My e-mail honeypots

23.12.2020 06:36 | Přečteno: 6652× | Linux | | poslední úprava: 23.12.2020 06:53

Every time someone (bank, utility company, online shop, forum…) wants my e-mail address, I give them a unique, randomly-generated address. When I find the address at Have I Been Pwned, or when I receive an unsolicited e-mail/malware, I know exactly who is responsible. It may also help identifying leaks at HIBP with unknown source. Additionally, it is easy to filter mail into separate folders or to block spam.

Implementation

Usually, you can create a unique address using a + sign, such as user+whatever@example.com, and it will be delivered into user@example.com mailbox. However, spammers of course know this too, and they strip the part after the + sign.

I'm currently using the format user.whatever@example.com. This needs a little tweaking of the mail server. I use Postfix and I have this in the aliases file:

if !/(user.aaaaa|user.bbbbb)@example.com/
/user\..+@example.com/	user@example.com
endif

user.aaaaa@example.com and user.bbbbb@example.com are the leaked addresses that are receiving lots of spam now. I don't want to receive mail for them and this rejects them with user unknown.

Now, how to generate the unique string. Some people use the name of the service, but this is not ideal: for example, if I know Alice is registered at the ACME website, I can blindly send unsolicited mail to alice.acme@example.com and Alice will accuse ACME for that. Therefore, there should be at least a few random characters.

I personally have the following script:

#!/bin/bash

challenge="`cat /dev/urandom | tr -dc a-z0-9 | head -c 5 ; echo`"

line="`echo "user.${challenge}@example.com" $* $( xclip -out ) $(date +%F)`"

echo "user.${challenge}@example.com" | xclip -in
echo "$line" >> ~/notes/honeypot.txt

When there is an online form asking for an e-mail address, I select the URL bar (thus copying the URL) and invoke the script using a keyboard shortcut. It puts a fresh random address into the clipboard (so I can just paste it in the form) and it logs it, together with the URL and timestamp, into honeypot.txt. The entire process only takes a few clicks.

Two notes on the implementation:

• It has once generated a random string containing a substring anus and I have just blindly pasted the address, not checking it. It has then generated some embarrassment. Maybe you should use the pwgen program instead, with the following parameters:

         -v, --no-vowels
  Generate random passwords that do not contain vowels or numbers that might be mistaken for vowels. It provides less secure passwords to allow system administrators to not have to worry with random passwords accidentally contain offensive substrings.

         -B, --ambiguous
  Don't use characters that could be confused by the user when printed, such as 'l' and '1', or '0' or 'O'. This reduces the number of possible passwords significantly, and as such reduces the quality of the passwords. It may be useful for users who have bad vision, but in general use of this option is not recommended.

• Recently, I have seen a spammer strip the part after the dot too. They will deliver a spam e-mail for user.random@example.com and a few seconds later, they will deliver exactly the same message (including To: user.random@example.com in message headers) to user@example.com. So maybe take this into account if your primary objective is to reduce the amount of junk mail you are receiving, and change the format of the string so it does not contain the complete username at all.

Results

So far, only minor leaks happened. When a leak happens, I message the responsible owner/system administrator, explaining that I have given them a random address and now it is in some leak, and because my other honeypot addresses are not in the leak, it's probably a leak from their side. Usually, I get no reply back.

• A local online shop (hxxps://www.bike-eshop.cz/) with bicycle accessories. No reply from their administrator. I have not contacted the authorities, though maybe I should have done that.
• A now-defunct old website of the PlantVillage project.
• A local community project. They were thankful of the notice.
• The address associated with my student account at the university. Huh. It was found out that subject evaluations, when the student does not check "post anonymously", is actually completely public including the name and e-mail address.

Monitoring

Have I Been Pwned Domain search allows you to search leaked emails for the entire domain (verification, consisting of placing a special meta tag into the homepage on that domain, is required) and receive alerts when something new shows up.

       

Komentáře

[zabijak]

I have not contacted the authorities, though maybe I should have done that.

Uvazujes o bonzovani?

