E-mail odeslaný přes VPN: kam odpověď skutečně dorazí

Odešlete zprávu tunelem, odpojíte se a odpověď dorazí druhý den ráno. Nic z toho nepotřebuje starou VPN adresu a nic z toho se nerozbije. E-mail nesměruje odpovědi na adresu, ze které byla zpráva odeslána; směruje je do poštovní schránky. Tři cesty se zde slévají v jednu otázku a jejich oddělení odpovídá na většinu obav.

Tři cesty, které lidé slévají v jednu

Podání, doručení a čtení jsou tři oddělená připojení a jen dvě z nich zahrnují vaše zařízení.

Submission: your mail app  -> your mail service
Delivery:   other mail service -> your mailbox service
Reading:    your app now -> your mailbox service

VPN může ovlivnit první a třetí, protože to jsou připojení, která vaše zařízení navazuje. Nemůže ovlivnit druhé, protože ta cesta vede mezi dvěma poštovními servery, které nekontrolujete. Odpověď není paket, který se vrací na adresu, ze které jste odeslali. Je to nová zpráva, kterou poštovní služba druhé strany doručí do vaší služby poštovní schránky.

Jakmile ty tři držíte oddělené, otázka, zda vás odpověď najde, přestává být záhadná.

Pole Reply-To je adresa, ne trasa

RFC 5322 definuje Reply-To jako poštovní schránku nebo schránky, na které se mají odpovědi posílat. Bez něj je obvyklou výchozí hodnotou schránka From, pokud člověk, který odpovídá, nenapíše něco jiného. Obojí jsou poštovní adresy v hlavičce. Ani jedno není pokyn znovu otevřít síťové připojení, které odeslalo původní zprávu.

Proto se adresa VPN výstupu nikdy neobjeví v cestě odpovědi. I když server pro podání tuto výstupní adresu někam zaznamenal, odpověď je adresována do poštovní schránky a odesílající server hledá poštovní výměnný server domény, ne váš starý socket.

Pokud odpověď jde někam nečekaně, přečtěte si Reply-To a vlastní nastavení klienta odesílatele, než začnete podezřívat tunel.

Co sledovací hlavičky skutečně zaznamenávají

Každý SMTP skok přidává hlavičku Received, která popisuje připojení, které zpracoval, a ta nejhořejší je poslední skok před doručením. Odeslaná zpráva tak může nést síťové podrobnosti, které stojí za přezkoumání, a tyto podrobnosti píší servery, ne vy. Co obsahují, závisí na architektuře podání u poskytovatele a na jeho zpracování hlaviček.

Čtěte je místo hádání, z uložené zprávy:

grep -E '^(Received|Return-Path|Reply-To|From):' message.eml

Užitečná disciplína je určit, která důvěryhodná služba přidala každé pole. Libovolný text dříve v bloku hlaviček není spolehlivý důkaz a název produktu není trvalý slib, že vaše domácí adresa je vždy přítomná nebo vždy chybí.

Čtení pošty později je nové připojení

Když odpověď otevřete, váš klient se připojí k vaší službě poštovní schránky přes síť, na které právě jste. Je to nové připojení s vlastní zdrojovou adresou, ne pokračování včerejšího socketu pro podání. Řídí se aktuální politikou sítě, kterou v tu chvíli používáte.

Vzdálený obsah je zase třetí věc. Poštovní klient, který načítá vzdálený obrázek nebo sleduje odkaz, provádí samostatný požadavek podle svého aktuálního nastavení a tento požadavek může nést jakékoli identifikátory, které zpráva vložila. Není to SMTP odpověď přicházející na starou adresu a zacházet s ním jako s ní skrývá skutečnou expozici.

Vypněte vzdálený obsah, pokud chcete zprávu přečíst, aniž byste oznámili, že jste ji otevřeli.

Co zkontrolovat, než to nazvete únikem

Začněte zobrazením původní zprávy a polem Reply-To. Potom určete, která služba přidala záznamy Received, které vás znepokojují, a porovnejte to s aktuální dokumentací poskytovatele, ne se starou odpovědí z fóra.

Nakonec oddělte otázky: co pozoroval server pro podání, co přidala doručovací řetěz a co si váš klient vyžádal, když jste zprávu otevřeli?

Odpovědět na ty tři odděleně je víc práce než zkontrolovat stránku s IP a je to jediná verze, která dává závěr, který můžete obhájit. Odpověď na e-mailovou adresu neprozradí vaši domácí adresu a nevyžaduje, aby starý tunel zůstal zapnutý.