「初歩的ミスによるメールアドレス漏えい相次ぐ」記事へのコメント

BCCはどこまで危険？

[Anonymous Coward]

つい先日、勤務先で情報セキュリティ教育が行われたのですが、
昨年までは「アドレス流出を防ぐためにBCCを使いましょう」といわれていたのが
今年になって「BCCでもメールアドレスが流出する場合があるのでメーリングリストを使いましょう」
と変わっていました。
不勉強で申し訳ないのですが、BCCに設定したはずのメールアドレスが流出したという具体的な事例や
そういう脆弱性を抱えたMTAについて、どなたか教えていただけないでしょうか？

＃ISO27001認証取得企業にいるのに上記のようなていたらくなのでAC

Re:BCCはどこまで危険？

[reininn (35924)]

BCC は、あくまでも、紳士協定の産物です。
相手のサーバに届いた時点では、アドレスは入っています。
相手のサーバが、ご丁寧に消去してくれるので正常に配信されると
無かった様に見えるのです。
ですので、相手のサーバが、悪意のあるものであったり、何らかのトラブルを抱えていたりすると
BCC が消去されずにばら撒かられるかもしれません。

Re:BCCはどこまで危険？

[taka2 (14791)]

> 相手のサーバに届いた時点では、アドレスは入っています。

そんなわけはありません。
SMTP によるメール配信システムにおいては、
「差出人」や「送り先」などのエンベロープ情報は、
「ヘッダ」や「本文」などとはまったく別個に管理されています。

UNIXな昔ながらのMUAでは、入力されたテキストのヘッダに書かれた「To:」「Cc:」「Bcc:」などを抽出して、
それを元に Envelope To を生成してました(ついでにBcc:行も削除する)。

今時のWindowsなメーラとかだったら、入力された宛先から直接 Envelope To を生成し、
間に「Bcc: なヘッダを生成」するような処理は入ってないでしょう。

どっちにしろ、実際に伝送処理を行う送り先は、ヘッダとはまったくの別物で、
メールがMUAから最初のMTAに渡された時点で、「ヘッダ」にも「本文」にも、
Bccな情報は消えています。

#だから、Bcc: とは逆に、To: や Cc: にはアドレスが書かれてるけど、実際にはそこにメールは送らない、
#なって処理も可能です。見かけ上「○○さんにもCcされてる」ようでも、そうとは限らない…

Re:BCCはどこまで危険？

[elderwand (34630)]

> 相手のサーバに届いた時点では、アドレスは入っています。

え！？
おいらのメーラから出て行く時点で消えてると思っていたのに！

＃いや、まともなメーラなら、そうだと思うのだが、、、

Re:

[Anonymous Coward]

んなわけねー

Re:

[Anonymous Coward]

ご存じないのかもしれませんが、IDで発言すると自動的にスコアが+1されるのですよ。どんなゴミ発言でも。

Re:

[Anonymous Coward]

「参考になる」モデまで付いてるんだぜ。