[vencour]

Píše ochránce džungle?

[m.]

Tak kdyz te serou a nemuzes je jit legalne vypalit, tak co ti zbejva.

[ET]

jj, me tohle reseni kdysi napadlo, kdyz jsem cetl o nemcich, kteri takhle chrani e-knihy (v kazde kopii e-knihy udelaji unikatni drobnou zmenu - pridaji mezery, prehazi par slov - a pak jsou schopny identifikovat kupce, pokud to najdou na warezu, atp.)

btw jak to pak resis v MUA, kdyz (regulerne) odpovidas na email a chces mit v "MAIL FROM" ten alias, na ktery mail prisel? Mas na to "automat", bo tam tu adresu dopisujes rucne?

[lies]

a pak jsou schopny identifikovat kupce

A k čemu jim to je? Resp. jak mohou dokázat, že si autor nezměnil text sám? Buď má kniha DRM a pak je to jedno, nebo je to prostě jen text a ten si může modifikovat kdo chce jak chce.

[lies]

(autorem zde myslím vlastníka + uploadera warezu)

[ET]

Cetl jsem to kdysi myslim na rootu, na kolik se to pouziva/je to pravne vymahatelny nevim - uz je to spousta let a nedohledal jsem to

Nicmene ses si jistej, ze DRM umoznuje identifikovat konkretniho kupce? Ja mel za to, ze resi prava k dokumentu - tj. jestli ho muzes cist/editovat/tisknout/atp..., ale mozna tam pridavaj nejake "smeti", podle ktereho to taky dokazou.

Jestli si dobre pamatuju, tak obcas delaji zamerne chyby/hrubky v textu, nebo prehodi par slov (je to kombinace vseho mozneho), takze tahle "ochrana" je ucinna napr. i proti OCR - ucinnost urcite nebude 100%, ale byla uvadena tusim nekde kolem 80% (+/- 10%)

[lies]

Já to spíš myslel tak, že pokud má kniha aktivní DRM, tak se určitě nebudou patlat s tímhle řešením, které - pokud je to pravda, úplně nevěřím - vymyslel uhrovatý ajťák a určitě ne právník. Naprosto neprůchodné.

[ET]

Tahle "ochrana" prezije i OCR, coz DRM neda. Dohledal jsem i tu orig. zpravu, kde se pise, ze by to mela byt alternativa k DRM

[lies]

Je to úplně k ničemu, může být na první stránce třeba tvoje adresa, otisk prstu a qr kód scanu tvojí sítnice, ale nikdo ti nedokáže, že jsi tu knihu nabídnul ke stažení ty. To je prostě celé mimo právní realitu. Můžou s tím maximálně tak někoho postrašit, jako když šmejdi posílají složenky babkám k propacení.

[ET]

Mistre, diky za kvalifikovany pravni rozbor...

[lies]

Není vůbec zač, ono ti to mohlo dojít, když tu pseudoochanu vlastně nikdo nepoužívá

[Jendа]

btw jak to pak resis v MUA, kdyz (regulerne) odpovidas na email a chces mit v "MAIL FROM" ten alias, na ktery mail prisel?

V Thunderbirdu to jde dopsat ručně, ale mám pocit, že jsem to snad ještě ani jednou nepotřeboval. E-shopy jsou v pohodě s tím, když se zachová předmět (číslo objednávky) příp. message ID a From může být klidně jiná.

[ET]

Aha, oki. Ja myslel, ze komunikujes vyhradne pres alias a na primary ti pak nechodi tolik bordelu. Na detekci leaku muze byt, dix ;)

[Pali]

btw jak to pak resis v MUA, kdyz (regulerne) odpovidas na email a chces mit v "MAIL FROM" ten alias, na ktery mail prisel?

