アカウント名:
パスワード:
差出人なんて詐称し放題なんですが・・・差出人を見て判断するのは危険では
EHLO AAAAAAMAIL FROM:RCPT TO:DATA.....From:
の部分はSPFなどではじかれるけどの部分は偽装し放題なうえにSPFでもチェックされない部分で、かつMUAで表示される差出人になるわけですし
こんなものを信用してはだめでしょうタグくらいにとらえておいたほうがいいのでは・・・？
ああ・・・一部削除されてる・・・SPFのチェックの対象となるのはenvelope-fromとHELOのあとのホストの部分なのでメールヘッダは、そもそも偽装され放題ですよと・・・
記事の本文くらい読めよ……。
記事では、送信元とenvelopeの区別が付いていないでしょ元ACはそこを指摘してるよね
分からないならコメントしないほうがいいよ
いやだから、
> SMTPサーバーを使用してメールを送信すれば任意のメールアドレスを差出人のメールアドレスに偽装することは可能だが、Gmailなどでは別のメールアドレスを使用する場合はそのメールアドレスに送信される確認コードの入力が必要となる。
>しかし、この方法では確認を必要としないため、簡単に差出人を偽装できてしまうことになる。また、差出人のメールアドレスとして記載されているのは本物なので、DKIMやSPF、DMARCといった送信ドメイン認証技術による確認もすり抜けてしまう。
読んでる？ねえ、本当に記事本文読んでる？
それとメールヘッダのFromもエンベロープのFromも偽装可能（というか自己申告）なのに、この話の流れで区別する意味あんの？
要するにメールのFromは偽装し放題なわけですね。
元ACだけど、この人理解して書いてないね…元々の文章があやまってるでしょーに
差出人のメールアドレスはSPFと関係ないのRFC4408のsenderの定義でも読んでみれよ
かたやSPFの対象でかたや、偽装し放題なのに、区別しないでどうするの？
頭沸いてるの？
DKIMの検証対象は、envelope from じゃなくて、メッセージヘッダの方ですよ。つまり、DKIMを通っていれば、メッセージヘッダのFrom:は正しい筈。それが偽装されるってのが問題。
まあ、これはタレコミにSPFなんて書いてあるのも悪いんだけど。
いえ別にそこは偽装されません。ただ単に、名前欄のメールアドレスを実メールアドレスと誤解しやすい形で表示されるケースが有るという外観上の脆弱性です。実行ファイルのアイコンをフォルダアイコンにしとくようなのと割と似た方向性の攻撃が可能ですよ、と。自称差出人名で終わらずに実メールアドレスをわかりやすく表示してれば簡単に回避可能なのでそれをやってほしいという要望。
より多くのコメントがこの議論にあるかもしれませんが、JavaScriptが有効ではない環境を使用している場合、クラシックなコメントシステム(D1)に設定を変更する必要があります。
「科学者は100%安全だと保証できないものは動かしてはならない」、科学者「えっ」、プログラマ「えっ」
メールの差出人 (スコア:0)
差出人なんて詐称し放題なんですが・・・
差出人を見て判断するのは危険では
EHLO AAAAAA
MAIL FROM:
RCPT TO:
DATA
.....
From:
の部分はSPFなどではじかれるけど
の部分は偽装し放題なうえに
SPFでもチェックされない部分で、かつ
MUAで表示される差出人になるわけですし
こんなものを信用してはだめでしょう
タグくらいにとらえておいたほうがいいのでは・・・？
Re: (スコア:0)
ああ・・・一部削除されてる・・・
SPFのチェックの対象となるのはenvelope-fromとHELOのあとのホストの部分なので
メールヘッダは、そもそも偽装され放題ですよと・・・
Re: (スコア:0)
記事の本文くらい読めよ……。
Re:メールの差出人 (スコア:0)
記事では、送信元とenvelopeの区別が付いていないでしょ
元ACはそこを指摘してるよね
分からないならコメントしないほうがいいよ
Re:メールの差出人 (スコア:1)
いやだから、
> SMTPサーバーを使用してメールを送信すれば任意のメールアドレスを差出人のメールアドレスに偽装することは可能だが、Gmailなどでは別のメールアドレスを使用する場合はそのメールアドレスに送信される確認コードの入力が必要となる。
>しかし、この方法では確認を必要としないため、簡単に差出人を偽装できてしまうことになる。また、差出人のメールアドレスとして記載されているのは本物なので、DKIMやSPF、DMARCといった送信ドメイン認証技術による確認もすり抜けてしまう。
読んでる？
ねえ、本当に記事本文読んでる？
それとメールヘッダのFromもエンベロープのFromも偽装可能（というか自己申告）なのに、この話の流れで区別する意味あんの？
Re: (スコア:0)
要するにメールのFromは偽装し放題なわけですね。
Re: (スコア:0)
元ACだけど、この人理解して書いてないね…
元々の文章があやまってるでしょーに
差出人のメールアドレスはSPFと関係ないの
RFC4408のsenderの定義でも読んでみれよ
Re: (スコア:0)
かたやSPFの対象でかたや、偽装し放題なのに、
区別しないでどうするの？
頭沸いてるの？
Re: (スコア:0)
DKIMの検証対象は、envelope from じゃなくて、メッセージヘッダの方ですよ。
つまり、DKIMを通っていれば、メッセージヘッダのFrom:は正しい筈。
それが偽装されるってのが問題。
まあ、これはタレコミにSPFなんて書いてあるのも悪いんだけど。
Re: (スコア:0)
いえ別にそこは偽装されません。
ただ単に、名前欄のメールアドレスを実メールアドレスと誤解しやすい形で表示されるケースが有るという外観上の脆弱性です。
実行ファイルのアイコンをフォルダアイコンにしとくようなのと割と似た方向性の攻撃が可能ですよ、と。
自称差出人名で終わらずに実メールアドレスをわかりやすく表示してれば簡単に回避可能なのでそれをやってほしいという要望。