فيها 73 تريليون رسالة ، أو 17،800 رسالة لكل مستخدم إنترنت سنويًا
لم أبحث عن معلومات أحدث ، وأعتقد أن الوضع اليوم لم يتحسن.من المستفيد
إذا كانت الخسائر من البريد العشوائي والتصيّد الاحتيالي في العالم تصل إلى عشرات المليارات من الدولارات ، فيجب ، وفقًا لقانون الحفظ ، أن يجني شخصًا المال من هذا. فكرت في هذا الموضوع وتوصلت إلى استنتاج مفاده أنه من الأسهل والأكثر صحة أن نقول لمن هو غير مرغوب فيه ، وبالتالي تجنب خطر القول "دورة حياة مع المسامير".الجواب: البريد الإلكتروني العشوائي غير مفيد للمستخدمين المحترمين
شكرآ لك على أهتمامك. أهنئ رجال الأعمال في يوم عطلة ، وحبر - عيد ميلاد سعيد!كما أشكر مقدما جميع القراء الأعزاء الذين سيجيبون على السؤال في نهاية المنشور.