¿Cuál es el propósito de este "enlace de correo seguro abierto en el navegador"?

0

Recibí un correo electrónico que "supuestamente" era seguro. Tenía un enlace que decía que para obtener un mensaje seguro, siga este enlace. Podrían haber verificado que era yo pidiéndole a mi banco o mi tarjeta inteligente que me autentiquen, pero no lo hicieron.

Ahora que el enlace codificó una contraseña en la URL como sitio web (a través de https), ¿cómo se supone que esto es más seguro? O es una característica de seguridad de la agencia de envío (que es una especie de compañía de seguros), ya que ahora pueden revocar el mensaje y no tengo nada. ejemplo:

this is a secure mail please read it at:

https://agency.org/login.cgi?ywt786u2y18926uye8924uiyew89y6ry3y47832teyutew78832..

click link

Y luego el navegador abre lo que equivale al texto del cuerpo del correo. El enlace en sí es de uso múltiple y caduca en 7 días.

¿Qué tipo de seguridad ofrece realmente? Por lo que tengo entendido, enviaron el enlace a través de canales no seguros, por lo que es tan propenso al secuestro como al correo electrónico simple. ¿Esto les da a los destinatarios una falsa sensación de seguridad?

No estoy preguntando si es seguro como tal, solo tratando de entender cuál podría ser el mecanismo.

Edity:

Esta es una especie de agencia de seguros, aunque no es una aseguradora en el sentido común. Bueno, estaba medio esperando el correo (porque sabía que en algún momento me enviarían un correo). ¡Aunque para ser honesto, el correo hubiera sido casi tan informativo si hubiera dicho "Hecho"! Además, de todas formas me enviaron una copia por correo postal (llegó 3 horas después). Pero eso no significa que no envíen información confidencial.

Edity 2:

Dado que aparentemente no está claro, el enlace no es nada espectacular, solo un enlace con un hash realmente largo al final. La única otra cosa en la que puedo pensar es: Que valida el remitente es quien dicen ser. (ahora puedo validar el certificado del sitio web)

    
pregunta joojaa 17.02.2016 - 15:04
fuente

2 respuestas

2

Su pregunta no está muy clara, pero por lo que entendí, esta agencia le envió un enlace por correo electrónico y la URL del enlace incluía sus credenciales, por ejemplo,

enlace

Por supuesto, esto es muy inseguro ya que las URL pueden ser rastreadas (HTTPS protege el contenido, no la identidad de la URL a la que se accede) y en este caso, un intruso tendría acceso a sus credenciales.

Editar: según el comentario de OP:

  

Sí, así es básicamente como funcionó. Exepto no hubo usuario solo una contraseña muy larga

parece que la URL contenía solo un GUID, probablemente un token de una sola vez. Es difícil decir si esto es seguro o no; Si esto fue por la activación de la cuenta del OP, probablemente no se preocupe. Por otro lado, si ese token solo permite iniciar sesión en la cuenta del OP, eso es muy malo.

Discusión relacionada aquí: ¿Son seguros los GUID para tokens de una sola vez?

    
respondido por el dr01 17.02.2016 - 15:24
fuente
2

Un enlace puede cifrarse para que no pueda decodificarse o alterarse, y puede (y debe) hacerse funcionar una sola vez.

Mientras esté accediendo a su correo electrónico a través de HTTPS, y su cuenta de correo electrónico no haya sido comprometida, esto debería ser relativamente seguro.

Hacer que el enlace caduque después de un solo uso significa que sabrás de inmediato si alguien ha accedido anteriormente.

Dependiendo de la naturaleza del contenido que se está enviando, se podría hacer mucho más seguro agregando autenticación de 2 factores, utilizando códigos SMS.

    
respondido por el user1751825 17.02.2016 - 15:25
fuente

Lea otras preguntas en las etiquetas