A VPN-azonosítóra hasonlító cid utótag csak egy MIME Content-ID

Egy levélfejléc szögletes zárójelbe tett azonosítójában openvpn lát, és a kézenfekvő következtetés az, hogy az üzenetnek köze van egy VPN-munkamenethez. Olvassa végig a sort, mielőtt erre elkötelezné magát: a karaktersor egy Content-ID-ben áll, a Content-ID pedig egy üzenet egyik törzsrészének a neve. Egy cid: hivatkozás a HTML-ben arra a névre mutat, és a pár azért létezik, hogy a levél egy képet anélkül is szállíthasson, hogy kétszer küldené el. Ebben az elrendezésben semmi sem ér el VPN-kiszolgálót, és az utótagban semmi sem mondja meg, ki építette az azonosítót.

Mire mutat valójában az azonosító

A HTML-levél ritkán egyetlen blokként érkezik. A szöveg és minden beágyazott kép általában külön MIME-részként utazik, a kliens pedig megjelenítéshez újra összeállítja őket. Ehhez névre van szüksége a képrészhez, és egy hivatkozásra, amely erre a névre oldódik fel.

Az alábbi pár szemléltetésül kitalált.

Content-ID: <[email protected]>

<img src="cid:[email protected]" alt="Company mark">

A fejlécsor a képrészen áll; az img elem a HTML-részben áll. A szögletes zárójelek a fejléc szintaxisához tartoznak, ezért a cid: hivatkozás általában nélkülük írja az azonosítót. A karaktereket igénylő értékeket kódolni kell, ezért ez a pár szemléltetés, nem átalakítási szabály. A jelentést a két karaktersor egyezése hordozza, nem bármelyik önmagában.

Az @openvpn utótag szerkezeti részlet

A Content-ID-t úgy építik, hogy egy üzeneten belül egyedi legyen, és a levelezőszoftver gyakran úgy tünteti fel, mint egy címet, hozzáfűzve egy @ jelet és egy domaint. Ez a forma a generátor konvenciója, nem útvonal: a fejlécben semmi sem kéri a klienst, hogy kapcsolatba lépjen a mailer.example címmel, és az üzenet megjelenítésekor nem történik semmilyen lekérdezés. A mező nem fióknév, nem VPN-felhasználó és nem VPN-kliens által hagyott jel sem. Aki az üzenetet összeállította, a rész elnevezésekor választotta ki a karaktersort.

RFC 2392 definiálja a cid sémát, és arra korlátozza, hogy üzenetekre és azok részeire hivatkozzon. Ha ezt a hatókört szó szerint olvassuk, az utótag megszűnik bárminek a bizonyítéka lenni az elnevezésen túl. Ez azt is jelenti, hogy a létrehozó nem azonosítható az utótagból, és éppen ezt az ugrást teszik az emberek, amikor egy ismerős szó tűnik fel egy fejlécben.

Vizsgálja meg a nyers forrást, majd ítélje meg az adatvédelmi kérdést

Nyissa meg a nyers forrást, és olvassa el a teljes Content-ID-értéket, mert az RFC 2392 megengedi, hogy egy érték a létrehozó gépnevét vagy fiókhoz hasonló karaktersort hordozzon. Ezután keresse meg minden helyet, ahol ugyanaz a név előfordul: egy cid: hivatkozást a HTML-ben, egy másik fejlécet, egy korábbi válaszból idézett blokkot. Ezen előfordulások egyezése mondja meg a rész célját.

Éppen ez a tulajdonság az oka annak, hogy egy azonosító fontos lehet az adatvédelem szempontjából. A gépnévből vagy fióknévből származtatott érték az üzenettel együtt utazik, és felfedhet valamit a gépről vagy a küldő személyről. Ez még mindig nem VPN-munkamenet, és így kezelni pazarlás a leletre.

Távoli kép vagy beágyazott rész: eltérő forgalom

Egy img elem https forrással és egy img elem cid forrással ugyanúgy néz ki a HTML-ben, és másképp viselkedik a hálózaton. Az első olyan erőforrást nevez meg, amelyet a kliens az üzenet megnyitása után letölthet, és ez a letöltés elmondja a küldőnek, hogy az üzenetet elolvasták és melyik címről. A második egy olyan részhez oldódik fel, amely már az üzenetben van, ezért a megjelenítése senkivel sem lép kapcsolatba.

Egyetlen üzenet keverheti mindkettőt, és az egyik ellenőrzése nem tisztázza a másikat. Számolja a távoli hivatkozásokat külön a beágyazottaktól, és jegyezze fel, mit engednek a kliens beállításai. Ez a megkülönböztetés az adatvédelem szempontjából fontos döntés, nem az azonosítóban lévő szó.

Ossza meg a bizonyítékot az üzenet elküldése nélkül

Amikor valaki másnak meg kell néznie ezt, először szerkessze ki, és tegye ezt következetesen. Cserélje ki a címeket és a nem kapcsolódó fejléceket, majd tartsa a Content-ID-t és annak cid: hivatkozását a másolatban azonosan írva, mert az eltérés tönkreteszi az egyetlen fontos bizonyítékot. Mondja meg, melyik részhez tartozott a fejléc, és melyik sor hivatkozott rá. A bírálónak a kapcsolatra van szüksége, nem az üzenetre.

Ezután válassza szét a két következtetést írásban: mit tartalmaz az üzenet, és mit nem bizonyít. Az így megfogalmazott állítás ellenőrizhető és vitatható, és egy hasznos jelentés éppen ezt teszi lehetővé.