¿El correo 'spam' realmente evitaría las escuchas ilegales?

Navega tus respuestas
21

spammimic.com ofrece un servicio que "encripta" su correo como "spam", la razón es que todo el correo los servicios filtran automáticamente el correo no deseado, por lo que si desea comunicarse con alguien sin que alguien lo note, disfrazar su mensaje como correo no deseado hará esto.

¿Hay alguna evidencia de que esto realmente funcione? Para que su mensaje llegue, tendría que ser lo suficientemente no como el spam para que no se elimine por completo. Suponiendo que lo envíe desde su propia cuenta, los encabezados, etc. estarán intactos, ¿y no es esto lo primero que comprueban los filtros de spam? ¿No sería la primera cosa que el intruso también verificara?

En resumen:

  

Querido amigo, Especialmente para ti: este anuncio candente
  ! Si ya no deseas recibir nuestras publicaciones
  simplemente responde con un Asunto: de "QUITAR" y lo harás
  Inmediatamente ser retirado de nuestro club. Este correo es
  siendo enviado en cumplimiento del proyecto de ley del Senado 1621; Título
  1; Sección 309. Esto NO es un correo masivo no solicitado
  . ¿Por qué trabajar para alguien más cuando puedes hacerte rico?   dentro de los 61 días! ¿Alguna vez has notado que nadie está recibiendo?   cualquier persona más joven y más propensa a COMPRAR
  Con una tarjeta de crédito que en efectivo. Bueno, ahora es tu oportunidad
  para sacar provecho de esto! Te ayudaremos a VENDER MÁS
  &erio; Utilice tarjetas de crédito en su sitio web. Tienes garantia
  Para tener éxito porque asumimos todos los riesgos. Pero no lo hagas   créenos ! La Sra. Ames que reside en Delaware intentó ...   nosotros y dice "He sido pobre y he sido rico - rico
  es mejor "! Tenemos licencia para operar en todos los estados
  ! No te vayas a dormir sin pedir. Regístrate un amigo
  ¡Y tu amigo también será rico! Saludos Querido amigo
  ; Especialmente para ti - esta inteligencia de vanguardia
  ! Este es un correo de una sola vez, no hay necesidad de solicitar
  Eliminación si no quieres más! Este correo esta siendo publicado   enviado en cumplimiento del proyecto de ley del Senado 2416, Título 3
  ; Sección 302! Este no es un esquema para hacerse rico! Por que
  Trabaja para alguien más cuando puedes hacerte rico dentro de
  71 semanas! ¿Alguna vez has notado que la sociedad parece ser
  Moviéndose más rápido y más rápido y casi todos tienen un teléfono móvil
  ! Bueno, ¡ahora es tu oportunidad de sacar provecho de esto!
  Le ayudaremos a VENDER MÁS e incrementar la respuesta del cliente
  en un 170%! Tienes la garantía de tener éxito porque nosotros
  tomar todo el riesgo Pero no nos creas. Mr Jones
  de Georgia nos probó y dice "Ahora soy rico muchos más.   ¡Las cosas son posibles "! ¡Esta oferta es 100% legal! Así que
  ¡Hazte rico ahora ordenando inmediatamente! Firmar
  un amigo y obtendrá un descuento del 60%. Mejor
  Saludos!

    
pregunta fredley 09.12.2014 - 10:30
fuente

4 respuestas

22

Te ayudaría si explicaras si te defiendes de un ataque dirigido o si simplemente eres cauteloso, y qué vector utilizará el adversario potencial para escuchar.

Dicho esto, el método al que te refieres se llama ' seguridad a través de obscurity ', y es

  

"... desalentado y no recomendado por los organismos de normalización".

Yo diría que lo está poniendo muy bien. La seguridad, aunque la oscuridad es muy MALO (por sí misma).

Intente ver este video de Def Con 21 , contado desde la perspectiva de los investigadores forenses. Muestran varios ejemplos de por qué la seguridad a través de la oscuridad es una mala idea. También puede comprender las capacidades de las herramientas utilizadas por los investigadores forenses.

    
respondido por el cremefraiche 09.12.2014 - 11:24
fuente
12

El problema con esta técnica (con cualquier tipo de esteganografía, en realidad) es que se basa en seguridad a través de la oscuridad .

Un intruso que conoce spammimic.com podría capacitar fácilmente a su sistema de vigilancia para que reconozca los patrones típicos de los mensajes generados por spammimic, registrarlos y extraer su carga útil oculta.

Por cierto: el uso de la palabra "cifrado" en este contexto es técnicamente inexacto. Un cifrado siempre requiere una clave secreta. Cuando no se requiere una clave para "descifrar" el mensaje, como en este caso, los términos correctos son encoding y decoding . Un mensaje que está codificado pero no cifrado no es seguro contra escuchas ilegales porque un atacante solo necesita conocer el algoritmo.

