![[personal profile]](https://www.dreamwidth.org/img/silk/identity/user.png){kind=small}
17 февраля 2007 года у меня в журнале появилась такая запись:
Странный глюк у меня произошел сегодня в ящике на мейл.ру. У меня там включена опция "Очистить корзину при выходе". Соответственно при входе каждый раз я вижу, что корзина пуста: "Корзина - 0".
Обычно я сбрасываю в корзину ненужные письма, спам и все комменты, которые приходят из ЖЖ. И вдруг, зайдя сегодня в почту, вижу, что в корзине - более полутора тысяч писем. Все то, что я удалял в течение всего этого времени! Выходит, после удаления письма все же где-то хранятся. Вот как это?
30 июля 2007 года мне взломали все ящики на мейл.ру. Хакер хвалился, что у него в руках тысячи моих писем. Тогда я не обратил внимания на цифру, но когда он стал вывешивать то, что было давно удалено из почты, задумался. Ведь корзина, в соответствии с настройками, очищалась при каждом выходе.
Тогда, не понимая размеров бедствия, я еще собирался идти официальным путем, и поэтому через знакомых обратился за помощью в Управление "К". При первом же разговоре с опером, которого мне выдали (кстати, очень толковый современный молодой человек), я посетовал, что уничтожен ЖЖ, который я вел два с половиной года и многие представляющие ценность письма (например, содержательная переписка с несколькими известными писателями). "А где у вас была почта?" - поинтересовался опер. "На мейл.ру", - сказал я. "А, тогда не беспокойтесь, мы не только установим точно, откуда шел взлом, но и восстановим всю удаленную переписку. У них удаленные письма хранятся на сервере." (В дальнейшем, когда в прокуратуре мне выкатили солидную сумму за доведение дела до суда, я решил наказать взломщиков не по закону, а по понятиям, то есть, потратив те же деньги, добиться большего, чем грозивший злоумышленникам штраф, и поэтому свернул все официальные движения и обратился к другим людям, поставив другие задачи).
Наконец, в конце августа, когда я отдыхал в Португалии, я решил от нечего делать восстановить три своих ящика на мейл.ру. Написал подробное письмо в поддержку, обрисовал ситуацию, девушка из саппорта ответила, задала несколько вопросов, призванных идентифицировать меня как первоначального владельца ящиков. Я ответил на них. Ее не заинтересовало, почему это я общаюсь с ней с португальского IP, если раньше всегда заходил в почту из Москвы. Она прислала мне новые пароли, я тут же поменял их на свои, поменял и кодовое слово (вместо девичьей фамилии матери кодовым словом стало что-то вроде heywchrpesdjt, и такой же примерно ответ на него). Вернув контроль над примари-почтой, я вернул контроль над аккаунтами в ЖЖ. На сутки. На следующий день все эти почты снова были в руках взломщика. Думаю, что не обладая какими-то хакерскими навыками, он просто от моего имени прислал им слезное письмо, в котором меня объявил самозванцем и сообщил в саппорт массу кропотливо собранных моих персональных данных.
Вот, собственно, и все, что я хотел сказать о мейл.ру.
Добавлю только, что когда мне понадобилось месяц назад убрать аккаунт моей дочери на одноклассниках, я, не зная пароля, без посторонней помощи за полчаса взломал обе ее почты на мейл.ру и запросил туда пароль от одноклассников.
Странный глюк у меня произошел сегодня в ящике на мейл.ру. У меня там включена опция "Очистить корзину при выходе". Соответственно при входе каждый раз я вижу, что корзина пуста: "Корзина - 0".
Обычно я сбрасываю в корзину ненужные письма, спам и все комменты, которые приходят из ЖЖ. И вдруг, зайдя сегодня в почту, вижу, что в корзине - более полутора тысяч писем. Все то, что я удалял в течение всего этого времени! Выходит, после удаления письма все же где-то хранятся. Вот как это?
