Hallo!In früheren Veröffentlichungen haben wir über die Anti-Spam-Funktionen des Systems gesprochen. Heute möchte ich auf Sicherheitsprobleme eingehen und darüber sprechen, was in der Vergangenheit im System neu war.Ich werde mich kurz daran erinnern, wie das funktioniert. Dem Benutzer der E-Mail-Ressource wird nicht nur eine Postanschrift bereitgestellt, z. B. user@site.ru , sondern auch ein Adressraum, in dem Sie alle Adressen erstellen können, die ich als dynamisch bezeichnet habe.
In dem in der Abbildung gezeigten Beispiel kann die aktuelle dynamische Adresse 1.user@site.ru jederzeit in eine andere geändert werden. Diese Adresse akzeptiert Nachrichten von allen, auch über das Feedback-Formular (FOS).Ein bisschen mehr über das SystemBei Verwendung des Systems erhält der Benutzer Handlungsfreiheit:- Öffnen / Schließen der Hauptadresse user@site.ru für den Empfang;
- Öffnen / Schließen des FOS an der Rezeption, Anpassen der Komplexität des CAPTCHA;
- , , 1.user@site.ru abc.user@site.ru, .. « » « » , « »;
- « » , « », « ».
-, .. , .
habr.com/ru/post/317038/ habr.com/ru/post/347606/ Betrug
Moderne Techniken für den ersten Kontakt mit einem unbekannten Benutzer sind nicht perfekt. Ich schlage jetzt vor, das Thema soziale Netzwerke und Instant Messenger nicht anzusprechen, auf das sich ein bestimmter Teil der Benutzer neu ausgerichtet hat, um mit ihnen ein vollwertiges Feedback zu organisieren , in der Hoffnung, Spam und Phishing loszuwerden. Sie spammen dort auch ... in angemessenem Umfang, andernfalls beginnt der Abfluss des Publikums aus diesen Netzwerken und Instant Messenger. Wir werden auch nicht über die Suche sprechen, wenn wir uns in Bezug auf ein Mobiltelefon (in der Tat „Internet per Pass“) registrieren, persönliche Informationen an Dritte weitergeben und demütigend auf eine Einladung warten, nachdem wir darum gebeten haben, mit jemandem befreundet zu sein.Lassen Sie uns über die E-Mail sprechen, die jeder Benutzer hat. Wenn wir also in offener Form auf die auf der Website bereitgestellte E-Mail schreiben, verstehen wir, dass das Postfach des Empfängers Spam ist und es keine Garantie dafür gibt, dass unsere Nachricht gelesen wird. Wir wissen nicht einmal genau, ob die Nachricht empfangen wurde, weil Es kann im Spam-Ordner angezeigt oder vom Spam-Filter dauerhaft gelöscht werden.Internet-Ressourcen, die FOS verwenden, melden zumindest, dass die gesendete Nachricht empfangen wurde, aber wir verstehen auch, dass die Wahrscheinlichkeit, dass diese Nachricht in den Posteingang gelangt, bei weitem nicht 100% beträgt, weil Es wird vom Formular an eine normale Mailbox weitergeleitet ...Dieser Nachteil wird von Betrügern, fahrlässigen Darstellern, Managern und Beamten, Ideenjägern und Lieferanten ausgenutzt. Sie haben immer die Möglichkeit, sich hinter dem Spam-Problem zu "verstecken".Fallstudie: , 3 , , , , . : « email». : « ». — « ». . - , , .
Da sich im "dynamischen E-Mail" -System kein Spam-Ordner befindet, kann der Absender sicher sein, dass seine Nachricht in den Posteingang des Empfängers gefallen ist, wenn keine Zustellungsfehlermeldung vorliegt. Dies ist auch dem Empfänger bewusst, und sein „Schweigen“ wird mehr als beredt.Meine subjektive Meinung: Das seit langem diskutierte Problem der Zuweisung von Rechtsstatus zu E-Mails bleibt offen, solange sich in den E-Mail-Clients der Benutzer ein Spam-Ordner befindet.Unfairer Wettbewerb
Websitebesitzer müssen auf ähnliche Angebote gestoßen sein:- ? . , . - . . email .
