「Android版Gmailアプリに偽装した送信元アドレスを簡単に表示させられるバグ」記事へのコメント

メールの差出人

[Anonymous Coward]

差出人なんて詐称し放題なんですが・・・
差出人を見て判断するのは危険では

EHLO AAAAAA
MAIL FROM:
RCPT TO:
DATA
.....
From:

の部分はSPFなどではじかれるけど
の部分は偽装し放題なうえに
SPFでもチェックされない部分で、かつ
MUAで表示される差出人になるわけですし

こんなものを信用してはだめでしょう
タグくらいにとらえておいたほうがいいのでは・・・？

Re:

[Anonymous Coward]

ああ・・・一部削除されてる・・・
SPFのチェックの対象となるのはenvelope-fromとHELOのあとのホストの部分なので
メールヘッダは、そもそも偽装され放題ですよと・・・

Re:

[Anonymous Coward]

記事の本文くらい読めよ……。

Re:

[Anonymous Coward]

記事では、送信元とenvelopeの区別が付いていないでしょ
元ACはそこを指摘してるよね

分からないならコメントしないほうがいいよ

Re:

[Anonymous Coward]

いやだから、

> SMTPサーバーを使用してメールを送信すれば任意のメールアドレスを差出人のメールアドレスに偽装することは可能だが、Gmailなどでは別のメールアドレスを使用する場合はそのメールアドレスに送信される確認コードの入力が必要となる。

>しかし、この方法では確認を必要としないため、簡単に差出人を偽装できてしまうことになる。また、差出人のメールアドレスとして記載されているのは本物なので、DKIMやSPF、DMARCといった送信ドメイン認証技術による確認もすり抜けてしまう。

読んでる？
ねえ、本当に記事本文読んでる？

それとメールヘッダのFromもエンベロープのFromも偽装可能（というか自己申告）なのに、この話の流れで区別する意味あんの？

Re:

[Anonymous Coward]

かたやSPFの対象でかたや、偽装し放題なのに、
区別しないでどうするの？

頭沸いてるの？

Re:メールの差出人

[Anonymous Coward]

DKIMの検証対象は、envelope from じゃなくて、メッセージヘッダの方ですよ。
つまり、DKIMを通っていれば、メッセージヘッダのFrom:は正しい筈。
それが偽装されるってのが問題。

まあ、これはタレコミにSPFなんて書いてあるのも悪いんだけど。

Re:

[Anonymous Coward]

いえ別にそこは偽装されません。
ただ単に、名前欄のメールアドレスを実メールアドレスと誤解しやすい形で表示されるケースが有るという外観上の脆弱性です。
実行ファイルのアイコンをフォルダアイコンにしとくようなのと割と似た方向性の攻撃が可能ですよ、と。
自称差出人名で終わらずに実メールアドレスをわかりやすく表示してれば簡単に回避可能なのでそれをやってほしいという要望。