30 июля 2007 года мне взломали все ящики на мейл.ру. Хакер хвалился, что у него в руках тысячи моих писем. Тогда я не обратил внимания на цифру, но когда он стал вывешивать то, что было давно удалено из почты, задумался. Ведь корзина, в соответствии с настройками, очищалась при каждом выходе.
Тогда, не понимая размеров бедствия, я еще собирался идти официальным путем, и поэтому через знакомых обратился за помощью в Управление "К". При первом же разговоре с опером, которого мне выдали (кстати, очень толковый современный молодой человек), я посетовал, что уничтожен ЖЖ, который я вел два с половиной года и многие представляющие ценность письма (например, содержательная переписка с несколькими известными писателями). "А где у вас была почта?" - поинтересовался опер. "На мейл.ру", - сказал я. "А, тогда не беспокойтесь, мы не только установим точно, откуда шел взлом, но и восстановим всю удаленную переписку. У них удаленные письма хранятся на сервере." (В дальнейшем, когда в прокуратуре мне выкатили солидную сумму за доведение дела до суда, я решил наказать взломщиков не по закону, а по понятиям, то есть, потратив те же деньги, добиться большего, чем грозивший злоумышленникам штраф, и поэтому свернул все официальные движения и обратился к другим людям, поставив другие задачи).
Наконец, в конце августа, когда я отдыхал в Португалии, я решил от нечего делать восстановить три своих ящика на мейл.ру. Написал подробное письмо в поддержку, обрисовал ситуацию, девушка из саппорта ответила, задала несколько вопросов, призванных идентифицировать меня как первоначального владельца ящиков. Я ответил на них. Ее не заинтересовало, почему это я общаюсь с ней с португальского IP, если раньше всегда заходил в почту из Москвы. Она прислала мне новые пароли, я тут же поменял их на свои, поменял и кодовое слово (вместо девичьей фамилии матери кодовым словом стало что-то вроде heywchrpesdjt, и такой же примерно ответ на него). Вернув контроль над примари-почтой, я вернул контроль над аккаунтами в ЖЖ. На сутки. На следующий день все эти почты снова были в руках взломщика. Думаю, что не обладая какими-то хакерскими навыками, он просто от моего имени прислал им слезное письмо, в котором меня объявил самозванцем и сообщил в саппорт массу кропотливо собранных моих персональных данных.
Вот, собственно, и все, что я хотел сказать о мейл.ру.
Добавлю только, что когда мне понадобилось месяц назад убрать аккаунт моей дочери на одноклассниках, я, не зная пароля, без посторонней помощи за полчаса взломал обе ее почты на мейл.ру и запросил туда пароль от одноклассников.
![[identity profile]](https://www.dreamwidth.org/img/silk/identity/openid.png){kind=small}
(no subject)
Date: 2008-04-18 07:05 am (UTC)- Ой, я журналист, тут случайно удалил нужный файл на своем компьютере...
- Не волнуйтесь, у нас все ваши файлы хранятся на специальном сервере...
:)
(no subject)
Date: 2008-04-18 07:30 am (UTC)(no subject)
Date: 2008-04-18 07:33 am (UTC)(no subject)
Date: 2008-04-18 02:33 pm (UTC)хотя, конечно, я бы не стал доверять сколь-нибудь ценные сведения стороннему серверу.
(no subject)
Date: 2008-04-18 08:30 am (UTC)Зачем, почему?..
(no subject)
Date: 2008-04-18 09:34 am (UTC)(no subject)
Date: 2008-04-18 08:30 am (UTC)(no subject)
Date: 2008-04-18 08:39 am (UTC)Не такие уж большие деньги стоит завести себе почту на собственном домене.
(no subject)
Date: 2008-04-18 02:36 pm (UTC)Вы, видимо, имеете в виду собственный сервер. Иначе, если ваш домен обслыживается третьими лицами, они тоже теоретически могут иметь доступ к Вашей почте.
А почему бы Вам не пользоваться GnuPG для защиты почты? Это вполне обеспечит если не устойчивость, то по крайней мере - конфиденциальность переписки с теми, кто тоже пользуется такими средствами.
