Hậu tố cid trông như ID VPN chỉ là một MIME Content-ID

Bạn thấy openvpn bên trong một định danh có ngoặc nhọn trong tiêu đề thư và kết luận hiển nhiên là thư có liên quan tới một phiên VPN. Hãy đọc cả dòng trước khi chấp nhận điều đó: chuỗi này nằm trong một Content-ID, và Content-ID là tên của một phần thân trong một thư. Một tham chiếu cid: trong HTML trỏ tới tên đó, và cặp này tồn tại để thư có thể mang một hình ảnh mà không phải gửi hai lần. Không gì trong cách sắp xếp đó chạm tới máy chủ VPN, và không gì trong hậu tố cho biết ai đã tạo ra định danh.

Định danh thực sự trỏ tới điều gì

Thư HTML hiếm khi đến dưới dạng một khối duy nhất. Văn bản và từng hình ảnh nhúng thường đi như những phần thân MIME riêng biệt, và ứng dụng khách ghép chúng lại để hiển thị. Để làm vậy nó cần tên cho phần hình ảnh và một tham chiếu phân giải tới tên đó.

Cặp dưới đây được bịa ra chỉ để minh họa.

Content-ID: <[email protected]>

<img src="cid:[email protected]" alt="Company mark">

Dòng tiêu đề nằm trên phần hình ảnh; phần tử img nằm trong phần HTML. Ngoặc nhọn thuộc cú pháp tiêu đề, nên một tham chiếu cid: thường ghi định danh mà không có chúng. Các giá trị chứa ký tự cần thoát phải được mã hóa, đó là lý do cặp này là ví dụ minh họa chứ không phải quy tắc chuyển đổi. Điều mang ý nghĩa là sự khớp giữa hai chuỗi, không phải một trong hai chuỗi riêng lẻ.

Hậu tố @openvpn là một chi tiết cấu tạo

Content-ID được tạo ra để duy nhất trong một thư, và phần mềm thư thường làm nó trông giống địa chỉ bằng cách thêm @ và một tên miền. Hình dạng đó là quy ước của trình tạo, không phải tuyến đường: không gì trong tiêu đề yêu cầu ứng dụng khách liên hệ mailer.example, và không có tra cứu nào xảy ra khi thư được hiển thị. Trường này cũng không phải tên tài khoản, người dùng VPN hay dấu vết do ứng dụng VPN để lại. Người lắp ghép thư đã chọn chuỗi đó khi đặt tên cho một phần.

RFC 2392 định nghĩa lược đồ cid và giới hạn nó trong việc tham chiếu thư và các phần của thư. Đọc phạm vi đó theo nghĩa đen thì hậu tố không còn là bằng chứng cho bất cứ điều gì ngoài việc đặt tên. Điều đó cũng có nghĩa không thể nhận diện nhà sản xuất từ hậu tố, và đó chính là bước nhảy người ta thường làm khi một từ quen thuộc xuất hiện trong tiêu đề.

Xem mã nguồn thô, rồi đánh giá câu hỏi riêng tư

Mở mã nguồn thô và đọc toàn bộ giá trị Content-ID, vì RFC 2392 cho phép một giá trị mang hostname của người gửi hoặc một chuỗi giống tên tài khoản. Sau đó tìm mọi nơi cùng tên đó xuất hiện: một tham chiếu cid: trong HTML, một tiêu đề khác, một khối được trích từ phản hồi trước. Sự khớp giữa những lần xuất hiện đó là điều cho bạn biết mục đích của phần.

Cũng chính thuộc tính đó là lý do một định danh có thể quan trọng với quyền riêng tư. Một giá trị bắt nguồn từ hostname hoặc tên tài khoản đi cùng thư và có thể tiết lộ điều gì đó về máy hoặc người đã gửi. Nó vẫn không phải phiên VPN, và coi nó là một phiên thì làm mất giá trị của phát hiện.

Ảnh từ xa hay phần nhúng: lưu lượng khác nhau

Một phần tử img với nguồn https và một phần tử img với nguồn cid trông giống nhau trong HTML nhưng hành xử khác nhau trên mạng. Cái đầu đặt tên cho một tài nguyên mà ứng dụng khách có thể tải khi thư được mở, và lần tải đó cho người gửi biết thư đã được đọc và từ địa chỉ nào. Cái sau phân giải dựa trên một phần đã nằm trong thư, nên việc hiển thị nó không liên hệ với ai.

Một thư có thể trộn cả hai, và kiểm tra cái này không xóa cái kia. Hãy đếm các tham chiếu từ xa riêng khỏi các tham chiếu nhúng, và ghi nhận cài đặt của ứng dụng khách cho phép gì. Sự phân biệt đó mới là quyết định quan trọng với quyền riêng tư, không phải từ nằm trong định danh.

Chia sẻ bằng chứng mà không gửi thư

Khi người khác phải xem việc này, hãy che dữ liệu trước và che một cách nhất quán. Thay địa chỉ và các tiêu đề không liên quan, rồi giữ Content-ID và tham chiếu cid: của nó được viết giống hệt trong bản sao, vì sự lệch sẽ phá hủy bằng chứng duy nhất có ý nghĩa. Nói rõ tiêu đề thuộc phần nào và dòng nào đã tham chiếu tới nó. Người đánh giá cần mối quan hệ, không cần lá thư.

Sau đó tách hai kết luận bằng văn bản: thư chứa gì và nó không chứng minh điều gì. Một khẳng định được đóng khung như vậy có thể kiểm chứng và tranh luận, và đó là điều một báo cáo hữu ích cho phép.