Spammimic también ofrece una variante que requiere una contraseña , que agrega una capa de cifrado a la capa de codificación. Si el algoritmo de cifrado fuera fuerte, esto permitiría potencialmente una comunicación confidencial, pero admiten que es un cifrado muy débil que no es apto para un uso serio.

Conclusión: Spammimic.com es un juguete entretenido, pero no debe usar nada para una comunicación confidencial seria a menos que cifre su carga útil con un algoritmo de encriptación serio antes de codificarla.

    
respondido por el Philipp 09.12.2014 - 11:39
fuente
8

Utilizar la esteganografía en lugar de es una mala idea, especialmente cuando la herramienta utilizada está disponible de forma gratuita. Cualquiera podría usarlo para descubrir el mensaje.

Sin embargo, el cifrado simple tiene una deficiencia cuando se compara con la esteganografía: los mensajes cifrados generalmente son identificables como tales, por lo que, si bien nadie sabe qué le envía a alguien, hay una prueba de que envió algo / em>.

Si se desea tanto la confidencialidad como la negabilidad, puede combinar ambos enfoques. Use un algoritmo strong para cifrar el mensaje, luego oculte el texto cifrado de alguna manera. Idealmente, esto debería hacerse con algún software que realice ambas tareas, ya que un encabezado PGP codificado en lo que parece superficialmente el spam le costará negación si se descubre.

  

Para que su mensaje llegue, tendría que ser lo suficientemente no como el spam para que no se elimine por completo. Suponiendo que lo envíe desde su propia cuenta, los encabezados, etc. estarán intactos, ¿no es esto lo primero que comprueban los filtros de spam?

Por supuesto, si tiene una cuenta de Gmail, es posible que no pueda decidir qué correos electrónicos son rechazados por su servidor SMTP. Sin embargo, si administra su propio servidor de correo, es solo una cuestión de configuración.

    
respondido por el Dennis 09.12.2014 - 18:18
fuente
1

Si esta es una buena idea o una mala idea realmente depende de cuáles son sus requisitos y contra qué amenazas / riesgos trata de protegerse. Creo que existen algunas limitaciones importantes con respecto a los aspectos prácticos de este enfoque, como garantizar que sus mensajes se vean como el spam, pero no tanto como el spam que los destinatarios del software antispame no solo lo eliminen o rechacen. aceptalo etc.

Si asumimos que estos problemas se han solucionado, la pregunta se convierte en una cuestión de determinar exactamente qué intentas hacer. Si todo lo que quiere hacer es ocultar el hecho de que se está comunicando con otra persona, entonces podría darle algún uso. Por otro lado, si desea confidencialidad, entonces esto probablemente no sería suficiente en sí mismo. Es posible que tenga que usarlo junto con otras medidas. Por ejemplo, es posible que primero deba cifrar el mensaje original utilizando algún esquema acordado y luego colocarlo dentro del mensaje codificado.

El punto principal a recordar es que la seguridad debe encajar con el propósito y el nivel de riesgo evaluado. En general, quiere ser claro acerca de por qué toma alguna acción. Si desea confidencialidad, normalmente necesitará algún tipo de cifrado. Si desea integridad, entonces probablemente querrá algún modo de hash y si solo quiere ocultar algo, entonces quizás alguna forma de estenografía. Si desea los tres, entonces deberá aplicar las tres técnicas. Ignorando algunos de los aspectos prácticos de esta técnica, todo lo que realmente estás haciendo es ocultarlo. Si alguien sabe dónde buscar, es probable que lo encuentren.

Una serie de respuestas se refieren a la seguridad a través de la oscuridad y afirman que es mala y no se debe usar. Esto es una simulación excesiva y similar a las declaraciones de programación como "goto es malo y nunca debe usarse". En realidad, ninguna de estas cosas es intrínsecamente mala en los temas, solo son malas cuando se usan de forma inadecuada. Usar la oscuridad está bien siempre que se tomen otras medidas. No está bien si confía únicamente en él para proporcionar una protección completa. La ejecución de ssh en un puerto no estándar es un error, pero está bien porque no es el único nivel de protección. ejecutar telnet o ftp en puertos no estándar no está bien, ya que solo confía en la oscuridad para hacerlos seguros.

    
respondido por el Tim X 11.12.2014 - 23:24
fuente

Lea otras preguntas en las etiquetas

¿Cómo reemplazar un método antiguo de hash de contraseñas con uno más nuevo en software? [duplicar] ¿La acción de inicio de sesión y cierre de sesión tiene protección CSRF?