Mô hình mối đe dọa email tạm thời: Nó bảo vệ những gì và không bảo vệ những gì

Mô hình mối đe dọa nêu rõ những gì bạn quan tâm, ai hoặc điều gì có thể gây hại cho nó, ranh giới tin cậy ở đâu và biện pháp kiểm soát nào làm giảm rủi ro. Nếu không có cấu trúc đó, “sử dụng email tạm thời để đảm bảo quyền riêng tư” có thể trở thành một lời hứa không an toàn. Hộp thư đến tạm thời chỉ nhận sẽ tách biệt một địa chỉ khỏi hộp thư cố định nhưng nó không làm cho một người trở nên ẩn danh, xác thực người gửi hoặc vô hiệu hóa nội dung độc hại.

Mô hình này mô tả việc sử dụng Once Email thông thường. Đây không phải là kế hoạch kiểm tra thâm nhập và không cho phép hoạt động chống lại trang web khác. Once Email nhận thư, không gửi thư trả lời và chỉ nên được sử dụng khi dịch vụ đích cho phép địa chỉ tạm thời.

Xác định nội dung

Tài sản nhiều hơn địa chỉ email:

• kiểm soát tài khoản trang web được liên kết với địa chỉ;
• mã xác minh, đặt lại liên kết và các bí mật khác trong tin nhắn nhận được;
• dữ liệu cá nhân và nội dung tin nhắn;
• biên lai, giấy phép và hồ sơ có thể cần thiết sau này;
• địa chỉ email thường trú mà bạn có thể đang cố gắng không tiết lộ;
• thiết bị, phiên trình duyệt và mạng được sử dụng để truy cập hộp thư đến;
• tin tưởng vào người gửi và tính toàn vẹn của các tệp đã tải xuống.

Những mục đích sử dụng khác nhau sẽ định giá những tài sản khác nhau. Nhà phát triển được ủy quyền đang thử nghiệm luồng xác minh theo giai đoạn chủ yếu cần có bằng chứng phân phối cách ly và có thể tái tạo. Khách hàng mua gói đăng ký hàng năm cần được khôi phục, lưu trữ hồ sơ và thông báo lâu dài. Hộp thư đến tạm thời tương tự có thể phù hợp với hộp thư đầu tiên và có hại cho hộp thư thứ hai.

Xác định các tác nhân và lỗi đe dọa hợp lý

Không phải mọi mối đe dọa đều là kẻ tấn công tinh vi. Các kịch bản liên quan bao gồm:

• một trang web hoặc nhà môi giới dữ liệu liên quan đến địa chỉ đã gửi với các cookie, dữ liệu mạng, trường thanh toán hoặc biểu mẫu;
• người gửi gửi nội dung lừa đảo, tài nguyên theo dõi hoặc tệp đính kèm độc hại;
• một người khác đang tìm hiểu hoặc đoán địa chỉ hộp thư đến và xem tin nhắn nếu dịch vụ không cung cấp khả năng kiểm soát truy cập mạnh mẽ;
• tài khoản người gửi bị xâm phạm tạo ra thư được xác thực chính xác nhưng có hại;
• địa chỉ tạm thời hết hạn trước khi được khôi phục hoặc có thông báo quan trọng;
• người dùng hiển thị mã xác minh, liên kết đặt lại hoặc tệp .eml trong ảnh chụp màn hình hoặc trình theo dõi vấn đề;
• một trang web từ chối các miền tạm thời hoặc đình chỉ tài khoản theo các quy tắc đã được công bố của trang web đó;
• nhật ký của nhà điều hành, nghĩa vụ pháp lý hoặc phép đo từ xa kỹ thuật giữ lại nhiều ngữ cảnh hơn người dùng giả định.

Một mô hình hữu ích bao gồm mất mát ngẫu nhiên và xung đột chính sách, không chỉ sự xâm nhập thù địch.

Bảo vệ 1: tách địa chỉ đã gửi

Địa chỉ tạm thời có thể ngăn trang web có giá trị thấp nhận địa chỉ hộp thư cố định. Nếu cơ sở dữ liệu liên hệ của trang web đó sau đó bị rò rỉ hoặc được sử dụng cho các thư không mong muốn thì mã định danh bị lộ sẽ là địa chỉ tạm thời chứ không phải địa chỉ chính.

Đây là cách ly địa chỉ, không phải ẩn danh danh tính. Trang web vẫn có thể liên kết phiên với địa chỉ IP, cookie, bộ nhớ trình duyệt, đặc điểm thiết bị, tên tài khoản, số điện thoại, công cụ thanh toán hoặc mẫu hoạt động. Nhà cung cấp email cũng có thể xử lý dữ liệu vận hành cần thiết để cung cấp dịch vụ.

Giới thiệu Nguyên tắc nhận dạng kỹ thuật số của NIST phân biệt danh tính kỹ thuật số trực tuyến với sự chắc chắn về danh tính trong đời thực của một người và nhận ra rằng hệ thống nhận dạng tạo ra rủi ro về quyền riêng tư của riêng họ. Đối với người dùng, kết luận thực tế là nêu rõ sự phân tách mong muốn thay vì tuyên bố rằng một trường đã thay đổi sẽ ẩn mọi mã định danh khác.

Bảo vệ 2: loại bỏ thư có thời gian tồn tại ngắn khỏi hộp thư đến vĩnh viễn

Việc sử dụng hộp thư đến riêng biệt có thể giảm tình trạng lộn xộn và ngăn hình ảnh từ xa trong thư tải bên trong ứng dụng thư dài hạn. Once Email hiển thị HTML đã nhận thông qua bản xem trước được bảo vệ, chặn các tập lệnh, biểu mẫu và hình ảnh từ xa theo mặc định. Trình kiểm tra liên kết của nó có thể trích xuất các đích đến mà không hiển thị HTML gốc.

