一時的な電子メール脅威モデル: 何が保護され、何が保護されないのか

脅威モデルは、何を懸念しているのか、誰に、または何が害を及ぼす可能性があるのか​​、信頼境界はどこにあるのか、どの制御がリスクを軽減するのかを示します。この構造がなければ、「プライバシーのために一時的な電子メールを使用する」ということは危険な約束になる可能性があります。受信専用の一時受信ボックスは、1 つのアドレスを永続的なメールボックスから分離しますが、個人を匿名にしたり、送信者を検証したり、悪意のあるコンテンツを無力化したりすることはありません。

このモデルは、Once Email の通常の使用法を説明します。これは侵入テスト計画ではなく、別の Web サイトに対するアクティビティを許可するものではありません。 Once Email はメールを受信しますが、返信は送信しません。宛先サービスが一時アドレスを許可する場合にのみ使用してください。

アセットを定義する

資産は電子メール アドレスだけではありません。

• アドレスに関連付けられた Web サイトのアカウントの管理。
• 受信メッセージ内の検証コード、リセットリンク、その他の秘密。
• 個人データとメッセージの内容。
• 後で必要になる可能性のある領収書、ライセンス、記録。
• 公開したくない永久的な電子メール アドレス。
• 受信トレイにアクセスするために使用されるデバイス、ブラウザー セッション、およびネットワーク。
• 送信者とダウンロードされたファイルの整合性を信頼します。

用途が異なれば、資産の価値も異なります。ステージング検証フローをテストする認定開発者は主に、分離と再現可能な配信の証拠を必要とします。年間サブスクリプションを購入している顧客には、回復、記録、永続的な通知が必要です。同じ一時受信ボックスは、最初の受信ボックスには適切ですが、2 番目の受信ボックスには有害である可能性があります。

考えられる脅威アクターと失敗を特定する

すべての脅威が高度な攻撃者であるわけではありません。関連するシナリオには次のようなものがあります。

• 送信されたアドレスを Cookie、ネットワーク データ、支払いまたはフォーム フィールドと関連付ける Web サイトまたはデータ ブローカー。
• フィッシングコンテンツ、追跡リソース、または悪意のある添付ファイルを配信する送信者。
• サービスが強力なアクセス制御を提供していない場合、別の人が受信トレイ アドレスを学習または推測し、メッセージを閲覧します。
• 送信者アカウントが侵害され、正しく認証されたものの有害なメールが生成される。
• 一時アドレスが回復または重要な通知の前に期限切れになる。
• スクリーンショットまたは問題トラッカーで確認コード、リセットリンク、または .eml ファイルを公開するユーザー。
• 公開されたルールに基づいて一時ドメインを拒否したり、アカウントを停止したりする Web サイト。
• オペレーターのログ、法的義務、またはユーザーが想定しているよりも多くのコンテキストを保持する技術的なテレメトリ。

有用なモデルには、敵対的な侵入だけでなく、偶発的な損失やポリシーの競合も含まれます。

保護 1: 送信されたアドレスを分離する

一時的なアドレスにより、価値の低い Web サイトが永続的なメールボックス アドレスを受信できなくなる可能性があります。そのサイトの連絡先データベースが後で漏洩したり、迷惑メールに使用されたりした場合、公開された識別子はプライマリ アドレスではなく一時的なアドレスになります。

これは アドレス分離 であり、ID の匿名性ではありません。 Web サイトは、引き続きセッションを IP アドレス、Cookie、ブラウザーのストレージ、デバイスの特性、アカウント名、電話番号、支払い手段、またはアクティビティ パターンに関連付けることがあります。電子メール プロバイダーは、サービスの提供に必要な運用データを処理する場合もあります。

NIST の デジタル アイデンティティ ガイドラインの概要 では、オンラインのデジタル アイデンティティとその人の現実生活のアイデンティティに関する確実性を区別し、アイデンティティ システムが独自のプライバシー リスクを生み出すことを認識しています。ユーザーにとって実際的な結論は、1 つの変更されたフィールドが他のすべての識別子を隠すと主張するのではなく、望ましい分離を正確に記述することです。

保護 2: 有効期間の短いメールを永続的な受信トレイに入れないようにする

別の受信トレイを使用すると、混乱が軽減され、メッセージ内のリモート画像が長期メール クライアント内に読み込まれるのを防ぐことができます。 Once Email は、デフォルトでスクリプト、フォーム、およびリモート画像をブロックする保護されたプレビューを通じて、受信した HTML を表示します。そのリンク チェッカーは、元の HTML をレンダリングせずにリンク先を抽出できます。

