天空 Blond - email
type: channel
link: https://skyblond.info/tag/email/
items: 【歪门邪道】从垃圾邮件谈电子邮件的认证机制

【歪门邪道】从垃圾邮件谈电子邮件的认证机制
type: item
date: 2023-05-12T20:20:00+08:00
description: 今天我在检查邮箱的时候看到了一封十分逼真的垃圾邮件。正好借这个机会来浅显地介绍一下电子邮件的认证机制。电子邮件系统电子邮件系统是一个简单又精妙的系统。这可能是为数不多的被大规模使用的去中心化协议（曾经有一个IRC，但很明显，它早就不算大规模了）。这里先给未曾见识过真正的互联网的年轻人介绍一下电子邮件吧。话是这么说，可是现在的年轻人都刷b站、抖音、快手这些东西，真的会有年轻人用浏览器看我的博客吗？或者说，这样的年轻人，还需要为他/她/它科普什么是真正的互联网吗？总之，电子邮件是早年间随着互联网一起产生的。从历史上说，最早的互联网来自于ARPANET，一个用于科研和国防领域的封包交换网络，始于1969年。在这个项目中，人们一直在研究怎么用计算机互相发送消息。据考证，第一封电子邮件是在1971年在ARPANET上发送的，同时引入了我们现在非常熟悉的地址语法，也就是someone@example.com这样的格式。随后经过一系列RFC的完善，我们最终有了一个公开的电子邮件标准。但和TCP/IP协议一样，由于早期互联网比较原始，人们并没有对协议的各个方面考虑的十分周到，尤其是安全方面。前几天TCP/IP的设计者Vint Cerf就说他现在有三点很后悔：他认为32位地址已经够用了（ipv4）他没有在安全方面施加更多关注他没有注意到万维网的影响虽然完美常常诞生于不完美之中，但这种不完美也常常催生了许多补丁。例如IPv6、PKI体系、搜索引擎等。他们作为补丁并不完美，但确实构成了我们现在每天都赖以维生的互联网。电子邮件也是一样。电子邮件在早期设计的时候并没有过多考虑安全。它的工作流程差不多是这个样子：假如Alice@a.org要给Bob@b.org发送一封邮件，首先Alice要在自己的电脑上使用电子邮件客户端编写邮件，在点击发送之后，这个邮件客户端使用SMTP协议将数据传输给Alice所在组织的邮件服务器。邮件服务器会看到SMTP协议中的目的地址，即bob@b.org，此时邮件服务器会查询b.org的MX记录来获取该域名对应的邮件服务器地址，我们叫他mx.b.org好了。随后Alice的邮件服务器会使用SMTP协议联络mx.b.org，并将Alice的邮件发送给该服务器。Bob在他的电子邮件客户端上收信时，客户端使用IMAP协议联络Bob所在组织的邮件服务器，也就是mx.b.org，来获取bob@b.org的邮件，此时服务器会将Alice发给Bob的邮件传送给Bob。在这个过程中我们可以看出至少三个问题：mx.b.org可能会产生单点失败Alice和Bob的邮件是明文的，任何中间人都可以查阅信息mx.b.org并不验证邮件是否来自Alice关于第一个问题，可以通过DNS解决。一般在设置MX记录时都会设置多个邮件服务器，也就是一个集群。这样一来，即便其中一个节点失败了，其他人还可以根据MX记录中的冗余节点继续发信。第二个问题也好解决。在协议层面，我们有曾经的StartTLS和TLS来加密客户端与服务端、服务端与服务端的通信。在内容方面，Alice和Bob可以使用GPG公钥体系来加密和签名邮件内容。第三个问题比较棘手，因为认证和验证的过程只对客户端-服务器有效，换句话说，Alice要给她组织的邮件服务器发信，必须使用正确的用户名和密码，同时Bob要从他组织的邮件服务器收信，也必须提供正确的用户名和密码。但是Alice的邮件服务器给Bob的邮件服务器发送数据，这之间没有任何验证机制，也就是说，我也可以联络mx.b.org，宣称有一封来自Alice发送给Bob的邮件。本文余下的内容将针对这个问题展开讨论。我收到的垃圾邮件我今天收到了这样一封垃圾邮件： 警告 这是一封垃圾邮件，我已经明确告知你了，请不要把以下引用的内容信以为真。此外，以下信息可能已经过时，因此请不要过于纠结于里面提到的联系方式，它们可能已经被重新分配给普通用户，请不要在本文发布后的未来给他们带来困扰。 标题：独家速办学信网永久可查学历学位证书 AD全国独家权威代办！！独家全国高校院系优质资源渠道，全国独家权威代办！高薪工作，优厚职位，提拔晋升，职称评定，户口办理，出国移民 轻松全搞定！！你是否因为没有大学学历和学位而找不到一份理想工作，或者尽管你在实际工作中积累了丰富经验却因没有学历学位证书而失去提拔晋升的机会? 拥有一个大学学历（学位），确保你在工作事业上的快速成功！为客户解决发展瓶颈期问题，快速轻松实现职务升迁，职称评定岗位晋升，备受私企外企猎头推崇，投资于学历学位产生的回报和价值之高远超任何投资品种，且一次投资终身受益可持续发展！！既可以立竿见影在职场商场如鱼得水，也可以为今后的报考升迁提供坚实的基础！！你为没有学历找不到好工作烦恼吗?还因为没有学历无法大幅提高待遇收入而忧虑吗？…