Những biện pháp kiểm soát này làm giảm mức độ phơi nhiễm; họ không chứng minh được tin nhắn là lành tính. Tên người gửi hiển thị có thể bị giả mạo, miền được xác thực có thể độc hại hoặc bị xâm phạm và người dùng vẫn có thể chọn truy cập một điểm đến nguy hiểm hoặc tải xuống tệp có hại. Hãy làm theo danh sách kiểm tra an toàn đính kèm và hướng dẫn kiểm tra liên kết trước khi hành động.

Giới hạn 1: bí mật hòm thư và bí mật chung

Mã xác minh email hoặc liên kết đặt lại là bí mật vô danh: bất kỳ ai lấy được nó đều có thể thực hiện hành động cho đến khi nó hết hạn hoặc được sử dụng. Xử lý địa chỉ hộp thư đến, mã thông báo truy cập và nội dung tin nhắn theo mô hình truy cập thực tế của dịch vụ. Không đăng URL hộp thư đến, mã QR, ảnh chụp màn hình hoặc tin nhắn thô ở nơi người khác có thể sử dụng.

Hộp thư đến tạm thời không phải là nơi thích hợp cho các hồ sơ có độ nhạy cảm cao hoặc đường dẫn khôi phục duy nhất đến một tài khoản quan trọng. Hết hạn có thể xóa quyền truy cập của bạn; Việc sử dụng lại địa chỉ hoặc giả định truy cập yếu có thể tạo ra rủi ro tùy thuộc vào thiết kế của nhà cung cấp. Các tùy chọn trọn đời của Once Email là kiểm soát sự thuận tiện chứ không phải đảm bảo quyền sở hữu.

Giới hạn 2: theo dõi mạng và trình duyệt

Việc thay đổi địa chỉ email không làm thay đổi kết nối mạng được sử dụng để truy cập trang web. Nó cũng không tự động xóa cookie, bộ nhớ cục bộ, tham số URL hoặc số nhận dạng phân tích. Nếu biểu mẫu đăng ký bao gồm tên thật, địa chỉ giao hàng hoặc khoản thanh toán thì những giá trị đó có thể trực tiếp xác định hoặc liên kết giao dịch.

Đừng hứa hẹn hoặc cho rằng “không theo dõi”. Xem xét sự đồng ý và kiểm soát quyền riêng tư của trang web, chỉ chia sẻ thông tin cần thiết và sử dụng các biện pháp bảo vệ trình duyệt phù hợp với rủi ro của riêng bạn. Cân nhắc về quyền riêng tư của NIST khuyên bạn nên đánh giá cả khả năng và tác động của các vấn đề về quyền riêng tư thay vì coi sự đồng ý là biện pháp thay thế cho việc kiểm soát rủi ro.

Giới hạn 3: khôi phục tài khoản và duy trì tính liên tục

Việc phân tách quyền riêng tư mạnh mẽ nhất sẽ không hữu ích nếu nó gây mất tài khoản vĩnh viễn. Khi một trang web gửi thông báo bảo mật hoặc mã khôi phục trong tương lai đến một địa chỉ đã hết hạn, người dùng có thể không phản hồi được. Nhà cung cấp có thể từ chối khôi phục thủ công một cách hợp lý nếu không có đủ bằng chứng.

Sử dụng cây quyết định đăng ký ưu tiên quyền riêng tư trước khi đăng ký. Hộp thư cố định và bí danh lâu bền thường tốt hơn về tiền bạc, quyền sở hữu, dịch vụ liên kết danh tính, đăng ký định kỳ, hồ sơ và các cuộc trò chuyện đang diễn ra.

Giới hạn 4: chính sách trang web và kiểm soát lạm dụng

Hộp thư đến tạm thời không cấp quyền tạo tài khoản lặp lại, thu thập nhiều quảng cáo, trốn tránh việc thực thi hoặc kiểm tra mục tiêu trái phép. Một trang web có thể từ chối tên miền, giới hạn tài khoản hoặc yêu cầu một phương thức liên hệ lâu dài. Tôn trọng những quy tắc đó; không coi việc phát hiện là một thách thức kỹ thuật.

Để thử nghiệm sản phẩm được ủy quyền, hãy xác định môi trường được phép, tài khoản thử nghiệm và tỷ lệ yêu cầu trước khi gửi tin nhắn. Danh sách kiểm tra email dành cho nhà phát triển giúp các thử nghiệm phân phối có thể lặp lại mà không làm suy yếu khả năng kiểm soát của hệ thống khác.

Kiểm soát được ánh xạ tới các mối đe dọa

Nêu chính xác kết luận của mô hình

Đối với nhiệm vụ nhận được phép, rủi ro thấp và trong thời gian ngắn, hộp thư đến tạm thời có thể giảm việc tiết lộ địa chỉ thường trú và cách ly thư dùng một lần. Nó không ẩn tất cả số nhận dạng, đảm bảo quyền truy cập hộp thư độc quyền, duy trì khả năng khôi phục lâu dài, xác thực tác giả, quét mọi tệp đính kèm hoặc tạo liên kết an toàn.

Xem lại mô hình khi giao dịch thay đổi. Bản thử nghiệm trở thành tài khoản sản xuất, bản xem trước miễn phí trở thành đăng ký trả phí hoặc bản tải xuống một lần trở thành mối quan hệ hỗ trợ liên tục cần có quyết định về địa chỉ mới. Theo mặc định, quyền riêng tư không phải là thời gian tồn tại ngắn nhất; đó là quyền kiểm soát có hiểu biết đối với những gì được tiết lộ mà không phải hy sinh tài sản mà bạn vẫn cần.