Jeder kann jede E-Mail spammen (Suchmaschinen sagen Ihnen, wie). Höchstwahrscheinlich ist diese E-Mail bereits irgendwo „hervorgehoben“. Ressourcen wie hunter.io helfen Ihnen dabei, dies herauszufinden. Wenn es nicht "beleuchtet" ist, kann dies leicht behoben werden, indem über FOS ein Angebot an die Site gesendet wird, das "nicht abgelehnt werden kann", oder eine Anfrage wie "Gibt es dasselbe, aber mit Perlmuttknöpfen?". Ob ein solcher Anruf beantwortet werden soll oder nicht, ist eine große Frage. Erfahrene Benutzer reagieren lieber nicht, da sie sich des Ausmaßes möglicher Material- und Reputationsverluste bewusst sind. Sie verstehen, dass eine diskreditierte E-Mail-Adresse für die Dauer ihres Bestehens zu einer "Zeitbombe" wird. Es gibt einen Widerspruch: Geben Sie Ihre Kontakte an Dritte weiter, aber verstecken Sie sie vor allen anderen, um Spam zu vermeiden.Dynamische E-Mails können ein solches Problem problemlos bewältigen. Um einen guten Ruf aufrechtzuerhalten, reicht es aus, auf eine Nachricht zu antworten, die über die FSF von einer nicht vorhandenen Adresse empfangen wurde , z. B. von der Adresse do_not_reply_to.user@site.ru , als würde dies darauf hinweisen, dass das Thema nicht interessant ist. Wenn das Thema interessant ist, sollten Sie von einer dynamischen Adresse aus antworten, ohne dem Angreifer die Möglichkeit zu geben, die "Haupt-E-Mail der Organisation" herauszufinden.Phishing
Von einem Interview mit dem Leiter der Gruppe IB, Ilya Sachkov, an die Roscongress Foundation (PRIME):Unter dem Gesichtspunkt der schwerwiegendsten Probleme, die ein Benutzer möglicherweise erhält, ist E-Mail nach wie vor die Hauptmethode, um entweder bösartigen Code oder Phishing-E-Mails zu übermitteln.
Ich empfinde den Satz eines angesehenen Experten als Anerkennung der Unmöglichkeit, das Problem mit den verfügbaren Mitteln zu lösen. Das Problem kann meiner Meinung nach nicht gelöst werden, wenn der Angreifer die E-Mail-Adresse kennt. Wenn sie wissen, wo die Tür ist, werden sie versuchen, sie zu öffnen. Dafür gibt es viele Beispiele. Dies ist ein endloser Kampf zwischen künstlichem und menschlichem Intellekt und Technologien. Leider sind Angreifer immer einen Schritt voraus. Während die Online-Community über etwas Neues spricht, finden Angreifer Lücken. Das Thema ist ernst. Kürzlich habe ich in den Nachrichten über Habré gelesen :In Google Mail werden täglich mehr als 100 Millionen Phishing-E-Mails blockiert
Das Problem des Phishing für einen Benutzer wird durch einen verrückten Strom eingehender Informationen verschärft, mit dessen Verarbeitung das menschliche Gehirn nicht immer Zeit hat. Wie Dr. Kurbatov bei einem Geschäftsfrühstück in Davos feststellte , benötigt das Gehirn etwa 23 Minuten, um von der Art der Wahrnehmung von Informationen zur Art ihrer Verarbeitung zu wechseln.Mit anderen Worten, wenn eine normale Person in 21 Stunden 21 eingehende Nachrichten mit einem Intervall von 23 Minuten empfängt, kann sie diese Informationen nicht verarbeiten und organisieren.Das Denken wird stereotyp, stereotyp, das Gehirn schlummert
In solchen Momenten kann der Benutzer nur einen Fehler machen, ohne beispielsweise einen Unterschied von einem Zeichen in der Absenderadresse zu bemerken. Der Benutzer kann dynamische E-Mails senden - nein, ganz zu schweigen von der Tatsache, dass der Benutzer keine Junk-E-Mails im Abstand von 23 Minuten empfangen muss. Damit der Angriff stattfinden kann, müssen Sie die Korrespondenz der Absender- und Empfängeradressen kennen und noch besser auf das Postfach des Absenders zugreifen können.Scherz. . . :
– ?
– , !
– ?
– .
– , , !
– , … ( )
– , , , .
– , !
– , ?