(no subject)
Date: 2008-04-18 04:12 pm (UTC)(no subject)
Date: 2008-04-18 05:10 pm (UTC)Если мы говорим об отношениях с провайдером в процессе восстановления пароля, как одного из вариантов атаки (я считаю это несколько однобоким, см. соседний тред), то да - второе лицо - провайдер, а третье - мальчик, зовущий себя "какер хелл" или как-то так. Но, в общем, если процесс восстановления пароля стандартизован и техподдержка не делает ерунды, то бесплатная почта ничем не отличется от платной.
(no subject)
Date: 2008-04-18 10:38 pm (UTC)(no subject)
Date: 2008-04-19 08:59 am (UTC)GnuPG для Windows: http://www.gpg4win.org/
(no subject)
Date: 2008-04-18 02:51 pm (UTC)Это, кстати, ничем не подтвержденное высказывание. Другое дело, что для его опровержения необходимо показать, что существует бесплатная служба электронной почты, эккаунт на которой взломать нельзя. А это сделать довольно трудно - поскольку Вы не определили временных рамок для такой проверки.
(no subject)
Date: 2008-04-18 03:59 pm (UTC)Не надо придираться к словам. Имелось в виду, что взломать можно любую почту, где предполагается восстановление пароля и где клиент не знаком лично с хозяином. Поэтому я и говорю, что единственный выход - когда клиент и хозяин объединены в одном лице. Все остальные варианты уязвимы.
(no subject)
Date: 2008-04-18 04:50 pm (UTC)Если бы правилами провайдера была предусмотрена ровно одна процедура восстановления утраченого пароля - посредством дополнительного разделяемого нетривиального секрета (я здесь сознательно не употребляю словосочетание "контрольный вопрос", поскольку варианты "девичья фамилия матери" заведомо уязвимы), эта атака не сработала бы. Могла сработать другая - например, атакующий мог сам работать в службе техподдержки провайдера.
> Имелось в виду, что взломать можно любую почту, где предполагается восстановление пароля и где клиент не знаком лично с хозяином.
Вот у меня есть основания полагать, что знакомство с хозяином никак не убережет Вас от уязвимостей в самом почтовом сервере, например. Его тоже можно взломать. Или от того, что Вы выбрали слабый пароль. Да, впоследствии вы, возможно, восстановите контроль над почтовым ящиком, но конфиденциальность переписки уже будет утеряна.
Например, в gmail помимо двух способа восстановления пароля: через контрольный вопрос и через отправку письма на заранее зарегистрированый e-mail, можно заполнить форму: http://www.google.com/support/accounts/bin/request.py?contact_type=ara&ctx=accounts
Дальше в действие вступает социальный инжениринг. Если этот процесс отлажен правильно, или если бы его вообще не было, атака на пользователей gmail была бы более сложной.
Поэтому если бы у меня стояла задача иметь надежную почту на бесплатном хостинге, я бы искал именно тот, где восстановление пароля силами администраторов невозможно (ну, если отмести тот факт, что атакующий - работает в провайдере или является другом работника). Думаю, такие все-таки существуют. Однако, в этом случае пользователю придется смириться с тем, что утрата контрольного вопроса равняется потере почты навсегда.
> Поэтому я и говорю, что единственный выход - когда клиент и хозяин объединены в одном лице.
это опять же не защищает от дырок в ПО - только от социального инжениринга, и то, я не думаю, что на 100%. Вот, например, дырку в Adobe Flash нашли относительно недавно. Представьте, что я посылаю Вам письмо от имени какого-нибудь знакомого со ссылкой на страничку с flash-роликом (или, проще, публикую прямо тут, в журнале), Вы просматриваете страничку, а я получаю доступ к Вашему компьютеру, устанавливаю клавиатурный сниффер, и - готово дело, все пароли у меня, а Вы ничего не узнали. Вариантов масса, в общем. На сегодняшний день самй простой - заговорить зубы техподдержке провайдера, но это не значит, что других нет.
