Istnieje niewielkie ryzyko nieznanego błędu - lub znanego, ale nieskorygowanego błędu - w Twoim kliencie poczty umożliwiającym atak przez samo wyświetlenie wiadomości.

Myślę, że Jednak ta bardzo obszerna rada jest również podawana jako ochrona przed niektórymi rodzajami oszustw typu phishing . Ataki socjotechniczne są powszechne i mogą prowadzić do poważnych problemów. Dopilnowanie, by ludzie byli przynajmniej podejrzliwi , to pierwsza linia obrony. To tak, jakby powiedzieć starszemu dziadkowi, aby nigdy nie podawał danych swojej karty kredytowej przez telefon - w porządku, oczywiście, istnieje wiele okoliczności, w których jest to względnie bezpieczne, ale kiedy ciągle są oszukiwani w kółko łatwiej jest po prostu powiedzieć: nie rób tego.

Podobnie nieotwarcie poczty powstrzymuje Cię przed czytaniem o losie sieroty w rozdartym wojną regionie, nieoczekiwanie znalazła skrzynkę nazistowskiego złota i potrzebuje tylko 500 dolarów, aby ją przemycić, a połowę podzielą się z tobą, a twoje serce po prostu gaśnie, a także te pieniądze nie zaszkodzą ... Albo, gdy ty znać regułę dotyczącą załączników, ta mówi, że to zdjęcia najsłodszych kociąt na świecie i jak to może być szkodliwe - po prostu kliknę i okej, teraz są te pola z napisem czy chcę na to pozwolić, co jest irytujące, ponieważ oczywiście tak robię, ponieważ chcę zobaczyć kocięta ....

Nie dla Gmaila, ale dla Outlooka pojawiło się wiele exploitów w „okienku podglądu”, w których samo spojrzenie na wiadomość e-mail wystarczyło do włamania: Czy złośliwe oprogramowanie można aktywować, wyświetlając podgląd wiadomości e-mail w Okienko podglądu Outlooka?

Nawet jeśli nie dzieje się nic złego, może się wydarzyć wiele biernie złych rzeczy - na przykład możesz zobaczyć jednopikselowy przezroczysty obraz oznaczony Twoim adresem e-mail, który oznacza Cię jako osobę, która otwiera i czyta podejrzaną wiadomość e-mail. To są listy, na których nie chcesz być.

Weźmy na przykład Gmaila. Przychodzące e-maile są przepuszczane przez filtry poczty lub miliony. Każdy z tych milterów ocenia wiadomość e-mail na podstawie cech. Na przykład stan nadawcy, SPF, DKIM, reputacja domeny, szara lista, listy spamu, zawartość itp. Jeśli wiadomość nie została jeszcze odrzucona w tym momencie, trafi do skanera antywirusowego.

Skaner po prostu odłącza pliki z treści wiadomości i dopasowuje je do definicji wirusów. W przypadku Gmaila archiwa są również rozpakowywane w celu skanowania pojedynczych plików. Gdy nie zostaną znalezione żadne zagrożenia, wiadomość e-mail zostanie zapisana w folderze poczty e-mail.

Działa to jednak świetnie, ale Gmail nie może chronić Cię przed wszystkimi zagrożeniami. Nadal mogą się przedostać dziwne formaty kompresji lub zaszyfrowane pliki. XSS jest mało prawdopodobne, ponieważ tego typu exploity są rozpoznawane dość szybko, albo przez Gmaila, albo przez przeglądarkę. Największą szansą na infekcję jest to, że lokalny klient poczty używa rozszerzeń (np. CVE-2015-6172) do ładowania załączonej zawartości.

Generalnie przeglądanie wiadomości e-mail powinno być bezpieczne, ale oprogramowanie jest złożone i bardzo rzadko doskonałe.

Chociaż dobrzy twórcy oprogramowania będą się starać, aby wyświetlać wszystkie wiadomości e-mail w bezpieczny sposób, błędy. Po wykryciu tych błędów ludzie będą wysyłać spreparowane wiadomości e-mail, które w jakiś sposób wykorzystują je i mogą instalować złośliwe oprogramowanie na komputerze lub robić inne nieprzyjemne rzeczy.

Nowy błąd można dziś wykryć w Gmailu lub przeglądarki internetowej, której używasz, i ktoś może wysłać wiadomość e-mail wykorzystującą ten błąd, zanim otrzymasz aktualizację, która naprawi błąd.

Niebezpieczeństwo znacznie wzrasta, jeśli używasz starej lub nieobsługiwanej przeglądarki internetowej lub klienta poczty e-mail.

