La visualizzazione di un'email HTML è un rischio per la sicurezza?

Question

La visualizzazione di un'email HTML è un rischio per la sicurezza?

#1 da (5 voti)
#2 da (0 voti)

3

Sto scrivendo una semplice webmail dove voglio (ovviamente) mostrare le email.

Mi chiedo se dovrei prendere qualsiasi precauzione durante la visualizzazione di e-mail in HTML: il dumping del contenuto dell'email in <div> rappresenta un rischio per la sicurezza?

Suppongo di sì dato che l'e-mail potrebbe contenere qualsiasi cosa (potrebbe contenere Javascript?). Ma allora come dovrei procedere? Come fanno gli altri webmail?

Penso che rimuovere i tag HTML pericolosi sarebbe una cattiva soluzione dato che è impossibile pensare a tutti i casi.

security email

posta Matthieu Napoli 25.03.2014 - 15:18

fonte

2 risposte

Leggi altre domande sui tag security email

In che modo le lingue tipizzate staticamente gestiscono il rilevamento dei test? [chiuso] Uso di AGPLv3 non modificato lib - sono anch'io AGPL?

score 5 · Answer 1

Sì, è insicuro e problematico in molti modi:

JavaScript nella posta potrebbe dirottare la sessione (XSS) o fare altre cose
I CSS nella posta potrebbero rompere il layout
Immagini e altre risorse caricate da siti remoti possono essere utilizzate per il tracciamento e quindi avere problemi di privacy
I link nella posta potrebbero contenere informazioni private nel referrer

Il filtro contro queste cose è in realtà il problema chiave per un web mailer. Il filtraggio non è semplice perché non devi solo filtrare i tag <script> ma anche un sacco di attributi (come i gestori di eventi javascript)

Una semplice lista bianca cancellerà troppi messaggi, però.

Ciò di cui hai bisogno è raccogliere un'enorme quantità di mail di esempio da fonti diverse e vedere quali elementi hanno effettivamente bisogno e fornire questi.

score 0 · Answer 2

Il problema di base è che chiedi all'utente finale di attribuire lo stesso livello di fiducia del dominio web al contenuto dell'email HTML, il cui contenuto ha un controllo limitato.

L'unico modo sicuro che so per certo è affidabile è quello di eliminare l'e-mail HTML in puro e semplice testo e opzioni di formattazione del testo come p, tag em. Anche se questo non è certo ciò che la gente considererebbe l'e-mail HTML.

Inizia a consentire qualsiasi cosa che vada oltre i tag di presentazione e stai facendo ipotesi che tu sappia di più su come questi tag possono essere utilizzati in modo improprio rispetto agli autori di malware. E credimi, questa è una richiesta coraggiosa per chiunque.