(no subject)
Date: 2008-04-18 05:00 pm (UTC)(no subject)
Date: 2008-04-20 02:26 pm (UTC)(no subject)
Date: 2008-04-18 08:33 am (UTC)Тошнотворнейший сервис, напоминает нефтяную вышку - та качает деньги, не обращая ни на кого внимания, благодаря мировой коньюнктуре, а эти благодаря престижности и интуитивности своего названия. К профессионализму ни то, ни другое отношения не имеет.
(no subject)
Date: 2008-04-18 09:01 am (UTC)1. Как тогда уничтожить все (любые!) следы своего присутствия на этом сервере (особенно, если они хранят резервные копии э-мейлов)?
2. Можно ли при этом сохранить все полезные письма и адреса, выведя их предварительно с этого сервера?
3. Как при этом включить автоматическую переадресацию для тех, кто не знает о моём уходе с "мыла" и продолжает слать мне свои э-мейлы туда? (Всех ведь не упомнишь и - главное - не предугадаешь и не предупредишь "вручную"!)
И ещё вопрос чуть на другую тему:
Считаете ли Вы, что надо закрывать свои аккаунты на "одноклассниках", "вконтакте" и прочих виртуальных коммуналках такого рода? (Я слышал, их "пасут" спецслужбы, причём не только России.)
Заранее спасибо!
(no subject)
Date: 2008-04-18 09:10 am (UTC)Насчет мейл.ру: я бы посоветовал нужные письма переслать в другое место либо просто скопировать в отдельную папку на компьютере, после чего почту закрыть. Три месяца после закрытия никто не сможет завести почту с Вашим адресом, а потом адрес освобождается.
Любая переадресация возможна только если почта не убита.
Но думаю, что даже при закрытии почты следы Вашего присутствия на их сервере все равно останутся.
(no subject)
Date: 2008-04-18 02:58 pm (UTC)А вы с какой почтой сравниваете? Как раз мейл.ру спам отсеивает великолепно.
(no subject)
Date: 2008-04-18 09:20 am (UTC)Я разговоров неконфиденциальных ни с кем не веду, тайной переписки тоже, о планах своих в жж не пишу... Ничем из вышеперечисленного не дорожу. Могу завести все новое. Особо ценного, что должно бы храниться вечно на ящике мэйла ру нет. Копии на личном компе.
Чем мне может навредить взломанный ящик или жж?
Ну я правда не понимаю.
(no subject)
Date: 2008-04-18 09:35 am (UTC)(no subject)
Date: 2008-04-18 02:41 pm (UTC)(no subject)
Date: 2008-04-19 06:22 pm (UTC)Буду иметь в виду, спасибо.
(no subject)
Date: 2008-04-22 05:25 am (UTC)Есть или нет, чего скрывать - это дело личное, но надо понимать, что прослушать ваш телефон и посмотреть вашу почту можно всегда и это уже должно принимать во внимание. А если это технически возможно, то все остальное - это бессмысленные разговоры "про демократию".
Не надо говорить в телефон то, что можно использовать против вас и уж совсем странно, когда какая-то публикация на общедоступном сервере является "ценной": записали на пять флэшечек и в банки - трехлитровые с притертой крышечкой.
(no subject)
Date: 2008-04-22 08:51 am (UTC)Я надеюсь, Вы не будете развивать этот тезис в сторону мирового заговора Жидомассонской Закулисы, замалчивающей вопросы правейси с целью получения мирового господства, причем источники этого заговора прослеживаются еще в Протоколах Сионских Мудрецов? ;)
> но надо понимать, что прослушать ваш телефон и посмотреть вашу почту можно всегда и это уже должно принимать во внимание. А если это технически возможно, то все остальное - это бессмысленные разговоры "про демократию".
у меня есть основания полагать, что при принятии определенных мер со стороны абонента, его прослушка даст очень мало. Сюда относится и сильная криптография, и анонимизаторы, и - и то, и другое доступно в Интернет.
> записали на пять флэшечек и в банки - трехлитровые с притертой крышечкой.
вот это как раз - очень слабая защита.
