Un suffisso cid che sembra un ID VPN è solo un Content-ID MIME

Vedete openvpn dentro un identificatore tra parentesi angolari in un’intestazione di posta e la conclusione ovvia è che il messaggio abbia a che fare con una sessione VPN. Leggete l’intera riga prima di impegnarvi: la stringa sta in un Content-ID, e un Content-ID è un nome per una parte del corpo dentro un solo messaggio. Un riferimento cid: nell’HTML punta a quel nome, e la coppia esiste perché la posta possa trasportare un’immagine senza inviarla due volte. Nulla di quella disposizione raggiunge un server VPN, e nulla nel suffisso dice chi ha costruito l’identificatore.

A cosa punta davvero l’identificatore

La posta HTML raramente arriva come un blocco unico. Il testo e ogni immagine incorporata viaggiano di solito come parti MIME separate, e il client le ricompone per la visualizzazione. Per farlo gli servono un nome per la parte dell’immagine e un riferimento che si risolva a quel nome.

La coppia qui sotto è inventata a scopo illustrativo.

Content-ID: <[email protected]>

<img src="cid:[email protected]" alt="Company mark">

La riga di intestazione sta sulla parte dell’immagine; l’elemento img sta nella parte HTML. Le parentesi angolari appartengono alla sintassi dell’intestazione, quindi un riferimento cid: scrive di norma l’identificatore senza di esse. I valori con caratteri che vanno sottoposti a escape devono essere codificati, ed è per questo che questa coppia è un’illustrazione e non una regola di conversione. Ciò che porta il significato è la corrispondenza tra le due stringhe, non l’una o l’altra da sola.

Il suffisso @openvpn è un dettaglio costruttivo

Un Content-ID è costruito per essere unico dentro un messaggio, e il software di posta spesso lo fa sembrare un indirizzo aggiungendo un @ e un dominio. Quella forma è una convenzione del generatore, non un percorso: nulla nell’intestazione chiede al client di contattare mailer.example, e non avviene alcuna ricerca quando il messaggio viene visualizzato. Il campo non è nemmeno un nome di account, un utente VPN o un segno lasciato da un client VPN. Chi ha composto il messaggio ha scelto la stringa mentre dava un nome a una parte.

RFC 2392 definisce lo schema cid e lo limita a referenziare messaggi e le loro parti. Leggete quell’ambito alla lettera e il suffisso smette di essere prova di qualcosa oltre la denominazione. Significa anche che il produttore non è identificabile dal suffisso, ed è esattamente il salto che le persone fanno quando una parola familiare compare in un’intestazione.

Esaminate la sorgente grezza, poi giudicate la questione della privacy

Aprite la sorgente grezza e leggete tutto il valore del Content-ID, perché la RFC 2392 consente a un valore di portare il nome host dell’originatore o una stringa simile a un account. Poi trovate ogni punto in cui compare lo stesso nome: un riferimento cid: nell’HTML, un’altra intestazione, un blocco citato da una risposta precedente. La corrispondenza tra queste occorrenze è ciò che vi dice lo scopo della parte.

Proprio questa proprietà è il motivo per cui un identificatore può contare per la privacy. Un valore derivato da un nome host o da un nome di account viaggia con il messaggio e può rivelare qualcosa sulla macchina o sulla persona che l’ha inviato. Non è comunque una sessione VPN, e trattarlo come tale spreca la scoperta.

Immagine remota o parte incorporata: traffico diverso

Un elemento img con sorgente https e un elemento img con sorgente cid si somigliano nell’HTML e si comportano diversamente sulla rete. Il primo nomina una risorsa che il client può scaricare una volta aperto il messaggio, e quel download dice al mittente che il messaggio è stato letto e da quale indirizzo. Il secondo si risolve su una parte già presente nel messaggio, quindi visualizzarlo non contatta nessuno.

Un solo messaggio può mescolare entrambi, e controllare l’uno non proscioglie l’altro. Contate i riferimenti remoti separatamente da quelli incorporati e annotate cosa consentono le impostazioni del client. È quella distinzione la decisione che conta per la privacy, non la parola dentro l’identificatore.

Condividete la prova senza spedire il messaggio

Quando qualcun altro deve guardare questo, oscurate prima e oscurate in modo coerente. Sostituite gli indirizzi e le intestazioni non pertinenti, poi tenete il Content-ID e il suo riferimento cid: scritti allo stesso modo nella copia, perché una discrepanza distrugge l’unica prova che conta. Dite a quale parte apparteneva l’intestazione e quale riga la referenziava. Il revisore ha bisogno della relazione, non del messaggio.

Poi separate le due conclusioni per iscritto: cosa contiene il messaggio e cosa non dimostra. Un’affermazione inquadrata così si può verificare e discutere, ed è ciò che consente un rapporto utile.