¿Por qué?

Dos explicaciones:

• BCC
• Spam

A menudo he recibido correo no deseado donde parece que quieren ocultar a quién fue enviado por algún motivo. Ya que tengo un catch-all en mi dominio, me llegará sin importar qué dirección usaron (a menos que usen una que tengo en la lista negra).

¿Cómo es esto posible?

El tráfico SMTP tiene este aspecto:

EHLO example.com 
MAIL FROM:<[email protected]>
RCPT TO:<[email protected]>
RCPT TO:<[email protected]>
RCPT TO:<[email protected]>
DATA
Subject: test
From: <[email protected]>
To: <[email protected]>
CC: <[email protected]>

Hi Jake,
Just letting you know that email works.

.
QUIT

Puede abrir una conexión TCP a cualquier servidor de correo y escribir esto, y le responderá y le enviará su correo electrónico (omití las respuestas en el ejemplo). En Windows, instale Telnet desde el menú de funciones de Windows y escriba telnet example.com 25 para conectarse al servidor en example.com en el puerto 25.

Como puede ver, user4 se abordó en RCPT TO y terminará en su bandeja de entrada de correo electrónico, pero no se mencionan en los encabezados de, a o cc de los datos de correo electrónico. Los datos del correo electrónico, desde el comando DATA hasta el . en una línea por sí mismo, es la parte que verá cuando abra "ver código fuente" en su cliente de correo electrónico. Por lo tanto, tiene poco que ver con el intercambio de correo electrónico real. Por supuesto, por lo general coincide, pero en un caso malicioso, no les importa lo que es "habitual". Y en el caso de BCC tampoco lo verás.

A menudo he recibido correo no deseado donde se ocultan a donde se envió. Para poder rastrearlo, tengo que excavar en los registros de mi servidor de correo.

Un administrador del servidor también puede buscar BCC de esta manera, aunque, por supuesto, solo de su propio dominio (si fue BCC'd a [email protected] y [email protected] , el administrador de a.example.com no verá stefan).

En cuanto a por qué puede enviarse GMail a usted mismo en el BCC y ver un campo de BCC con su nombre en el extremo receptor: el proveedor / programa de correo electrónico solo puede enviar mensajes SMTP separados para cada destinatario en el BCC, con BCC encabezado creado en el encabezado del correo electrónico anidado para enumerar solo ese destinatario.

Los encabezados como To , Cc y Bcc son esencialmente cosméticos; no controlan el destinatario real de un correo electrónico según el protocolo SMTP. Es posible poner lo que quieras en estos campos y aún tener un control separado sobre a quién va el correo electrónico a nivel de protocolo.

Cuando envía un correo electrónico en Internet, su servidor de correo de envío se comunica con el servidor de correo de recepción por SMTP. Para enviar un correo electrónico, el servidor de envío envía una serie de comandos al servidor de recepción.

1. Un comando HELO que especifica el nombre de host del servidor de envío (este puede ser reemplazado por EHLO (abreviado para "HELO extendido") en versiones más nuevas del protocolo).
2. Un comando MAIL FROM que anuncia la dirección del remitente del correo electrónico.
3. Un comando RCPT TO que anuncia las direcciones de los destinatarios del mensaje.
4. Un comando DATA que anuncia el inicio del mensaje, incluidos los encabezados y el cuerpo.

Los encabezados en el mensaje, como To , Cc o Bcc , no se actúan ni se utilizan, pero se transmiten sin modificación.

Si los servidores de correo de envío y recepción ignoran estos encabezados, ¿por qué existen?

Porque son una convención común utilizada por el software mail user agent (cliente de correo), que es el software con el que el usuario realmente interactúa para enviar correo. La forma habitual de que un cliente de correo funcione es que el usuario escriba las direcciones de los destinatarios en tres campos dentro del cliente de correo llamados "A", "Cc" y "Bcc" que el cliente de correo usa como base para enviar el mensaje a . Luego, el cliente de correo toma lo que estaba escrito en los campos "Para" y "Cc" y los coloca en los encabezados de correo llamados "Para" y "Cc" como un indicador para el destinatario de lo que el remitente escribió originalmente en estos campos. Esto es simplemente una cortesía para el cliente de correo receptor; el cliente de correo emisor puede optar por mantener este secreto; de hecho, eso es lo que sucede con su campo "Bcc": el cliente de correo nunca crea un encabezado "Bcc" en el correo electrónico que envía, porque el punto de esa función es que no está incluido en el correo mismo.

El cliente de correo también contiene un campo "Asunto" que coloca en el correo como encabezado "Asunto", y crea un encabezado "De" en el correo electrónico con información sobre el remitente.

¿Por qué esto no es un problema de seguridad?

Es. Hace que sea trivialmente fácil poner información falsa sobre el remitente o los destinatarios en un correo electrónico. Cuando los usuarios confían en que esto es correcto y no lo es, ese es un problema de seguridad potencial.

Los clientes de correo podrían simplemente ignorar dichos encabezados, pero luego se perdería la conveniencia de saber a quién se dirigió un correo electrónico cuando esta información existe y es genuina, y por la misma lógica también tendría que ignorar el " De "y el remitente del sobre (comando MAIL FROM ) también, sin dejar indicación de quién lo envió. Así que los clientes de correo toman el enfoque de que es más beneficioso mostrar esta información, incluso si se puede falsificar.

Un nuevo estándar llamado DMARC, que se complementa con otros estándares DKIM y SPF, puede permitir que un cliente de correo receptor verifique que la parte del nombre de dominio / host del encabezado "De" sea genuina. Si bien esto solo verifica parte de el encabezado "De" y no verifica el encabezado "A" o "Cc", le permite saber que el correo provenía realmente del sistema del que proviene. . Si este es un sistema de confianza, al menos puede inferir que el correo y sus encabezados fueron creados por un usuario autorizado de ese sistema.

Además de estas opciones, el correo electrónico simplemente no fue diseñado para que todo esto sea verificable. Si desea más, debe utilizar algún tipo de verificación criptográfica, como el PGP, en la parte superior de su mensaje y tener alguna forma de verificación de autoridad fuera de banda.

Hasta ahora creo que su dirección se usó como BCC .

Puede ser sorprendente, pero esto es bastante normal en el protocolo SMTP. Un mensaje está compuesto de encabezados y un cuerpo. Se envía a través de una cadena de agentes de transporte de correo. Ningún agente debe cambiar el cuerpo, pero puede cambiar los encabezados, principalmente para agregar un campo Received , un campo Date si no está presente y cualquier otro campo según lo requiera su propio procesamiento. Pero ni el campo To ni el campo From son especiales, y en particular no se utilizan para entregar el correo . Los MTA utilizan lo que se denomina sobre , es decir, lo que se pasa en los comandos MAIL FROM y RCPT TO del protocolo SMTP.

Los Agentes de Usuario de Correo (como Thunderbird) usan los campos Para, Cc y Cco para crear el sobre, pero si conoce el SMTP protocolo , es fácil enviar un correo con encabezados A y De falsificados o ausentes.