(proxy-sniffer)>(ssl-webmail) вопрос
Здравствуйте уважаемые!
Залогинился я через прокси на почтовый ящик через веб-интерфейс который работает по протоколу HTTPS, вбил адрес получателя, текст письма и отправил...
Возникают следующие вопросы:
- Если прокси является частью ботнета или выходным узлом TOR, сможет ли он перехватить адрес получателя?
- Сможет ли такой же прокси или выходной узел TOR перехватить адрес получателя если почтовый веб-интерфейс работает по обычному HTTP, но при этом адрес получателя я не ввожу руками в поле, а выбираю его из записной книги, хранящейся на почтовом сервере?
Считайте, что web-proxy — это как удалённая ОС, причём не под вашим контролем, а под чужим, и вы всё делаете из-под неё. Сами вы можете контролирвать только канал между вами и web-прокси, но не канал между web-proxy и целевым сайтом.
Вбиваете руками или выбирайте адрес мышкой — не важно. Потенциально система имеет доступ ко всем данным. Может хоть скриншоты делать того, что вы там выбираете. Можно надеяться, что что-то технически имплеменчено на стороне web-прокси, а что-то нет, но на концептуальном уровне доверять этому никак нельзя. На http сам сайт или на https — не играет роли, если web-proxy допускается быть злонамеренной.
Web-proxy — половинчатое решение только для двух проблем:
Впрочем, и 1 и 2 ненадёжны, если web-proxy злонамеренна:
Так или иначе, web-proxy — не решение ни для какого серьёзного дела. Если раскрытие анонимности вам грозит чем-то серьёзным, никогда не пользуетсь web-проксями.
Прокси – обычный, вида ip:port, ну, например socks.
Почта – именно об её веб-интерфейсе идёт речь, то есть, подразумевается использование почты по HTTP/HTTPS, а не POP/SMTP.
*Теоретически это так, но в практическом смысле тут всё тухло: смотрите /comment53596 и /biblioteka/statji/certifiedlies.
С точки зрения внешнего наблюдателя выглядит так:
Тут всегда рады помочь в ответах на грамотно поставленные вопросы по теме сайта. Обращайтесь, если что.
Естественно, отправитель сообщений должен все действия производить анонимно, т.е. через Tor.
назначение этого письма?
в чем специальность? и наверно открытый?
откуда он его берет? может закрыть архив паролем и на этом остановится? вот его как то еще можно сообщить.
Специальность в том, что ключ (сгенерённая ключевая пара) не используется для иных целей и не светится нигде. Естественно, отсылается только открытый ключ. Если вы уже используете PGP-ключ, где указано ваше ФИО в key id, то, подписав сообщение таким ключом, вы раскрываете своё ФИО. И анонимность ящика не поможет. Чтобы это обойти я и предложил сначала только подписать архив, а потом его ещё и зашифровать (будет вероятность подмены письма, но сейчас не о том речь).
Предполагается, что уже знает: Если не знает, но пользуется, то вы и представиться не сможете. Тут разве что отсылать сообщение с ключом и надеяться, что его никто не перехватит. Вопрос доверия ключу в рамках такой схемы принципиально не решается.
Ну это лучше, чем ничего. Если можно сообщить пароль по доверенному каналу, то можно просто договориться о том, какой пароль использовать для всех будущих писем/архивов, и PGP ставновится не нужен (разве что для подписи... и то не уверен).