Кстати, если Вы уж ругаете статью, не затруднит ли Вас подробно пояснить, что в ней плохого и, быть может, даже предложить что-то лучше по этому предмету?
(no subject)
Date: 2008-04-22 01:13 pm (UTC)>Я надеюсь, Вы не будете развивать этот тезис в сторону мирового заговора Жидомассонской Закулисы,
Мы же сейчас не обсуждаем цели, с которыми забалтывают вопросы.
>замалчивающей вопросы правейси с целью получения мирового господства, причем источники этого заговора >прослеживаются еще в Протоколах Сионских Мудрецов? ;)
Это что, такой "хороший тон" - похихикать с умным видом по поводу "Протоколов"? Вы про это знаете что-то, что мне неизвестно?
Вы бы еще какую-нибудь пословицу-и-поговорку привели б в качестве аргумента.
>> но надо понимать, что прослушать ваш телефон и посмотреть вашу почту можно всегда и это уже должно
>>принимать во внимание. А если это технически возможно, то все остальное - это бессмысленные
>>разговоры "про демократию".
>у меня есть основания полагать, что при принятии определенных мер со стороны абонента, его прослушка
>даст очень мало. Сюда относится и сильная криптография, и анонимизаторы, и - и то, и другое доступно
>в Интернет.
>
Полагать Вы можете, что угодно и куда угодно. Ваша "сильная криптография" автоматически нелегальна, и,
если "кому-то" станет надо, Вы все свои "ключи" сами вспомните, даже обладая слабой памятью.
Надеюсь, что не надо объяснять, что телефонный аппарат с шифрацией - малополезное устройство, если,
конечно, круг Вашего общения строго не ограничен, а уж дырка для прослушивания есть на каждой
телефонной станции. Более того, современные АТС позволяют "копировать" голосовой поток на любой
телефонный номер - "интересанту" даже идти никуда не надо.
>
>> записали на пять флэшечек и в банки - трехлитровые с притертой крышечкой.
>вот это как раз - очень слабая защита.
Вы, как я понял, не видите разницы между защитой информации от несанкционированного доступа
и ее сохранностью. Я же явно написал:" странно, когда какая-то публикация на общедоступном
сервере является "ценной"" - Вы, почему-то, предпочли это опустить, продемонстрировав
непонимание предмета.
>
>Кстати, если Вы уж ругаете статью, не затруднит ли Вас подробно пояснить, что в ней плохого
>и, быть может, даже предложить что-то лучше по этому предмету?
>
Что можно сказать про статью, в которой на трех страницах автор обсасывает в разных формах
то, что он назвал "аргументом мне нечего скрывать"? Он что, настолько туп, чтобы понять, что
90% населения все это попросту безразлично. Потому, что действительно - _нечего_ скрывать.
Ну, нажрался, ну, побил свою бабу - делов-то!
А предложить - уже. Не болтайте лишнего по телефону. Храните флешечки в трехлитровых банках,
если думаете, что записанные на них Ваши мысли могут предсталять интерес для "человечества".
(no subject)
Date: 2008-04-18 10:00 am (UTC)(no subject)
Date: 2008-04-19 06:43 pm (UTC)(no subject)
Date: 2008-04-19 08:19 pm (UTC)(no subject)
Date: 2008-04-20 05:59 pm (UTC)(no subject)
Date: 2008-04-18 11:04 am (UTC)А навредить-то это как-то может?
Или я не правильно понимаю суть?
(no subject)
Date: 2008-04-18 12:06 pm (UTC)(no subject)
Date: 2008-04-18 04:11 pm (UTC)www.crealitika.ru
реально интересно - как отреагирует Mail (и отреагирует ли вообще)
(no subject)
Date: 2008-04-18 04:11 pm (UTC)(no subject)
Date: 2008-04-27 02:13 pm (UTC)Вообще, лучше настроить почтовую программу и пользоваться ей. Любая почтовая программа после отработки поп3-сервера дает команду на очистку ящика. А база будет храниться у вас на машине. Все же немного безопаснее.
(no subject)
Date: 2008-10-24 11:48 am (UTC)