🌎 🤨 🤚🏼 गतिशील ईमेल :: सुरक्षा 👩🏿‍🎤 🚎 📓

नमस्कार!

पिछले प्रकाशनों में, हमने सिस्टम की स्पैम-रोधी क्षमताओं के बारे में बात की थी। आज मैं सुरक्षा के मुद्दों पर बात करना चाहता हूं, साथ ही पिछले समय में सिस्टम में क्या नया है, इस बारे में बात करना चाहता हूं।

मैं संक्षेप में याद करता हूं कि यह कैसे काम करता है। मेल संसाधन के उपयोगकर्ता को न केवल एक मेलिंग पता प्रदान किया जाता है, उदाहरण के लिए, user@site.ru , बल्कि कुछ पते की जगह, जिसके भीतर आप कोई भी पता बना सकते हैं जिसे मैंने डायनामिक कहा था।

चित्र में दिखाए गए उदाहरण में, वर्तमान गतिशील पता 1.user@site.ru को किसी भी समय किसी भी अन्य में बदला जा सकता है। यह पता सभी के संदेशों को स्वीकार करता है, जिसमें फीडबैक फॉर्म (FOS) भी शामिल है।

सिस्टम के बारे में थोड़ा और

सिस्टम का उपयोग करते समय, उपयोगकर्ता को कार्रवाई की स्वतंत्रता मिलती है:

स्वागत के लिए मुख्य user@site.ru पता खोलें / बंद करें ;
रिसेप्शन पर एफओएस खोलें / बंद करें, कैप्चा की जटिलता को समायोजित करें;
, , 1.user@site.ru abc.user@site.ru, .. « » « » , « »;
« » , « », « ».

-, .. , .

habr.com/ru/post/317038/ habr.com/ru/post/347606/

धोखा

किसी अज्ञात उपयोगकर्ता के साथ पहले संपर्क के लिए आधुनिक तकनीक सही नहीं हैं। मैं अब सामाजिक नेटवर्क और त्वरित दूतों के मुद्दे को नहीं उठाने का प्रस्ताव करता हूं, जिसके लिए उपयोगकर्ताओं के एक निश्चित भाग ने स्पैम और फ़िशिंग से छुटकारा पाने की उम्मीद में उनके साथ पूर्ण प्रतिक्रिया का आयोजन करने का पुन: प्रयास किया है । वे वहां भी स्पैम करते हैं ... एक उचित सीमा तक, अन्यथा, इन नेटवर्क और तत्काल दूतों से दर्शकों का बहिर्वाह शुरू हो जाएगा। हम मोबाइल फोन (वास्तव में, "पासपोर्ट के अनुसार इंटरनेट") के संदर्भ में उनके साथ पंजीकरण करते समय खोज के बारे में बात नहीं करेंगे, व्यक्तिगत जानकारी को तीसरे पक्ष में स्थानांतरित करने और किसी के दोस्त बनने के बाद हमें निमंत्रण का इंतजार करने पर अपमानित करना होगा।

आइए उस ईमेल के बारे में बात करें जो प्रत्येक उपयोगकर्ता के पास है। इसलिए, यदि हम खुले रूप में साइट पर प्रदान किए गए ईमेल को लिखते हैं, तो हम समझते हैं कि प्राप्तकर्ता का मेलबॉक्स स्पैमेड है, और इस बात की कोई गारंटी नहीं है कि हमारा संदेश पढ़ा जाएगा। हमें यह भी पता नहीं है कि संदेश प्राप्त हुआ था, क्योंकि यह स्पैम फ़ोल्डर में दिखाई दे सकता है, या स्पैम फ़िल्टर द्वारा स्थायी रूप से हटा दिया जा सकता है।

FOS का उपयोग करने वाले इंटरनेट संसाधन, कम से कम रिपोर्ट करते हैं कि भेजा गया संदेश प्राप्त हो गया है, लेकिन हम यह भी समझते हैं कि इस संदेश की इनबॉक्स में होने की संभावना 100% से दूर है, क्योंकि इसे एक नियमित मेलबॉक्स के रूप में अग्रेषित किया
जाता है ... इस खामी का उपयोग स्कैमर, लापरवाह कलाकार, प्रबंधक और अधिकारी, विचार शिकारी, आपूर्तिकर्ता द्वारा किया जाता है। उनके पास हमेशा स्पैम की समस्या को "पीछे छिपाने" का अवसर मिलता है।

मामले का अध्ययन

: , 3 , , , , . : « email». : « ». — « ». . - , , .

