E-mail trimis prin VPN: unde ajunge de fapt răspunsul

Trimiți un mesaj prin tunel, te deconectezi, iar răspunsul sosește a doua zi dimineață. Nimic din asta nu are nevoie de vechea adresă VPN și nimic nu se strică. E-mailul nu direcționează răspunsurile către adresa de la care a fost trimis un mesaj; le direcționează către o căsuță poștală. Trei căi se contopesc aici într-o singură întrebare, iar separarea lor răspunde celei mai mari părți a îngrijorării.

Trei căi pe care oamenii le contopesc într-una

Trimiterea, livrarea și citirea sunt trei conexiuni separate, iar doar două dintre ele implică dispozitivul tău.

Submission: your mail app  -> your mail service
Delivery:   other mail service -> your mailbox service
Reading:    your app now -> your mailbox service

VPN-ul poate afecta prima și a treia, pentru că sunt conexiuni pe care le face dispozitivul tău. Nu poate afecta a doua, pentru că acea cale trece între două servere de poștă pe care nu le controlezi. Un răspuns nu este un pachet care se întoarce la adresa de la care ai trimis. Este un mesaj nou pe care serviciul de poștă al celeilalte părți îl livrează serviciului tău de căsuță poștală.

Odată ce ții aceste trei separate, întrebarea dacă răspunsul te va găsi nu mai este misterioasă.

Un câmp Reply-To este o adresă, nu o rută

RFC 5322 definește Reply-To ca fiind căsuța sau căsuțele poștale către care trebuie trimise răspunsurile. Fără el, valoarea implicită obișnuită este căsuța From, dacă persoana care răspunde nu tastează altceva. Ambele sunt adrese de poștă aflate într-un antet. Niciuna nu este o instrucțiune de a redeschide conexiunea de rețea care a trimis mesajul original.

De aceea o adresă de ieșire a VPN nu apare niciodată pe calea răspunsului. Chiar și când serverul de trimitere a înregistrat undeva acea adresă de ieșire, răspunsul este adresat unei căsuțe poștale, iar serverul expeditor caută schimbătorul de poștă al domeniului, nu socketul tău vechi.

Dacă un răspuns ajunge undeva neașteptat, citește Reply-To și propriile setări ale clientului expeditorului înainte de a suspecta tunelul.

Ce înregistrează de fapt anteturile de urmărire

Fiecare salt SMTP adaugă în față un antet Received care descrie conexiunea tratată, iar cel mai de sus este ultimul salt înainte de livrare. Un mesaj trimis poate așadar purta detalii de rețea care merită trecute în revistă, iar acele detalii sunt scrise de servere, nu alese de tine. Ce conțin depinde de arhitectura de trimitere a furnizorului și de felul în care tratează anteturile.

Citește-le în loc să ghicești, dintr-un mesaj salvat:

grep -E '^(Received|Return-Path|Reply-To|From):' message.eml

Disciplina utilă este să identifici ce serviciu de încredere a adăugat fiecare câmp. Textul arbitrar de mai sus din blocul de anteturi nu este o dovadă de încredere, iar numele unui produs nu este o promisiune permanentă că adresa ta de acasă este mereu prezentă sau mereu absentă.

Citirea poștei mai târziu este o conexiune nouă

Când deschizi răspunsul, clientul tău se conectează la serviciul de căsuță poștală prin rețeaua pe care te afli acum. Este o conexiune proaspătă, cu propria adresă sursă, nu o continuare a socketului de trimitere de ieri. Ea urmează politica actuală a rețelei pe care o folosești în acel moment.

Conținutul la distanță este încă un al treilea lucru. Un client de poștă care încarcă o imagine la distanță sau urmează un link face o cerere separată conform setărilor sale actuale, iar acea cerere poate purta orice identificatori pe care mesajul i-a încorporat. Nu este răspunsul SMTP care sosește la o adresă veche, iar tratarea lui ca atare ascunde expunerea reală.

Oprește conținutul la distanță dacă vrei să citești un mesaj fără să anunți că l-ai deschis.

Ce să verifici înainte de a-i spune scurgere

Începe cu vizualizarea mesajului original și cu câmpul Reply-To. Apoi identifică ce serviciu a adăugat intrările Received care te îngrijorează și compară asta cu documentația actuală a furnizorului, nu cu un răspuns vechi de pe forum.

În final, separă întrebările: ce a observat serverul de trimitere, ce a adăugat lanțul de livrare și ce a cerut clientul tău când ai deschis mesajul?

Să răspunzi la aceste trei separat este mai multă muncă decât să verifici o pagină de IP și este singura versiune care produce o concluzie pe care o poți apăra. Răspunsul la o adresă de e-mail nu îți dezvăluie adresa de acasă și nu cere ca vechiul tunel să rămână activ.