¿Qué direcciones de correo electrónico se consideran confiables?

Es una lista bastante corta: "Admin", "administrador", "webmaster", "hostmaster" o "postmaster"

Ahora esa es la lista fija y estática. Pero: la información de contacto de WHOIS también es legal.

De los foros de CAB Requisitos de referencia , página 17:

  

11.1.1 Autorización por el registrante de nombres de dominio
  Para cada Nombre de dominio completo calificado en un Certificado, la CA DEBE confirmar que, a partir de la fecha en que   El Certificado fue emitido, el Solicitante (o la Compañía matriz del solicitante, la Compañía subsidiaria o la Afiliada,   a los que se hace referencia colectivamente como "Solicitante" a los fines de esta sección) es el Registrador de Nombre de Dominio o   control sobre el FQDN por: [...]

     

3. Comunicarse directamente con el Registrador de Nombre de Dominio usando la información de contacto que se encuentra en la   El campo "registrante", "técnico" o "administrativo" del registro de WHOIS;

  

4. Comunicarse con el administrador del dominio usando una dirección de correo electrónico creada por ‘admin’ pendiente,   ‘Administrador’, ‘webmaster’, ‘hostmaster’ o ‘postmaster’ en la parte local, seguido por el signo de acceso ("@"),   seguido del Nombre de dominio, que se puede formar al recortar cero o más componentes de la   FQDN solicitado;

  

Editar 2015-03-21: Entrust blog . Aquí hay una buena entrada de blog con una historia de fondo.
Bruce Morton, Entrust Identity ON Blog, 2015-03-20, Qué sucedió con Live.fi? (Archivado aquí .)

Cita interesante aquí:

  

El ataque del que estamos hablando se ha realizado antes en 2009. Se realizó a la CA de RapidSSL donde proporcionaron catorce direcciones de correo electrónico para que el suscriptor pueda elegir. En este caso, el ataque también se realizó contra otro dominio de Microsoft login.live.com donde el suscriptor registró [email protected] y luego solicitó el certificado con la dirección de correo electrónico que controlaban. Esto creó un furor de seguridad para limitar las direcciones de correo electrónico.

Editar 2015-03-24: WHOIS Los "Requisitos básicos" también permiten las direcciones de correo electrónico de los registros de WHOIS. He actualizado esto arriba.

Comodo, que estuvo involucrado en este fiasco, confía en siguientes direcciones de correo electrónico para la verificación del dominio:

• admin @
• administrador @
• postmaster @
• hostmaster @
• webmaster @

En la práctica, la capacidad de responder al correo electrónico enviado a cualquier dirección de correo electrónico no demuestra nada en Todo, ni siquiera que poseas la dirección de correo electrónico en cuestión. Todo el correo electrónico está sujeto a manipulación. por las personas que realmente controlan los servidores de correo por los que pasa.

Si tengo acceso de root al dominio foo.com, tengo control absoluto sobre Todo el correo electrónico entregado allí o originando allí. Del mismo modo, si fuera un geek de bajo nivel que trabaja para gmail, probablemente podría implementar una estafa ordenada basada en el sifón de cuentas de gmail si no fuera por la seguridad interna infalible de Google.