चूंकि "डायनामिक ईमेल" सिस्टम में कोई स्पैम फ़ोल्डर नहीं है, इसलिए प्रेषक सुनिश्चित कर सकता है कि उसका संदेश प्राप्तकर्ता के इनबॉक्स में गिर गया है, निश्चित रूप से, यदि कोई डिलीवरी त्रुटि संदेश नहीं है। प्राप्तकर्ता को भी इसके बारे में पता है, और उसकी "मौन" वाक्पटुता से अधिक हो जाती है।

मेरी व्यक्तिपरक राय: ई-मेल को कानूनी स्थिति प्रदान करने का मुद्दा, जिस पर लंबे समय से चर्चा की गई है, जब तक उपयोगकर्ताओं के ईमेल क्लाइंट में स्पैम फ़ोल्डर रहेगा तब तक खुला रहेगा।

अनुचित प्रतिस्पर्धा

साइट मालिकों को इसी तरह के प्रस्ताव देने चाहिए:

- ? . , . - . . email .

कोई भी किसी भी ईमेल को स्पैम कर सकता है (सर्च इंजन आपको बताएगा कि कैसे)। सबसे अधिक संभावना है, यह ईमेल पहले से ही "हाइलाइटेड" है। Hunter.io जैसे संसाधन आपको यह पता लगाने में मदद करेंगे। यदि यह "जलाया" नहीं गया है, तो इसे आसानी से FOS के माध्यम से साइट पर भेजकर तय किया जा सकता है कि "इनकार नहीं किया जा सकता" या "ऐसा ही है, लेकिन मोती के बटन के साथ एक अनुरोध है?"। इस तरह के कॉल का जवाब देना बड़ा सवाल है या नहीं। अनुभवी उपयोगकर्ता प्रतिक्रिया देना पसंद नहीं करते हैं, संभावित सामग्री और प्रतिष्ठित नुकसान की सीमा से अच्छी तरह वाकिफ हैं। वे समझते हैं कि एक बार एक बदनाम ईमेल पता अपने अस्तित्व की अवधि के लिए "टाइम बम" में बदल जाता है। एक विरोधाभास है: किसी को भी संपर्क में रहने के लिए अपने संपर्क दें, लेकिन स्पैम से बचने के लिए उन्हें सभी से छिपाएं।

डायनेमिक ईमेल आसानी से इस तरह की समस्या का सामना कर सकता है। प्रतिष्ठा बनाए रखने के लिए, यह गैर-मौजूद पते से एफएसएफ के माध्यम से प्राप्त संदेश का जवाब देने के लिए पर्याप्त है, उदाहरण के लिए, do_not_reply_to.user@site.ru पते से , मानो कि विषय दिलचस्प नहीं है। यदि विषय दिलचस्प है, तो आपको एक गतिशील पते से जवाब देना चाहिए, बिना हमलावर को भी "संगठन के मुख्य ईमेल" का पता लगाने का मौका दिए बिना।

फिशिंग

से के साथ एक साक्षात्कार समूह-आईबी के प्रमुख, इल्या Sachkov, Roscongress फाउंडेशन (प्रधान) के लिए:

उपयोगकर्ता द्वारा प्राप्त की जा सकने वाली सबसे गंभीर समस्याओं के दृष्टिकोण से, ईमेल अभी भी दुर्भावनापूर्ण कोड या फ़िशिंग ईमेल वितरित करने का मुख्य तरीका है।

मैं एक सम्मानित विशेषज्ञ के वाक्यांश को उपलब्ध साधनों के साथ समस्या को हल करने की असंभवता की मान्यता के रूप में देखता हूं। यदि हमलावर को ईमेल पता पता है, तो मेरी राय में समस्या हल नहीं हो सकती है। अगर उन्हें पता है कि दरवाजा कहां है, तो वे इसे खोलने की कोशिश करेंगे। इसके कई उदाहरण हैं। यह कृत्रिम और मानव बुद्धि और प्रौद्योगिकियों के बीच एक अंतहीन संघर्ष है। दुर्भाग्य से, हमलावर हमेशा एक कदम आगे रहेंगे। जबकि ऑनलाइन समुदाय कुछ नई चर्चा कर रहा है, हमलावर लूपहोल्स खोजने का प्रबंधन करते हैं। विषय गंभीर है। हाल ही में मैंने हैबे पर समाचार में पढ़ा :