Sprühen von Passwörtern und roher Gewalt
Die unbestreitbare Schwäche der E-Mail (und nicht nur der E-Mail) ist das Zusammentreffen von E-Mail und Login. Ein weiteres Problem - jeder Mailserver schlägt die Möglichkeit vor, eine Verbindung über das POP3-Protokoll herzustellen, das nur zwei Befehle zur Autorisierung von USER und PASS bereitstellt , d. H. Login und Passwort. Von einer Zwei-Faktor-Autorisierung ist keine Rede. Wenn ein Angreifer die E-Mail-Adresse einer Person kennt, verfügt er automatisch über Informationen zum Mailserver und zum Anmelden. Weiter ist eine Frage der Technologie.In wichtigen Fällen können Sie eine spezielle Autorisierung für die E-Mail-Ressource anwenden und Gefahren wie das Sputtern von Passwörtern und Brute Force vergessen. Dies wird auch MITM-Angriffe erschweren.Beispiel: user@site.ru - primäre Adresse, 1.user@site.ru- dynamisch, my_pin.user@site.ru - zur Autorisierung. Als Ergebnis erhalten wir eine Art Zwei-Faktor-Autorisierung und einen zusätzlichen Warnmechanismus für Hacking-Versuche. Es ist äußerst schwierig, eine Mailbox mit einem solchen Schutz zu erhalten, obwohl einfachere Passwörter verwendet werden können.In kritischen Fällen können Sie sogar eine dynamische Autorisierung verwenden, die nach dem Prinzip einer Autoalarmanlage mit Rückmeldung arbeitet, d. H. neues Login für jede nachfolgende Kommunikationssitzung mit unverändertem Passwort. Was ist keine funktionierende Option? Wenn bei dem Patienten Verfolgungswahn diagnostiziert wird, bedeutet dies nicht, dass er nicht verfolgt wird.Newsletter
Newsletter sind gefährlich, da ihre Nachrichten viele Links zu Ressourcen sowie die Möglichkeit eines Angriffs im Namen einer Marke, beispielsweise der Weltgesundheitsorganisation, enthalten. Heutzutage verstehen viele Menschen, dass ein gedankenloses Klicken auf die Links in der empfangenen Nachricht gefährlich ist, aber nicht jeder erkennt, dass der Link „Abmelden vom Newsletter“ nicht weniger gefährlich ist. Tatsächlich ist dies das gleiche Phishing mit einigen Funktionen: Der Benutzer wird zu keiner Aktion aufgefordert, er ist empört über die ungerecht empfangene Nachricht, entspannt durch das Potenzial, die Situation zu korrigieren (durch Klicken auf den Link). Das Ergebnis der Abmeldung ist nicht vorhersehbar. Benutzer können zur Klon-Site geleitet werden. Es bleibt ungeschützt vor Diebstahl oder Verkauf personenbezogener Daten. Es ist praktisch unmöglich, die Ursache des Lecks festzustellen und den „Täter“ zu bestrafen. TraurigDynamische E-Mails korrigieren die Situation hier: Sie müssen nicht auf die Links klicken, der Schuldige des Lecks wird anhand der Korrespondenz der Absender-Empfänger-Adressen berechnet, und das Durchsickern persönlicher Daten selbst spielt keine Rolle. Es ist schön, dass der Schuldige des Lecks leicht zu bestrafen ist, indem Sie Ihre E-Mail in der Datenbank mit einem einfachen Knopfdruck in digitalen Papierkorb verwandeln.Pseudo-Mining
Es gibt eine Menge Informationen zu diesem Thema, zum Beispiel: Tsunami falschen „Bergbau“: was bekannt ist , und wie jetzt lebt .Ein interessantes Zitat aus diesem Beitrag:Vor kurzem tauchte in Hooligan-Nachrichten eine merkwürdige Notiz auf: „Denken Sie an das Strafgesetzbuch der Russischen Föderation 205.6. Versäumnis, ein Verbrechen zu melden. “ Ein solcher Artikel des Strafgesetzbuchs existiert und wird mit einer Geldstrafe von bis zu hunderttausend Rubel sowie einer Freiheitsstrafe von bis zu einem Jahr bestraft
Die Einzigartigkeit der Situation liegt in der Tatsache, dass der Angreifer das maximale Ergebnis bei den niedrigsten Kosten und dem geringsten Risiko erzielt, entdeckt zu werden: Jede Suchmaschine hilft Ihnen dabei, eine Liste für den Angriff zu erstellen. Geben Sie einfach "Schule", "Einkaufszentrum", "Gericht" usw. Ein. Auf der Website fast jeder Organisation werden E-Mails im Klartext dargestellt. Einige der Spamfilter-Einsteller riskieren das Senden von Nachrichten über das Mining an den Spam-Ordner. Es ist einfacher, die Verantwortung auf eine andere Person zu übertragen.Wir können nicht über materielle