Суфікс cid, схожий на ідентифікатор VPN, — це лише MIME Content-ID

У заголовку листа ви бачите openvpn усередині ідентифікатора в кутових дужках, і очевидний висновок — що лист пов’язаний із сеансом VPN. Прочитайте весь рядок, перш ніж це прийняти: рядок міститься в Content-ID, а Content-ID — це назва однієї частини тіла в одному листі. Посилання cid: в HTML указує на цю назву, і пара існує для того, щоб лист міг нести зображення, не надсилаючи його двічі. Ніщо в цій схемі не досягає сервера VPN, і ніщо в суфіксі не каже, хто створив ідентифікатор.

На що ідентифікатор насправді вказує

HTML-листи рідко надходять одним блоком. Текст і кожне вбудоване зображення зазвичай подорожують як окремі частини тіла MIME, а клієнт збирає їх для показу. Для цього йому потрібна назва частини із зображенням і посилання, що розв’язується в цю назву.

Пару нижче вигадано для ілюстрації.

Content-ID: <[email protected]>

<img src="cid:[email protected]" alt="Company mark">

Рядок заголовка стосується частини із зображенням; елемент img міститься в частині HTML. Кутові дужки належать синтаксису заголовка, тому посилання cid: зазвичай записує ідентифікатор без них. Значення з символами, які треба екранувати, мають бути закодовані, і саме тому ця пара є ілюстрацією, а не правилом перетворення. Сенс несе збіг двох рядків, а не кожен із них окремо.

Суфікс @openvpn — це деталь побудови

Content-ID будується так, щоб бути унікальним у межах одного листа, і поштове програмне забезпечення часто додає до нього @ і домен, щоб він мав вигляд адреси. Така форма — умовність генератора, а не маршрут: ніщо в заголовку не просить клієнт зв’язатися з mailer.example, і жодного пошуку не відбувається під час показу листа. Поле також не є назвою облікового запису, користувачем VPN чи слідом, залишеним клієнтом VPN. Рядок вибрав той, хто складав лист і давав назву частині.

RFC 2392 визначає схему cid і обмежує її посиланнями на листи та їхні частини. Прочитайте цю сферу буквально, і суфікс перестає бути доказом чогось, крім називання. Це також означає, що виробника не можна визначити із суфікса, а саме цей стрибок роблять люди, коли в заголовку з’являється знайоме слово.

Огляньте необроблене джерело, а потім оцініть питання приватності

Відкрийте необроблене джерело й прочитайте все значення Content-ID, бо RFC 2392 дозволяє значенню нести hostname відправника або рядок, схожий на назву облікового запису. Потім знайдіть кожне місце, де з’являється та сама назва: посилання cid: в HTML, інший заголовок, цитований блок із попередньої відповіді. Саме збіг між цими входженнями каже вам, для чого призначена частина.

Та сама властивість є причиною, чому ідентифікатор може бути важливим для приватності. Значення, похідне від hostname або назви облікового запису, подорожує разом із листом і може викрити дещо про машину чи людину, яка його надіслала. Це все ще не сеанс VPN, і ставлення до нього як до сеансу марнує знахідку.

Віддалене зображення чи вбудована частина: різний трафік

Елемент img із джерелом https і елемент img із джерелом cid виглядають у HTML однаково, але в мережі поводяться по-різному. Перший називає ресурс, який клієнт може завантажити після відкриття листа, і це завантаження повідомляє відправникові, що лист прочитано і з якої адреси. Другий розв’язується щодо частини, яка вже є в листі, тож його показ ні з ким не з’єднується.

Один лист може поєднувати обидва, і перевірка одного не знімає іншого. Рахуйте віддалені посилання окремо від вбудованих і зверніть увагу, що дозволяють налаштування клієнта. Для приватності вирішує саме ця різниця, а не слово всередині ідентифікатора.

Поділіться доказами, не надсилаючи листа

Коли це має побачити хтось інший, спершу відредагуйте і редагуйте послідовно. Замініть адреси й не пов’язані заголовки, потім збережіть Content-ID та його посилання cid: написаними однаково в копії, бо розбіжність знищує єдиний доказ, що має значення. Скажіть, якій частині належав заголовок і який рядок на нього посилався. Рецензентові потрібен зв’язок, а не лист.

Потім письмово розділіть два висновки: що лист містить і чого він не доводить. Твердження, сформульоване так, можна перевірити й оспорити, і саме це дає змогу зробити корисний звіт.