动态电子邮件::安全性

你好!

在以前的出版物中,我们讨论了该系统的反垃圾邮件功能。今天,我想谈谈安全性问题,以及谈论过去一段时间系统中的新功能。

我将简要回顾一下它是如何工作的。不仅向邮件资源的用户提供了一个邮件地址,例如user@site.ru,而且还提供了一些地址空间,您可以在其中创建我称为动态的任何地址。

图片

在该图所示的示例中,当前动态地址1.user@site.ru可以随时更改为任何其他地址该地址接受所有人的消息,包括通过反馈表(FOS)。

有关系统的更多信息
:

  • / user@site.ru ;
  • / , ;
  • , , 1.user@site.ru abc.user@site.ru, .. « » « » , « »;
  • « » , « », « ».

-, .. , .

habr.com/ru/post/317038/ habr.com/ru/post/347606/

诈骗


首次与未知用户联系的现代技术并不完美。我现在建议不要提出社交网络和即时通讯程序的问题,用户的某些部分已经针对这些问题进行了重新定向,以与他们一起组织全面的反馈,以期摆脱垃圾邮件和网络钓鱼。它们还会在适当范围内发送垃圾邮件,否则,观众将从这些网络和即时通讯程序中流出。当我们参考手机(实际上是“通过护照上网”)在手机中注册,将个人信息转移给第三方以及在我们要求与某人成为朋友之后羞辱等待邀请时,我们也不会谈论该任务。

让我们谈谈每个用户拥有的电子邮件。因此,如果我们以开放的形式写信到网站上提供的电子邮件,则我们知道收件人的邮箱是垃圾邮件,并且不能保证将阅读我们的邮件。我们甚至无法确定是否收到了该消息,因为 它可能显示在垃圾邮件文件夹中,或被垃圾邮件过滤器永久删除。

使用FOS的Internet资源至少报告已收到已发送的邮件,但我们也了解到,此邮件进入收件箱的可能性远非100%,因为 它通过表单转发到常规邮箱。
骗子,过失的表演者,经理和官员,猎头者,供应商会使用此缺点。他们总是有机会“隐藏”垃圾邮件问题。

案例分析
: , 3 , , , , . : « email». : « ». — « ». . - , , .

由于“动态电子邮件”系统中没有垃圾邮件文件夹,因此,如果没有传递错误消息,则发件人可以肯定地将其邮件放入收件人的收件箱中。接收者也意识到这一点,他的“沉默”变得更加雄辩。

我的主观意见:讨论了很长时间的为电子邮件分配法律地位的问题,只要用户的电子邮件客户端中存在垃圾邮件文件夹,该问题将一直存在。

不公平竞争


网站所有者必须遇到过类似的优惠:
- ? . , . - . . email .
任何人都可以向任何电子邮件发送垃圾邮件(搜索引擎会告诉您如何)。这封电子邮件很可能已经“突出显示”。像hunter.io这样的资源将帮助您找到答案。如果未“点亮”,则可以通过FOS向网站发送“无法拒绝”的要约或“是否有相同但有珍珠纽扣?”之类的请求来轻松解决。是否接听这样的电话是一个大问题。有经验的用户宁愿不响应,也要充分意识到可能造成的物质损失和声誉损失。他们了解,一旦信誉不良的电子邮件地址在存在期间变成“定时炸弹”。有一个矛盾:让您的联系人与任何人保持联系,但将其隐藏在所有人面前以避免垃圾邮件。

动态电子邮件可以轻松应对此类问题。为了维持声誉,只要从不存在的地址(例如,从地址do_not_reply_to.user@site.ru)通过FSF接收的消息中进行回复就足够了,就好像暗示该主题没有意义。如果主题很有趣,那么您应该从动态地址进行回复,而不必让攻击者甚至没有机会找到“组织的主要电子邮件”。

网络钓鱼


IB组负责人Ilya Sachkov的采访到Roscongress基金会(PRIME):
从用户可能会遇到的最严重问题的角度来看,电子邮件仍然是传递恶意代码或网络钓鱼电子邮件的主要方法。
我认为一位受人尊敬的专家的说法是承认不可能用现有的手段解决问题。我认为,如果攻击者知道电子邮件地址,则无法解决该问题。如果他们知道门在哪里,他们将尝试将其打开。有很多这样的例子。这是人类和人类知识与技术之间的无休止的斗争。不幸的是,攻击者将永远领先一步。当在线社区讨论新事物时,攻击者设法发现漏洞。这个话题很严肃。最近,我在哈布雷(Habré)的新闻中读到
每天Gmail中超过1亿封网络钓鱼电子邮件被阻止

疯狂的传入信息流加剧了用户的网络钓鱼问题,人脑并不总是有时间来处理这些信息。正如库尔巴托夫博士在达沃斯的一次商务早餐中指出的那样从感知信息的模式切换到处理信息的模式,大脑大约需要23分钟。

换句话说,如果一个普通人在21小时内以23分钟的间隔接收到21条传入消息,则他将无法处理和组织此信息。
思维定型,定型,大脑休眠
此时,用户可能会犯一个错误而没有注意到例如发件人地址中一个字符的差异。用户可以动态发送电子邮件-不,更不用说用户不必每隔23分钟接收一次垃圾邮件。为了进行攻击,您需要了解发件人地址和收件人地址的对应关系,甚至更好地访问发件人的邮箱。

玩笑
. . . :
– ?
– , !
– ?
– .
– , , !
– , … ( )
– , , , .
– , !
– , ?