und psychologische Verluste durch solche Angriffe sprechen. Um das Problem zu lösen, müssen Sie nur die E-Mail-Adresse der Organisation ausblenden und den Angreifer an die FSF senden.Dem Angreifer ist bekannt, dass das Senden von Nachrichten über die FSF die Untersuchung von Fällen von falschem Zugriff erheblich vereinfacht. Das Blockieren von Anrufen an FOS, die von Anonymisierern von einer beliebigen IP-Adresse stammen, ist viel schwieriger als das Blockieren von Ressourcen wie startmail.com und protonmail.com, die früher zum Senden von Nachrichten über "Mining" verwendet wurden. Mail.ru führte auch Angriffe durch, aber aus irgendeinem Grund wurde diese Ressource nicht blockiert. Warum nicht das Bildungsministerium ein solches System mit einem einzigen Zentrum für die Analyse eingehender Informationen einführen? Die Kosten für die Implementierung sind zehnmal (wenn nicht sogar hundert) niedriger als die finanziellen Verluste aus Pseudo-Minen im letzten Jahr.Trolle und Hasser
Diese Vertreter der Flora und Fauna bereiten VIPs und allen Persönlichkeiten des öffentlichen Lebens Kopfschmerzen. 100% angenehm und interessant für alle zu sein, ist nicht realistisch, aber "jeder kann einen Künstler beleidigen". Der Benutzer dynamischer E-Mails regelt ausschließlich unabhängig seine „Offenheit“ für die Welt. Um nur für alte Freunde auf unbestimmte Zeit in Kontakt zu bleiben, reicht es aus: Schließen Sie den FOS für den Empfang, schließen Sie die Hauptadresse für den Empfang und ändern Sie die dynamische Adresse. Nach diesem Vorgang können Sie sicher in Ihr Haus klettern und Geschäfte tätigen, ohne von allen möglichen "kleinen Dingen" abgelenkt zu werden. Der Benutzer entscheidet, welches Etikett „an der Tür“ aufgehängt werden soll. „Nicht stören!“ oder "Nicht bis zum Frühjahr aufwachen!".Cyberkrieg
Das System ist für Cyberkrieg vorbereitet, d.h. Angriffe auf Ressourcen oder den Staat als Ganzes. Im Falle eines Angriffs auf den Administrator oder den E-Mail-Ressourcenalgorithmus reicht es aus, alle Hauptadressen für den Empfang zu schließen und möglicherweise im Verlauf der Situation die dynamischen Adressen der Benutzer nach dem Zufallsprinzip zu ändern, um sie beispielsweise per SMS darüber zu informieren. Da die Angreifer blockiert werden, bevor die Nachrichten auf den Server heruntergeladen werden, ist es unwahrscheinlich, dass die Datenübertragungskanäle und Hardwarekapazitäten mit dem eingehenden Datenverkehr überlastet werden. Meiner Meinung nach haben moderne Spam-Filtersysteme den Höhepunkt ihrer Entwicklung überschritten. Sie sollten durch Spam-Blockierungssysteme ersetzt werden. Dieses Thema wird mit der Entwicklung von 5G und der Verbreitung von IoT immer relevanter. Gutes altes Sprichwort: "HDD ist kein Gummi."Ökologie
Wie ohne sie! Das Thema Umweltsicherheit begeistert alle. Ich werde nur ein paar Zitate geben:- Statistiken aus dem Bericht von ICF International und McAfee vom April 2009: Jährlich werden 62 Billionen „Müll“ -Nachrichten an die Welt gesendet. Die dafür erzeugte Stromerzeugung (mehr als 33 Milliarden kW / h) führt zur Emission von mehr als 17 Millionen Tonnen Kohlendioxid
- Aus einem französischen Umweltbericht 2011: Spam belief sich auf 73 Billionen Nachrichten oder 17.800 Nachrichten pro Internetnutzer und Jahr
Ich habe nicht nach neueren Informationen gesucht, ich glaube, dass sich die Situation heute nicht verbessert hat.Wer profitiert
Wenn die Verluste durch Spam und Phishing in der Welt mehrere zehn Milliarden Dollar betragen , sollte nach dem Naturschutzgesetz jemand damit Geld verdienen. Ich habe über dieses Thema nachgedacht und bin zu dem Schluss gekommen, dass es einfacher und korrekter ist, zu sagen, wem Spam nicht rentabel ist, und dadurch das Risiko zu vermeiden, „einen Lebenszyklus mit Nägeln“ zu sagen.Antwort: Spam ist für seriöse Benutzer nicht vorteilhaft
Vielen Dank für Ihre Aufmerksamkeit. Ich gratuliere Geschäftsleuten zu einem Urlaub und Habr - alles Gute zum Geburtstag!Ich danke auch im Voraus allen lieben Lesern, die die Frage am Ende der Veröffentlichung beantworten werden.