これらの制御により露出が軽減されます。メッセージが無害であることを証明するものではありません。目に見える送信者名は偽造される可能性があり、認証されたドメインは悪意のあるドメインまたは侵害される可能性があり、ユーザーは依然として危険な目的地にアクセスしたり、有害なファイルをダウンロードしたりする可能性があります。行動する前に、取り付け安全チェックリスト]およびリンク検査ガイド]に従ってください。

制限 1: メールボックスの機密性と共有シークレット

電子メール検証コードまたはリセット リンクはベアラー シークレットです。それを取得した人は誰でも、有効期限が切れるか使用されるまでアクションを実行できます。サービスの実際のアクセス モデルに従って、受信ボックス アドレス、アクセス トークン、メッセージの内容を扱います。受信トレイの URL、QR コード、スクリーンショット、または生のメッセージを他の人が使用できる場所に投稿しないでください。

一時的な受信トレイは、機密性の高い記録や重要なアカウントへの唯一の回復パスを保管する場所としては適切ではありません。有効期限が切れるとアクセス権が削除される場合があります。アドレスの再利用や弱いアクセスの仮定は、プロバイダーの設計によってはリスクを引き起こす可能性があります。 Once Email の生涯オプションは利便性の制御であり、所有権の保証ではありません。

制限 2: ネットワークとブラウザの追跡

電子メール アドレスを変更しても、Web サイトへのアクセスに使用されるネットワーク接続は変更されません。また、Cookie、ローカル ストレージ、URL パラメータ、または分析識別子は自動的にクリアされません。サインアップ フォームに実名、配送先住所、または支払いが含まれている場合、それらの値は取引を直接識別または関連付けることができます。

「追跡なし」を約束したり想定したりしないでください。 Web サイトの同意とプライバシー管理を確認し、必要な情報のみを共有し、ご自身のリスクに応じて適切なブラウザ保護を使用してください。 NIST の プライバシーに関する考慮事項 では、同意をリスク管理の代替として扱うのではなく、プライバシー問題の可能性と影響の両方を評価することを推奨しています。

制限 3: アカウントの回復と継続性

アカウントの永久的な損失を引き起こす場合、最も強力なプライバシー分離は役に立ちません。サイトが今後のセキュリティ通知やリカバリ コードを期限切れのアドレスに送信した場合、ユーザーは応答できない可能性があります。プロバイダーは、十分な証拠がなければ手動リカバリを合理的に拒否する場合があります。

登録する前に、プライバシー優先の登録判断ツリー を使用してください。一般に、永続的なメールボックスと永続的なエイリアスは、金銭、所有権、ID にリンクされたサービス、定期的なサブスクリプション、記録、継続的な会話の点で優れています。

制限 4: Web サイトのポリシーと不正行為の制御

一時的な受信トレイでは、繰り返しアカウントを作成したり、複数のプロモーションを収集したり、強制を回避したり、未承認のターゲットをテストしたりする権限は付与されません。サイトはドメインを拒否したり、アカウントを制限したり、永続的な連絡方法を要求したりすることができます。それらのルールを尊重してください。検出を技術的な課題として扱わないでください。

承認された製品テストの場合は、メッセージを送信する前に、許可される環境、テスト アカウント、リクエスト レートを定義します。 開発者向け電子メール テスト チェックリスト は、別のシステムの制御を弱めることなく配信テストを再現可能に保ちます。

脅威にマッピングされたコントロール

モデルの結論を正確に述べます

許可され、リスクが低く、有効期限が短い受信タスクの場合、一時的な受信トレイにより永久アドレスの開示を減らし、使い捨てメールを隔離することができます。すべての識別子を隠したり、排他的なメールボックス アクセスを保証したり、長期的な回復を保存したり、作成者を認証したり、すべての添付ファイルをスキャンしたり、リンクを安全にしたりするわけではありません。

トランザクションが変更されたときにモデルを再確認します。実稼働アカウントになるテスト、有料サブスクリプションになる無料プレビュー、または継続的なサポート関係になる 1 回限りのダウンロードには、新しいアドレスの決定が必要です。デフォルトでは、プライバシーは最も短い存続期間ではありません。まだ必要な資産を犠牲にすることなく、開示内容を情報に基づいて制御できます。