Przyrostek cid, który wygląda jak ID VPN, to tylko MIME Content-ID

Widzisz openvpn w identyfikatorze w nawiasach kątowych w nagłówku wiadomości i oczywisty wniosek jest taki, że wiadomość ma coś wspólnego z sesją VPN. Przeczytaj całą linię, zanim się na tym oprzesz: ten ciąg znajduje się w Content-ID, a Content-ID to nazwa jednej części treści w jednej wiadomości. Odwołanie cid: w HTML wskazuje na tę nazwę, a para istnieje po to, by poczta mogła nieść obraz bez wysyłania go dwa razy. Nic w tym układzie nie dociera do serwera VPN, a nic w przyrostku nie mówi, kto zbudował identyfikator.

Na co identyfikator naprawdę wskazuje

Poczta HTML rzadko przychodzi jako jeden blok. Tekst i każdy osadzony obraz zwykle podróżują jako osobne części MIME, a klient składa je ponownie do wyświetlenia. Potrzebuje do tego nazwy części z obrazem i odwołania, które rozwiązuje się do tej nazwy.

Poniższa para jest wymyślona na potrzeby ilustracji.

Content-ID: <[email protected]>

<img src="cid:[email protected]" alt="Company mark">

Linia nagłówka znajduje się w części z obrazem; element img znajduje się w części HTML. Nawiasy kątowe należą do składni nagłówka, więc odwołanie cid: zwykle zapisuje identyfikator bez nich. Wartości ze znakami wymagającymi escape muszą być zakodowane i dlatego ta para jest ilustracją, a nie regułą konwersji. Znaczenie niesie zgodność obu ciągów, a nie którykolwiek z nich osobno.

Przyrostek @openvpn jest szczegółem konstrukcji

Content-ID jest budowany tak, by był unikalny w obrębie jednej wiadomości, a oprogramowanie pocztowe często upodabnia go do adresu, dodając @ i domenę. Ten kształt jest konwencją generatora, nie trasą: nic w nagłówku nie każe klientowi kontaktować się z mailer.example i nie ma żadnego wyszukiwania przy wyświetlaniu wiadomości. Pole nie jest też nazwą konta, użytkownikiem VPN ani znakiem zostawionym przez klienta VPN. Ten, kto składał wiadomość, wybrał ten ciąg, nadając nazwę części.

RFC 2392 definiuje schemat cid i ogranicza go do odwoływania się do wiadomości i ich części. Przeczytaj ten zakres dosłownie, a przyrostek przestaje być dowodem na cokolwiek poza nazywaniem. Oznacza to także, że twórcy nie da się rozpoznać po przyrostku, i właśnie ten skok robią ludzie, gdy w nagłówku pojawia się znajome słowo.

Zbadaj surowe źródło, a potem oceń kwestię prywatności

Otwórz surowe źródło i przeczytaj całą wartość Content-ID, ponieważ RFC 2392 pozwala, by wartość niosła nazwę hosta nadawcy albo ciąg podobny do konta. Następnie znajdź każde miejsce, w którym pojawia się ta sama nazwa: odwołanie cid: w HTML, inny nagłówek, blok cytowany z wcześniejszej odpowiedzi. Zgodność między tymi wystąpieniami mówi ci, jaki jest cel części.

Właśnie ta właściwość sprawia, że identyfikator może mieć znaczenie dla prywatności. Wartość wywiedziona z nazwy hosta lub nazwy konta podróżuje z wiadomością i może ujawnić coś o maszynie lub osobie, która ją wysłała. To nadal nie jest sesja VPN, a traktowanie jej jako sesji marnuje znalezisko.

Obraz zdalny czy osadzona część: inny ruch

Element img ze źródłem https i element img ze źródłem cid wyglądają w HTML tak samo, a w sieci zachowują się inaczej. Pierwszy nazywa zasób, który klient może pobrać po otwarciu wiadomości, a to pobranie mówi nadawcy, że wiadomość przeczytano i z jakiego adresu. Drugi rozwiązuje się wobec części już obecnej w wiadomości, więc jego wyświetlenie z nikim się nie łączy.

Jedna wiadomość może mieszać oba, a sprawdzenie jednego nie oczyszcza drugiego. Licz odwołania zdalne osobno od osadzonych i zanotuj, na co pozwalają ustawienia klienta. To właśnie ta różnica jest decyzją istotną dla prywatności, a nie słowo wewnątrz identyfikatora.

Udostępnij dowód bez wysyłania wiadomości

Gdy ktoś inny ma to obejrzeć, najpierw zredaguj i rób to konsekwentnie. Zastąp adresy i niepowiązane nagłówki, a potem utrzymaj Content-ID i jego odwołanie cid: zapisane identycznie w kopii, bo niezgodność niszczy jedyny dowód, który ma znaczenie. Powiedz, do której części należał nagłówek i która linia się do niego odwoływała. Recenzent potrzebuje relacji, nie wiadomości.

Następnie rozdziel dwa wnioski na piśmie: co wiadomość zawiera i czego nie dowodzi. Twierdzenie tak sformułowane można sprawdzić i zakwestionować, i właśnie to umożliwia użyteczny raport.