Лист, надісланий через VPN: куди насправді йде відповідь

Ви надсилаєте повідомлення через тунель, відключаєтеся, і відповідь приходить наступного ранку. Ніщо в цьому не потребує старої VPN-адреси, і ніщо в цьому не ламається. Електронна пошта спрямовує відповіді не на адресу, з якої надіслано повідомлення, а до поштової скриньки. Три шляхи тут зливаються в одне питання, і їх розділення знімає більшу частину тривоги.

Три шляхи, які люди зливають в один

Надсилання, доставка і читання — це три окремі з'єднання, і лише два з них стосуються вашого пристрою.

Submission: your mail app  -> your mail service
Delivery:   other mail service -> your mailbox service
Reading:    your app now -> your mailbox service

VPN може впливати на перше і третє, бо це з'єднання, які встановлює ваш пристрій. Він не може впливати на друге, бо цей шлях проходить між двома поштовими серверами, які ви не контролюєте. Відповідь — не пакет, що повертається на адресу, з якої ви надіслали. Це нове повідомлення, яке поштова служба іншої сторони доставляє вашій службі поштової скриньки.

Коли ви тримаєте ці три окремо, питання, чи знайде вас відповідь, перестає бути загадковим.

Поле Reply-To — це адреса, а не маршрут

RFC 5322 визначає Reply-To як поштову скриньку або скриньки, на які слід надсилати відповіді. Без нього звичайним значенням за замовчуванням є скринька From, якщо тільки людина, яка відповідає, не введе щось інше. Обидві — це поштові адреси в заголовку. Жодна з них не є вказівкою знову відкрити мережеве з'єднання, яке надіслало початкове повідомлення.

Тому адреса виходу VPN ніколи не з'являється на шляху відповіді. Навіть коли сервер надсилання десь записав цю адресу виходу, відповідь адресується поштовій скриньці, а сервер, що надсилає, шукає поштовий обмінник домену, а не ваш старий сокет.

Якщо відповідь іде кудись несподівано, прочитайте Reply-To і власні налаштування клієнта відправника, перш ніж підозрювати тунель.

Що насправді записують заголовки трасування

Кожен крок SMTP додає спереду заголовок Received, що описує оброблене з'єднання, а найвищий — це останній крок перед доставкою. Тому надіслане повідомлення може нести мережеві подробиці, варті перегляду, і ці подробиці пишуть сервери, а не обираєте ви. Що в них буде, залежить від архітектури надсилання в провайдера та його поводження із заголовками.

Читайте їх замість здогадок, із збереженого повідомлення:

grep -E '^(Received|Return-Path|Reply-To|From):' message.eml

Корисна дисципліна — визначити, яка довірена служба додала кожне поле. Довільний текст вище в блоці заголовків не є надійним доказом, а назва продукту не є вічною обіцянкою, що ваша домашня адреса завжди присутня або завжди відсутня.

Читання пошти пізніше — це нове з'єднання

Коли ви відкриваєте відповідь, ваш клієнт підключається до служби поштової скриньки через ту мережу, у якій ви зараз. Це свіже з'єднання з власною адресою джерела, а не продовження вчорашнього сокета надсилання. Воно дотримується поточної політики мережі, яку ви використовуєте в той момент.

Віддалений вміст — це ще третє. Поштовий клієнт, який завантажує віддалене зображення або переходить за посиланням, робить окремий запит згідно зі своїми поточними налаштуваннями, і цей запит може нести будь-які ідентифікатори, вбудовані в повідомлення. Це не SMTP-відповідь, що приходить на стару адресу, і ставлення до нього як до такої приховує реальну експозицію.

Вимкніть віддалений вміст, якщо хочете прочитати повідомлення, не оголошуючи, що ви його відкрили.

Що перевірити, перш ніж назвати це витоком

Почніть із перегляду початкового повідомлення та поля Reply-To. Потім визначте, яка служба додала записи Received, що вас непокоять, і порівняйте це з поточною документацією провайдера, а не зі старою відповіддю на форумі.

Насамкінець, розділіть питання: що спостерігав сервер надсилання, що додав ланцюг доставки і що запросив ваш клієнт, коли ви відкрили повідомлення?

Відповісти на ці три окремо — більше роботи, ніж перевірити сторінку IP, і це єдиний варіант, який дає висновок, який можна захистити. Відповідь на поштову адресу не розкриває вашу домашню адресу і не вимагає, щоб старий тунель залишався відкритим.