Istnieją sposoby dowiedzenia się, że otworzyłeś e-maila (na przykład Mixmax to rozszerzenie przeglądarki Chrome, które śledzi wiadomości e-mail wysyłane przez Gmaila poprzez osadzenie ukrytego obrazu o długości 0 w treść wiadomości e-mail).

Nawet jeśli nie zezwalasz na automatyczne ładowanie obrazów (gdy w Gmailu widzisz na górze wiadomości e-mail link „Wyświetl obrazy poniżej”), jeśli HTML jest załadowany, pozwalasz potencjalnym exploitom wiedzieć, że je czytasz, co jest krokiem naprzód dla bombardowania spamem e-mailowym.

Dlatego odpowiadając na pytanie „dlaczego” innym pytaniem: czy otwieranie i otwieranie załadować nieznaną wiadomość e-mail z osadzonym w niej kodem HTML?

TAK, po prostu otwierając wiadomość e-mail w Gmailu możesz wysyłać dane do potencjalnych napastników.

Inne klienci poczty e-mail, którzy nie blokują dokładnie obrazów otwartych wiadomości e-mail, również wysyłają dane po ich otwarciu.

Obecnie większość przypadków wykorzystywania stanowią szkodliwe linki. Złośliwy kod (głównie javascript) jest specjalnie spreparowany, aby wykonywać niechciany kod za pośrednictwem przeglądarki. W zeszłym tygodniu widzieliśmy 3 dni zerowe dla iOS (patrz Trident / Pegasus), które rozpoczęły się od złośliwego e-maila i prawdopodobnie były na wolności od 2014 roku (od teraz zabezpieczeń) ) Te linki były nawet linkami „jednorazowego użytku”, miały wsparcie dla każdego iOS od 7 i były w stanie zdalnie „jailbreakować” iOS. Chodzi mi o to, że nie tyle martwiłbym się o rzeczywistą „treść” wiadomości, ile o klikanie obrazów lub linków w wiadomości e-mail. Chociaż tak, istnieją sztuczki do ładowania skryptów przez ładowanie obrazu (lub tym podobne), nowoczesne przeglądarki i klienci poczty e-mail mają możliwość zapobiegania skryptom, więc możesz to po prostu wyłączyć. Rozwiązany.

W rzeczywistości programy przetwarzają dane. Programy te mogą zawierać błędy powodujące, że program będzie działał zupełnie inaczej niż zamierzano. Zwykle w takich okolicznościach program zostanie zakończony przez system operacyjny lub po prostu zaangażuje się w losowe, nieszkodliwe zachowanie. Jednak wszystko, co program robi, jest technicznie nadal deterministyczne (chyba że w grę wchodzi przypadkowość) - więc to, co program faktycznie robi, gdy napotyka dane, które przetwarza nieprawidłowo, jest deterministyczne, więc atakujący są w stanie skonstruować dane w sposób kontrolujący dokładnie co robi program.

Podczas odbierania wiadomości e-mail Twój klient poczty e-mail już przetwarza dane, więc istnieje duża szansa, że ​​osoba atakująca może przejąć kontrolę nad Twoim programem pocztowym, wysyłając do Ciebie wiadomość e-mail - nieważne, czy naprawdę na to spojrzysz. Program pocztowy pobierze wiadomość e-mail i, na przykład, wyświetli temat. Gdy otworzysz wiadomość e-mail, Twój klient poczty prawdopodobnie wykona jeszcze więcej rzeczy, takich jak przeanalizowanie kodu HTML w wiadomości e-mail, wyświetlenie zawartości, wyświetlenie obrazów itp. We wszystkim, co robi (od analizowania HTML po renderowanie obrazy, renderowanie tekstu, pobieranie e-maili, wyświetlanie tematu), może być w tym błąd.

Otwarcie podejrzanej wiadomości e-mail jest tylko bardziej ryzykowne, ponieważ więcej rzeczy jest przetwarzanych , gdy faktycznie ją otwierasz.

Kiedy odwiedzasz witrynę internetową (taką jak Gmail) i otwierasz w niej wiadomość e-mail, sytuacja wygląda zupełnie inaczej, ponieważ Gmail to tylko strona internetowa, taka jak każda inna… z wyjątkiem wyświetlania wiadomości e-mail. Problem polega na tym, że strony internetowe muszą wziąć pod uwagę, że nie można po prostu wysłać treści wiadomości e-mail do przeglądarki, ponieważ może wtedy zawierać złośliwy kod HTML i / lub złośliwy JavaScript. Z technicznego punktu widzenia nie różni się to zbytnio od witryn takich jak Wikipedia, w których użytkownicy mogą pisać artykuły zawierające formatowanie.

