Mozilla test eigen Firefox-extensie die e-mailaliassen genereert
Mozilla is een besloten test gestart van een eigen Firefox-extensie waarmee gebruikers eenvoudig e-mailaliassen kunnen aanmaken om zich voor websites en andere zaken te registreren. Mozilla stuurt de registratiemail en andere berichten vervolgens door naar het echte e-mailadres van de gebruiker.
Vervolgens kan die indien gewenst de alias uitschakelen of verwijderen. "We hebben allemaal veel online accounts, maar de meeste zijn aan één of twee van onze e-mailadressen gekoppeld. Dit houdt in dat wanneer slechts één account wordt gehackt of getrackt, elk ander account en bijbehorende data ook risico loopt. Al onze accounts zijn te herleiden naar het e-mailadres dat we gebruiken", aldus Mozilla.
De Firefox Private Relay-extensie voegt een gebruikersinterface toe die "unieke, willekeurige, anonieme e-mailadressen genereert". Berichten voor deze adressen worden vervolgens naar het echte e-mailadres van de gebruiker doorgestuurd. Volgens Mozilla is dit handig bij het registreren voor apps, websites of nieuwsbrieven. Wanneer gebruikers willen kunnen ze eenvoudig de e-mailalias verwijderen. "En wanneer de dienst een incident heeft, is hun data niet naar jou te herleiden", voegt Mozilla toe.
De browserontwikkelaar laat weten dat het vooralsnog om een experimentele, zeer vroege testversie van de Firefox-extensie gaat die alleen op uitnodiging is te gebruiken. Op de website relay.firefox.com kunnen geïnteresseerden zich straks voor een wachtlijst inschrijven. De broncode van Firefox Private Relay is via GitHub te bekijken.
Net als het standaard inschakelen van DNS-over-Cloud lijkt het mij beter als ze zich zorgen maken om goede structurele veranderingen, dan dit soort plakpleisters. Tot mijn spijt, want ik gebruik al sinds jaar en dag met groot genoegen van Firefox.
1) Een e-mail adres is gegarandeerd uniek;
2) Mensen hebben al veel moeite met het onthouden van een wachtwoord, hun e-mailadres als logon-ID onthouden ze wel;
3) Bij "wachtwoord vergeten" (password reset) hoeft alleen dat e-mail adres te worden ingevoerd (wat doe je bij logon-ID vergeten?).
Een m.i. onderschat beveiligingsrisico is dat toegang hebben tot een e-mail account (d.w.z. waar e-mail naartoe gestuurd wordt bij een password reset) tot identiteitsfraude kan leiden. Elke e-mail alias die in andere handen valt, betekent een risico.
Anderzijds is het een risico dat e-mail adressen in verkeerde handen vallen doordat ze als logon-ID worden gebruikt, zie https://www.bleepingcomputer.com/news/security/numerous-sites-leak-user-emails-to-advertising-analytics-services/ (gisteren gepubliceerd).
Mensen zouden alleen al een administratie (bijv. in een wachtwoordmanager) moeten bijhouden om te weten waar ze allemaal accounts hebben, naast met welk logon-ID en wachtwoord. Indien iedereen dat doet, kunnen websites ook stoppen met het onverstandige gebruik van e-mailadressen als logon-ID's. Lastig daarbij is wel dat als iemand zo'n administratie kwijtraakt (of het wachtwoord van de wachtwoordmanager vergeet), het erg ingewikkeld kan worden om weer toegang tot accounts te krijgen.
Gevoelsmatig introduceert Mozilla hier alleen maar nieuwe risico's mee: wat als zij over de kop gaan? Hun relayservers zullen een magneet voor criminelen worden i.v.m. password resets. Hoe voorkom je dat zo'n relay een spam relay wordt? Hoe is met name SPF geregeld?
Een echt goede oplossing ken ik niet, maar ik ga hier in elk geval geen gebruik van maken.
Doe ik ook, meestal voor eenmalige dingen die toch verwachten dat je een account aanmaakt.
Net als het standaard inschakelen van DNS-over-Cloud lijkt het mij beter als ze zich zorgen maken om goede structurele veranderingen, dan dit soort plakpleisters. Tot mijn spijt, want ik gebruik al sinds jaar en dag met groot genoegen van Firefox.
Voor al mijn dumpmail en andere dubieuze/anonieme aanmeldingen open ik TOR, regel een tijdelijk 10-minuten mailadres, op het reguliere net netjes aanmelden met het 10-minuten-mailadres, terug op TOR even wachten op aanmeldcode en klaar!
Uiteindelijk heb je geen last van de evt. trackers/cookies van die 10 minutemailaccounts. (Want TOR browser. Tip: Draai in een sandbox) En hoef je de site waar je je wilt aanmelden ook niet over TOR te bereiken. Want die TOR nodes worden nogal eens als verdacht gezien en geblokkeerd.
Doe ik ook, meestal voor eenmalige dingen die toch verwachten dat je een account aanmaakt.
Mooie is dat ik met mijn webservice dit soort gedoe blokkeer.
Het werkt met name in de hand dat er mensen registreren die niet van plan zijn zich aan de regels te houden en anoniem willen zijn of meerdere accounts willen aanmaken.
Ik zie eigenlijk alleen maar gedoe met die "10 minute mail" accounts.
Deze posting is gelocked. Reageren is niet meer mogelijk.
Specialiseer je in Forensisch ICT
Online informatieavond 19 november
Wil jij je specialiseren in digitaal forensisch onderzoek? Je kennis verbreden en tech-nische vaardigheden ontwikkelen? Ontdek de cursus- en opleidingsmogelijkheden van Hogeschool Leiden:
- Bachelor Informatica Forensisch ICT (deeltijd)
- Master Digital Forensics (vol- en deeltijd)
- Module Mobile Forensics
- Module Data Analytics
Interesse? Meld je aan!
Information Security Officer (2fte)
Een uitdagende rol waarbij jij, op basis van security, de vertaalslag maakt tussen business en IT en direct bijdraagt aan de veiligheid van informatie binnen de gemeente Almere. Dat is in een notendop waar jij als Information Security Officer mee bezig bent. Interesse gewekt? Door groei van de organisatie zijn we op zoek naar twee nieuwe collega’s.
Cybersecurity Trainer / Streamer
Toe aan een nieuwe nieuwe job waarmee je het verschil maakt? In de Certified Secure trainingen laat je deelnemers zien hoe actuele kwetsbaarheden structureel verholpen worden. Ook werk je actief mee aan de ontwikkeling van onze gamified security challenges. Bij het maken van challenges kom je telkens nieuwe technieken tegen, van Flutter tot GraphQL, van Elastic Search tot Kubernetes.