जीमेल में हर दिन 100 मिलियन से अधिक फ़िशिंग ईमेल अवरुद्ध होते हैं

एक उपयोगकर्ता के लिए फ़िशिंग की समस्या आने वाली जानकारी की एक पागल धारा से बढ़ जाती है, जिसके प्रसंस्करण में मानव मस्तिष्क को हमेशा सामना करने का समय नहीं होता है। जैसा कि डॉ। कुर्बातोव ने दावोस में एक व्यापारिक नाश्ते में उल्लेख किया है , यह जानकारी प्राप्त करने के मोड से इसे संसाधित करने के मोड में स्विच करने में लगभग 23 मिनट का समय लेता है।

दूसरे शब्दों में, यदि 21 घंटे में एक सामान्य व्यक्ति 23 मिनट के अंतराल के साथ 21 आने वाले संदेश प्राप्त करता है, तो वह इस जानकारी को संसाधित और व्यवस्थित करने में सक्षम नहीं होगा।

विचार रूढ़ हो जाता है, रूढ़ हो जाता है, मस्तिष्क निष्क्रिय हो जाता है

ऐसे क्षणों में, उपयोगकर्ता केवल सूचना के बिना एक गलती कर सकता है, उदाहरण के लिए, प्रेषक पते में एक वर्ण का अंतर। उपयोगकर्ता, गतिशील ईमेल - नहीं, इस तथ्य का उल्लेख नहीं कर सकता है कि उपयोगकर्ता को 23 मिनट के अंतराल के साथ जंक ईमेल प्राप्त नहीं करना है। हमले के लिए, आपको प्रेषक और प्राप्तकर्ता पते के पत्राचार को जानने की जरूरत है, और इससे भी बेहतर, प्रेषक के मेलबॉक्स तक पहुंच प्राप्त करें।

मज़ाक

. . . :
– ?
– , !
– ?
– .
– , , !
– , … ( )
– , , , .
– , !
– , ?

पासवर्ड और ब्रूट बल का छिड़काव

ईमेल की निर्विवाद कमजोरी (और न केवल यह) लॉगिन के साथ ईमेल का संयोग है। एक अन्य समस्या - कोई भी मेल सर्वर POP3 प्रोटोकॉल के माध्यम से जुड़ने की संभावना का सुझाव देता है, जो प्राधिकरण USER और PASS के लिए केवल दो कमांड प्रदान करता है , अर्थात। लॉगिन और पासवर्ड। किसी भी दो-कारक प्राधिकरण का कोई सवाल नहीं है। यदि कोई हमलावर किसी के ईमेल को जानता है, तो उसे स्वचालित रूप से मेल सर्वर और लॉगिन के बारे में जानकारी होती है। आगे तकनीक का मामला है।

महत्वपूर्ण मामलों के लिए, आप मेल संसाधन पर विशेष प्राधिकरण लागू कर सकते हैं और स्पटरिंग पासवर्ड और ब्रूट फोर्स जैसे खतरों के बारे में भूल सकते हैं। यह MITM हमलों को भी जटिल करेगा।

उदाहरण: user@site.ru - प्राथमिक पता, 1.user@site.ru- डायनेमिक, my_pin.user@site.ru - प्राधिकरण के लिए। नतीजतन, हमें हैकिंग प्रयासों के बारे में एक तरह का दो-कारक प्राधिकरण और एक अतिरिक्त चेतावनी तंत्र मिलता है। सरल पासवर्ड का उपयोग करने की संभावना के बावजूद, इस तरह के संरक्षण के साथ मेलबॉक्स को पकड़ना बेहद मुश्किल है।

महत्वपूर्ण मामलों के लिए, आप फीडबैक के साथ कार अलार्म के सिद्धांत पर काम करते हुए, गतिशील प्राधिकरण का उपयोग कर सकते हैं, अर्थात। अपरिवर्तित पासवर्ड के साथ प्रत्येक बाद के संचार सत्र के लिए नया लॉगिन। काम करने का विकल्प क्या नहीं है? यदि रोगी को उत्पीड़न उन्माद का निदान किया जाता है, तो इसका मतलब यह नहीं है कि उसका पालन नहीं किया जा रहा है।