Oczywiście Twoja przeglądarka będzie również używać bibliotek do renderowania tekstu, przetwarzania czcionek, przetwarzania obrazów itp., więc jeśli w bibliotece obrazów jest błąd, a wiadomość e-mail zawiera złośliwy obraz, to pecha. nie wina Gmaila. Możesz spodziewać się, że możliwe luki w zabezpieczeniach Gmaila są takie same jak w przeglądarce, a ponadto problem XSS i innych luk w zabezpieczeniach specyficznych dla sieci.

Jest to również powód, dla którego zostaniesz zainfekowany różnymi rzeczami nawet jeśli nie odwiedzasz żadnych podejrzanych witryn (a ludzie zwykle mają na myśli witryny pornograficzne, streamingowe, warezowe), dzieje się tak, ponieważ nawet nie podejrzane witryny wyświetlają reklamy z różnych sieci, więc jeśli atakujący w jakiś sposób infekuje sieć reklamową, nawet Podejrzane strony będą serwować złośliwe oprogramowanie. Z technicznego punktu widzenia używanie treści osób trzecich, nad którymi nie masz kontroli, jest niebezpieczne . Pomyśl o tym, co się dzieje, gdy atakujący zdoła przejąć kontrolę nad siecią CDN, która obsługuje jquery, bootstrap lub cokolwiek innego, gdy korzystają z niej tysiące witryn. Wtedy wszystkie te strony będą zawierały złośliwy skrypt javascript. Aby temu zapobiec, istnieje SRI, ale nie wiem, jak dobrze jest to obecnie obsługiwane.

Otwieranie podejrzanej wiadomości e-mail jest tylko bardziej ryzykowne, ponieważ w momencie otwierania przetwarzanych jest więcej rzeczy. Na przykład przetwarzanie, które może:

1. śledzić Twój adres IP

2. wykonać XSS / CSRF / Command Injection, jeśli witryna jest podatna na ataki.

3. lub w zaawansowanym ataku wykorzystaj exe z backdoored'em w celu uzyskania terminala lub roota

Otwieranie podejrzanych wiadomości e-mail może być niebezpieczne w zależności od konfiguracji klienta poczty e-mail. Jeśli te ustawienia pozwalają na uruchamianie kodu, gdy tylko próbujesz dobrze wyświetlić zawartość tekstową, to samo może się zdarzyć, GDY otworzysz załącznik lub klikniesz łącze. To właśnie dzieje się „za kulisami”. Niezamierzony kod jest uruchomiony, ponieważ kliknąłeś coś, aby na to zezwolić, chyba że Twój klient poczty e-mail, przeglądarka lub system operacyjny go zatrzymają.

Dlatego odpowiedź na twoje pytanie w tak dużym stopniu zależy od używanego klienta poczty e-mail i ustawień tego klienta.

Gmail używa pewnych narzędzi, aby zminimalizować to ryzyko, takich jak filtry, skanowanie antywirusowe, a nawet skanowanie archiwów, ale nie klikanie tych „wyświetlanych obrazów” lub klikanie czegokolwiek w wiadomości e-mail zminimalizuje ryzyko do najniższego możliwego poziomu.

Nawet jeśli zrobisz coś tak prostego, jak kliknięcie „wyświetl obrazy” w e-mailu, w Gmailu to żądanie Get może wysłać pasywne informacje do złoczyńców, przybliżając Cię o krok być celem, ponieważ wiedzą, że popełniasz błędy, takie jak klikanie e-maili, których nie powinieneś. Co jest tylko trochę niebezpieczne, prawda? Ale nadal niebezpieczne.

W przeciwieństwie do starszych wersji Outlooka od listopada 2019 r. Nie znam żadnych luk w zabezpieczeniach Gmaila, które sprawiałyby, że przeglądanie zawartości tekstowej w Gmailu było niebezpieczne. Kliknięcie w wiadomość e-mail jest niebezpieczną częścią.

Zastanawiam się, czy trzeba to powiedzieć: samo otwarcie wiadomości e-mail w celu przeczytania treści jest NIEBEZPIECZNE, jeśli JESTEŚ RODZAJEM OSOBY, KTÓRE MAJĄ SIĘ PRZEŚLADOWAĆ, co powoduje w sobie klikając link lub załącznik.