喷涂密码和蛮力


电子邮件(不仅是电子邮件)无可争议的弱点是电子邮件与登录的巧合。另一个问题-任何邮件服务器都建议可以通过POP3协议进行连接,该协议仅提供两个用于授权USERPASS的命令,即登录名和密码。毫无疑问,任何两因素授权。如果攻击者知道某人的电子邮件,他将自动获得有关邮件服务器和登录名的信息。接下来是技术问题。

在重要情况下,可以对邮件资源应用特殊授权,而不必担心密码飞溅和暴力破解等危险。它还会使MITM攻击复杂化。

示例:user@site.ru-主地址1.user@site.ru-动态,my_pin.user @ site.ru-授权。结果,我们获得了一种两因素授权以及关于黑客入侵尝试的附加警告机制。尽管可以使用更简单的密码,但是要获得具有这种保护的邮箱是极其困难的。

对于严重情况,您甚至可以使用动态授权,以具有反馈的汽车警报器原理工作,即 随后的每个通信会话的新登录名,密码均保持不变。什么是不可行的选择?如果患者被诊断出患有迫害性躁狂症,这并不意味着未对其进行随访。

时事通讯


时事通讯之所以危险,是因为它们的信息包含许多资源链接,以及代表某个品牌(例如世界卫生组织)进行攻击的可能性。如今,许多人已经意识到,漫不经心地单击接收到的消息中的链接是很危险的,但并非所有人都意识到“退订新闻通讯”链接同样危险。实际上,这是具有某些功能的网络钓鱼:不要求用户采取任何行动,不公平地收到消息会激怒用户,更正潜在可能性(单击链接)会使用户放松。取消订阅的结果是不可预测的。可以将用户定向到克隆站点。它仍然不受盗窃或出售个人数据的保护。几乎不可能确定泄漏源并惩罚“违法者”。伤心

动态电子邮件会在此处纠正这种情况:您无需单击链接,泄漏的根源是通过发件人-收件人地址的对应关系来计算的,而个人数据本身的泄漏也无济于事。只需单击一下按钮,即可将其数据库中的电子邮件转换为数字垃圾桶,从而使泄漏的罪魁祸首很容易得到惩处。

伪采矿


有关此主题的信息很多,例如:虚假的“采矿”海啸:已知的知识和如何生活

这篇文章有趣的一句话:
最近,流氓消息中开始出现好奇的字样:“记住俄罗斯联邦刑法典205.6。没有举报犯罪。” 确实存在《刑法》中的此类条款,将面临最高十万卢布的罚款以及最高一年的监禁
这种情况的独特之处在于,攻击者以最低的成本和被检测到的风险获得了最大的结果:任何搜索引擎都将帮助您列出攻击列表,只需键入“学校”,“购物中心”,“法院”等即可;在几乎所有组织的网站上,电子邮件均以明文形式显示;很少有垃圾邮件过滤器调整程序冒着将有关挖矿的消息发送到垃圾邮件文件夹的风险,将责任转移给其他人更容易。

我们无法谈论此类攻击造成的物质和心理损失。要解决此问题,您只需要隐藏组织的电子邮件,然后将攻击者发送到FSF即可。

攻击者很清楚,通过FSF发送消息大大简化了调查错误访问案件的过程。阻止来自匿名者,来自任何IP地址的FOS呼叫的过程比阻止过去用于发送有关“挖矿”消息的资源(例如startmail.com和protonmail.com)微妙得多。Mail.ru也进行了攻击,但是由于某种原因,没有对该资源进行阻止。教育部为什么不引入这样一个系统,使它具有一个单一的中心来分析传入的信息?它的实施成本仅是去年伪采矿造成的财务损失的十倍(如果不是数百倍)。

巨魔和仇恨者


这些动植物的代表使VIP和任何公众人士都为之头痛。要让每个人都百分百享受和有趣是不现实的,但是“每个人都可以冒犯一个艺术家”。动态电子邮件的用户完全独立地调节其对世界的“开放性”。要无限期仅与老朋友保持联系,就足够了:关闭接收的FOS,关闭接收的主地址并更改动态地址。完成此过程后,您可以安全地爬入家中做生意,而不会因各种“小事”而分心。用户决定在门上悬挂哪个标签“请勿打扰!” 或“直到春天才醒!”。

网络战


该系统已准备好进行网络战,即 攻击资源或整个国家。万一遭到管理员或邮件资源算法的攻击,就足以关闭所有要接收的主要地址,并且,随着情况的发展,可能会强行随机更改用户的动态地址,例如使用SMS通知用户。由于攻击者在将消息下载到服务器之前已被阻止,因此似乎不太可能使传入的流量使数据传输通道和硬件容量过载。我认为,现代垃圾邮件过滤系统已经超过了其发展的顶峰,应将其替换为垃圾邮件阻止系统。随着5G的发展和物联网的普及,该主题将变得越来越重要。好的一句老话:“硬盘不是橡胶。”

生态


怎么没有她!环境安全这一话题使所有人兴奋。我只给出几个引号:
  • ICF International和McAfee在2009年4月的报告中的统计数据:每年向世界发送62万亿个“垃圾”消息,为此花费的发电量(超过330亿千瓦/小时)导致排放超过1700万吨的二氧化碳
  • 摘自2011年法国环境报告:垃圾邮件总计73万亿条消息,即每位互联网用户每年17,800条消息
我没有寻找更多的最新信息,我相信今天的情况并没有改善。

谁受益


如果全世界因垃圾邮件和网络钓鱼造成的损失达数百亿美元,那么根据保护法则,应该有人为此赚钱。我根据这个话题进行了推理,得出的结论是,对谁说垃圾邮件无利可图,这更加容易和正确,从而避免了说“钉子的生命周期”的风险。

答:垃圾邮件对受尊敬的用户不利


感谢您的关注。我祝贺商人放假,并祝贺哈伯-生日快乐!

我还要感谢所有亲爱的读者,他们将在出版物结尾处回答这个问题。

All Articles