समाचार

न्यूज़लेटर्स खतरनाक हैं क्योंकि उनके संदेशों में संसाधनों के कई लिंक होते हैं, साथ ही एक ब्रांड की ओर से हमले की संभावना भी होती है, उदाहरण के लिए, विश्व स्वास्थ्य संगठन। आज, बहुत से लोग समझते हैं कि प्राप्त संदेश में लिंक पर विचार करना खतरनाक है, लेकिन सभी को यह पता नहीं है कि लिंक "न्यूज़लेटर से सदस्यता समाप्त" कम खतरनाक नहीं है। वास्तव में, यह कुछ सुविधाओं के साथ एक ही फ़िशिंग है: उपयोगकर्ता को किसी भी कार्रवाई के लिए नहीं बुलाया जाता है, वह गलत तरीके से प्राप्त संदेश से क्रोधित होता है, स्थिति को सही करने के लिए (लिंक पर क्लिक करके) आराम से। अनसब्सक्राइब करने का परिणाम अनुमानित नहीं है। उपयोगकर्ताओं को क्लोन साइट पर निर्देशित किया जा सकता है। यह व्यक्तिगत डेटा की चोरी या बिक्री से असुरक्षित बना हुआ है। लीक के स्रोत को स्थापित करना और "अपराधी" को दंडित करना व्यावहारिक रूप से असंभव है। उदास

डायनामिक ईमेल यहां की स्थिति को ठीक करता है: आपको लिंक पर क्लिक करने की आवश्यकता नहीं है, रिसाव के अपराधी की गणना प्रेषक-रिसीवर पते के पत्राचार द्वारा की जाती है, और स्वयं व्यक्तिगत डेटा का रिसाव बहुत मायने नहीं रखता है। यह अच्छा है कि रिसाव के अपराधी को एक बटन के एक साधारण क्लिक के साथ अपने ईमेल को अपने डेटाबेस में डिजिटल ट्रैश में बदलकर दंडित करना आसान है।

छद्म खनन

इस विषय पर बहुत सी जानकारी है, उदाहरण के लिए: झूठे "खनन" की सुनामी: क्या ज्ञात है और अब कैसे रहना है ।

इस पोस्ट से एक दिलचस्प उद्धरण:

हाल ही में, गुंडागर्दी संदेशों में एक जिज्ञासु नोट दिखाई देने लगा - "रूसी संघ का आपराधिक कोड 205.6 याद रखें। अपराध की रिपोर्ट करने में विफलता। ” आपराधिक संहिता का ऐसा लेख मौजूद है और एक लाख रूबेल तक के जुर्माने का सामना करता है, साथ ही एक साल तक की कैद भी

स्थिति की विशिष्टता इस तथ्य में निहित है कि हमलावर सबसे कम लागत और पता लगाया जाने के जोखिम पर अधिकतम परिणाम प्राप्त करता है: कोई भी खोज इंजन आपको हमले के लिए एक सूची बनाने में मदद करेगा, बस "स्कूल", "शॉपिंग सेंटर", "कोर्ट", आदि; लगभग किसी भी संगठन की साइट पर, ईमेल स्पष्ट पाठ में प्रस्तुत किया जाता है; स्पैम फ़िल्टर समायोजकों में से कुछ स्पैम फ़ोल्डर में खनन के बारे में संदेश भेजते हैं, किसी और को जिम्मेदारी सौंपना आसान है।

हम इस तरह के हमलों से सामग्री और मनोवैज्ञानिक नुकसान के बारे में बात नहीं कर सकते। समस्या को हल करने के लिए, आपको बस संगठन के ईमेल को छिपाने की जरूरत है, और हमलावर को FSF में भेजें।

हमलावर अच्छी तरह से जानता है कि FSF के माध्यम से संदेश भेजना झूठी पहुंच के मामलों की जांच की प्रक्रिया को बहुत सरल करता है। FOS पर कॉल ब्लॉक करने की प्रक्रिया, जो किसी भी IP पते से, अनाम से, ब्लॉकिंग संसाधनों जैसे कि startmail.com और protonmail.com से कहीं अधिक नाजुक है, जिसका उपयोग खनन के बारे में संदेश भेजने के लिए किया जाता था। Mail.ru ने भी हमले किए, लेकिन किसी कारण से इस संसाधन को अवरुद्ध नहीं किया गया। क्यों नहीं शिक्षा मंत्रालय आने वाली सूचनाओं के विश्लेषण के लिए एकल केंद्र के साथ इस तरह की व्यवस्था शुरू करने के लिए है? इसके कार्यान्वयन की लागत पिछले साल केवल छद्म खनन से वित्तीय घाटे की तुलना में दस गुना (यदि सैकड़ों नहीं) है।

