Privacy
- Wat niemand over je mag weten
Ingebouwd E-mail adres lek in internet protocol?
04-06-2015, 13:13 door Anoniem, 6 reacties
Als ik het goed begrijp kan een website iemands email adres ongemerkt opvragen vanuit de webbrowser met behulp van de header field name "From" . Zie: https://en.wikipedia.org/wiki/List_of_HTTP_header_fields
Alleen dit lijkt me niet altijd wenselijk. (meestal niet?)
Verder vond ik hier geen duidelijke informatie over. Ook merk ik dat doorsnee internetters zich er niet van bewust zijn dat zoiets hen kan overkomen, en dat het een oorzaak zou kunnen zijn voor spam.
Daarom enkele vragen aan de security experts:
1. Begrijp ik het wel goed
2. Is dit mischien ook nog browser-afhankelijk, en hoe kom je er achter welke browsers e-mailadressen "lekken"
3. Hoe blokkeer je dit? (ook bij https connecties)
4. Bestaan er websites waar je kunt testen wat je browser precies uitzendt i.g.v. een "From" header request,
of kan je op andere manieren eenvoudig nagaan/testen hoe je webbrowser op zo'n "From"-header request reageert?
Bij voorbaat dank,
Loesje
Alleen dit lijkt me niet altijd wenselijk. (meestal niet?)
Verder vond ik hier geen duidelijke informatie over. Ook merk ik dat doorsnee internetters zich er niet van bewust zijn dat zoiets hen kan overkomen, en dat het een oorzaak zou kunnen zijn voor spam.
Daarom enkele vragen aan de security experts:
1. Begrijp ik het wel goed
2. Is dit mischien ook nog browser-afhankelijk, en hoe kom je er achter welke browsers e-mailadressen "lekken"
3. Hoe blokkeer je dit? (ook bij https connecties)
4. Bestaan er websites waar je kunt testen wat je browser precies uitzendt i.g.v. een "From" header request,
of kan je op andere manieren eenvoudig nagaan/testen hoe je webbrowser op zo'n "From"-header request reageert?
Bij voorbaat dank,
Loesje
Reacties (6)
Deze header is eigenlijk bedoeld voor bots etc. zodat de eigenaar van de bot gecontact kan worden.
In RFC7231 staat: "The From header field is rarely sent by non-robotic user agents. A user agent SHOULD NOT send a From header field without explicit configuration by the user, since that might conflict with the user's privacy interests or their site's security policy.."
zie: https://tools.ietf.org/html/rfc7231
Ik ken geen browser die deze header standaard meestuurt.
Check je request headers op: http://www.xhaus.com/headers
In RFC7231 staat: "The From header field is rarely sent by non-robotic user agents. A user agent SHOULD NOT send a From header field without explicit configuration by the user, since that might conflict with the user's privacy interests or their site's security policy.."
zie: https://tools.ietf.org/html/rfc7231
Ik ken geen browser die deze header standaard meestuurt.
Check je request headers op: http://www.xhaus.com/headers
Daarom enkele vragen aan de security experts:
1. Begrijp ik het wel goed
2. Is dit mischien ook nog browser-afhankelijk, en hoe kom je er achter welke browsers e-mailadressen "lekken"
3. Hoe blokkeer je dit? (ook bij https connecties)
4. Bestaan er websites waar je kunt testen wat je browser precies uitzendt i.g.v. een "From" header request,
of kan je op andere manieren eenvoudig nagaan/testen hoe je webbrowser op zo'n "From"-header request reageert?
1. Begrijp ik het wel goed
2. Is dit mischien ook nog browser-afhankelijk, en hoe kom je er achter welke browsers e-mailadressen "lekken"
3. Hoe blokkeer je dit? (ook bij https connecties)
4. Bestaan er websites waar je kunt testen wat je browser precies uitzendt i.g.v. een "From" header request,
of kan je op andere manieren eenvoudig nagaan/testen hoe je webbrowser op zo'n "From"-header request reageert?
1. Jawel, dat kon wel eens kloppen volgens punt 6-3 van http://www.faqs.org/faqs/net-abuse-faq/harvest/.
2. Ik ken geen lijstje van browsers (misschien anderen op dit forum?). Wat mij betreft zie punt 4
3. Mogelijk helpt protectie software die zo'n header er eerst uit filtert. Geen ervaringen (misschien anderen?). Zie punt 4
4. Wil je zeker weten dat je browser op deze wijze geen emailadres lekt, dan zijn er een aantal websites waar je terecht kan. Bijv. https://www.whatismybrowser.com/developers/what-http-headers-is-my-browser-sending
(useragent en cookieinformatie geven bij mij random-onzin-informatie @ http://www.xhaus.com/headers
Idem bij http://www.privacy.net/analyze/)
Realiseer je wel dat je email adres ook nog langs vele andere wegen zou kunnen lekken. (lees hele weblink bij punt 1)
"Als ik het goed begrijp kan een website iemands email adres ongemerkt opvragen vanuit de webbrowser met behulp van de
header field name "From" . Zie: https://en.wikipedia.org/wiki/List_of_HTTP_header_fields"
Waar, binnen jouw browser, configureer jij een email adres, waardoor jouw browser dit adres in headers zou kunnen meesturen ? ;)
header field name "From" . Zie: https://en.wikipedia.org/wiki/List_of_HTTP_header_fields"
Waar, binnen jouw browser, configureer jij een email adres, waardoor jouw browser dit adres in headers zou kunnen meesturen ? ;)
05-06-2015, 16:17 door
FSF-Moses
Heel lang geleden kon je in IE, de versie weet ik niet meer, een email-adres invullen in in de configuratie. De reden daarvoor was dat je je dan gemakkelijker zou kunnen aanmelden voor mailinglists en dergelijke, meende ik.
05-06-2015, 17:30 door
Eric-Jan H te D
Een browser die de SMTP-gegevens van jouw E-mailcliënt ophaalt. Ik hoop toch van niet
Door FSF-Moses: Heel lang geleden kon je in IE, de versie weet ik niet meer, een email-adres invullen in in de configuratie. De reden daarvoor was dat je je dan gemakkelijker zou kunnen aanmelden voor mailinglists en dergelijke, meende ik.
Mogelijk IE5 (meer dan 15 jaar oud). Had volgens wikipedia Hotmail integratie.Reageren
Deze posting is gelocked. Reageren is niet meer mogelijk.
Junior DevOps Engineer
Certified Secure is op zoek naar een Junior DevOps Engineer. Deze functie is een stuk interessanter dan de term doet vermoeden! Om jou als potentiële nieuwe collega meteen te laten zien wat we doen hebben we speciaal voor jou een selectie gemaakt van een aantal leuke security challenges. Are you ready for a challenge?
Cybersecurity Trainer / Streamer
Toe aan een nieuwe nieuwe job waarmee je het verschil maakt? In de Certified Secure trainingen laat je deelnemers zien hoe actuele kwetsbaarheden structureel verholpen worden. Ook werk je actief mee aan de ontwikkeling van onze gamified security challenges. Bij het maken van challenges kom je telkens nieuwe technieken tegen, van Flutter tot GraphQL, van Elastic Search tot Kubernetes.