ट्रोल और हैटर

वनस्पतियों और जीवों के ये प्रतिनिधि वीआईपी और किसी भी सार्वजनिक व्यक्ति के लिए सिरदर्द हैं। हर किसी के लिए 100% सुखद और दिलचस्प होना यथार्थवादी नहीं है, लेकिन "हर कोई एक कलाकार को अपमानित कर सकता है।" डायनामिक ईमेल का उपयोगकर्ता विशेष रूप से स्वतंत्र रूप से दुनिया के लिए अपने "खुलेपन" को नियंत्रित करता है। अनिश्चित समय के लिए केवल पुराने दोस्तों के संपर्क में रहने के लिए, यह पर्याप्त है: रिसेप्शन के लिए एफओएस को बंद करें, रिसेप्शन के लिए मुख्य पते को बंद करें और डायनेमिक पते को बदल दें। इस प्रक्रिया के बाद, आप सुरक्षित रूप से अपने घर में चढ़ सकते हैं और सभी प्रकार की "छोटी चीजों" से विचलित हुए बिना व्यापार कर सकते हैं। उपयोगकर्ता "दरवाजे पर" लटका करने के लिए कौन सा लेबल तय करता है "" परेशान मत करो! " या "वसंत तक जागना मत!"।

साइबर युद्ध

सिस्टम साइबर युद्ध के लिए तैयार है, अर्थात्। एक पूरे के रूप में संसाधनों या राज्य पर हमला। व्यवस्थापक या मेल संसाधन एल्गोरिदम पर हमले की स्थिति में, रिसेप्शन के लिए सभी मुख्य पतों को बंद करना पर्याप्त है, और संभवतः, जैसे ही स्थिति विकसित होती है, उपयोगकर्ताओं के डायनामिक पतों को यादृच्छिक रूप से बदलना, उन्हें सूचित करना, उदाहरण के लिए, एसएमएस का उपयोग करना। चूंकि सर्वर पर संदेशों को डाउनलोड करने से पहले हमलावरों को अवरुद्ध किया जाता है, इसलिए यह आने वाले ट्रैफ़िक के साथ डेटा ट्रांसफर चैनल और हार्डवेयर क्षमताओं को अधिभारित करने की संभावना नहीं लगती है। मेरी राय में, आधुनिक स्पैम फ़िल्टरिंग सिस्टम ने अपने विकास के चरम को पार कर लिया है, उन्हें स्पैम ब्लॉकिंग सिस्टम से बदला जाना चाहिए। यह विषय 5 जी के विकास और IoT के प्रसार के रूप में अधिक से अधिक प्रासंगिक हो जाएगा। अच्छी पुरानी कहावत है: "एचडीडी रबर नहीं है।"

परिस्थितिकी

उसके बिना कैसे! पर्यावरण सुरक्षा का विषय सभी को उत्साहित करता है। मैं केवल कुछ उद्धरण दूंगा:

अप्रैल 2009 में आईसीएफ इंटरनेशनल और मैक्फी की रिपोर्ट के आंकड़े: सालाना 62 ट्रिलियन "कचरा" संदेश दुनिया में भेजे जाते हैं, बिजली उत्पादन (33 अरब kW / h से अधिक), जो इस पर खर्च किया जाता है, 17 मिलियन टन से अधिक कार्बन डाइऑक्साइड का उत्सर्जन होता है।
2011 की फ्रेंच पर्यावरण रिपोर्ट से: स्पैम कुल 73 ट्रिलियन संदेश, या प्रति वर्ष प्रति उपयोगकर्ता 17,800 संदेश

मैंने अधिक हालिया जानकारी की तलाश नहीं की, मेरा मानना है कि आज स्थिति में सुधार नहीं हुआ है।

किसे फायदा होता है

अगर दुनिया में स्पैम और फ़िशिंग से होने वाली हानियाँ दसियों अरबों डॉलर की हैं , तो, संरक्षण कानून के अनुसार, किसी को इस पर पैसा लगाना चाहिए। मैंने इस विषय पर तर्क दिया और इस निष्कर्ष पर पहुंचा कि यह कहना आसान है और अधिक सही है कि स्पैम किसके लिए लाभदायक नहीं है, और इस तरह "नाखूनों के साथ जीवन चक्र" के बारे में बात करने के जोखिम से बचें।

उत्तर: सम्मानजनक उपयोगकर्ताओं के लिए स्पैम फायदेमंद नहीं है

ध्यान देने के लिए धन्यवाद। मैं एक छुट्टी पर व्यापारियों को बधाई देता हूं, और हैबर - जन्मदिन मुबारक हो!

मैं अग्रिम रूप से सभी प्रिय पाठकों को भी धन्यवाद देता हूं जो प्रकाशन के अंत में प्रश्न का उत्तर देंगे।

गतिशील ईमेल :: सुरक्षा