V NeoMutte to rieším takto:

set reverse_name = yes
set use_envelope_from = yes
alternates ^regex_mojich_adries$

[Gréta]

k hledání úniků asi jako dobrý ale si myslim že uplně nejvíc spamu stejně de přímo z těch samotnejch různejch služeb kde byl mail použitej při registraci :O :/

nóó a když ty adresy boti jakoby parsujou co tam třeba jako zkusit strčit uplně nazačátek slovíčko 'noreply' třeba by takovej mail zahazovali :O :O :D ;D byl by problém s registračníma formulářema nebo to neřešej?? :O :O

[xkucf03]

Náhodné/unikátní adresy používám už dlouho, mám je třeba i na blogu nebo na stránkách svých projektů. Jinak to používám hlavně pro obchody a různé služby. Pár postřehů:

• Přijde mi, že to funguje preventivně – spammeři si možná všimnou, že je v adrese jejich doména nebo náhodný řetězec, který by je mohl identifikovat.
• Párkrát se mi stalo, že mi obchodník volal, že adresa je nějaká divná, ale když jsem jim řekl, proč to tak je, tak se s tím smířili a transakce už proběhla hladce.
• Většinou používám doménu třetího řádu tzn. např. abc.iug30cs5@def.example.com nikoli jen abc.iug30cs5@example.com a asi tak jednou se mi stalo, že to neprošlo přes validaci v nějakém formuláři a jednou mi obchodník volal, že adresa je neplatná – tak jsem mu řekl, že nemůže být neplatná, kdy mi na ni od něj přišlo potvrzení objednávky. Nakonec mi tam fakturu poslal ručně a to taky prošlo.
• Nejvíc spamu stejně chodí na generické a předvídatelné adresy – spammeři zkoušejí křestní jména nebo info, sales, atd.
• Nejslabším článkem je často lidský faktor – např. jsem členem určité skupiny, kde používám dost specifickou přezdívku, kterou spammeři nemohli uhodnout, ani jsem tuto adresu nevyvěsil nikde na webu. Přesto na ni chodí spam. To znamená, že byl napaden někdo z lidí, se kterými jsem si psal a spameři vykradli adresy z jeho korespondence nebo adresáře. Buď je to taková ta demence, kdy se dotyčný registruje na nějakou službu / sociální síť a sdělí jí jméno a heslo ke svojí e-mailové schránce, aby to „našlo jeho přátele“ (to tedy pěkně děkuji za takové přátele) nebo používá pochybný OS a pochybné aplikace a nechal si obyčejně zavirovat počítač, ze kterého pak ty viry mj. ukradly seznam kontaktů.

Nápad na zlepšení, který jsem zatím neimplementoval: Občas by se hodilo mít možnost generovat si alias offline, aniž bych ho musel zakládat na poštovním serveru. Na to by stačilo sdílené tajemství a hash/hmac – měl bych offline aplikaci, které bych zadal vstup (název/doménu příjemce) a vrátila by mi platnou e-mailovou adresu. např. "franta.abclinuxu.cz." + hash("abclinuxu.cz", "tajemství") + "@example.com". Na poštovním serveru by bylo stejné tajemství a stejný algoritmus (jde to napsat v SQL), takže by server věděl, na jakých adresách má přijímat poštu. K tomu by byla samozřejmě černá listina adres, které sice algoritmu+tajemství odpovídají, ale přijímat na nich už nic nechceme.

Další věc je, jak tu hromadu aliasů dostat do e-mailového klienta, aby na ty zprávy člověk mohl odpovídat (u obchodů to obvykle není potřeba, ale jinak se to hodí). Tady by šlo udělat rozšíření do Dovecotu, ze kterého by si pak klient mohl přes zvláštní IMAP příkaz vytáhnout ty aliasy. U dnešních klientů je dost otravné a hloupé, že při odpovídání automaticky vyplní výchozí adresu (pokud daná adresa není nakonfigurovaná jako identita pro odesílání) a neupozorní uživatele na to, že odpovídá z jiné adresy, než na jakou zpráva přišla. Takže může dojít k nežádoucímu úniku soukromé/výchozí adresy k někomu, kdo měl znát jen tu unikátní, kterou měl přidělenou. Tohle by šlo řešit doplňkem do e-mailového klienta (provizorně je dobré si jako výchozí odesílací nastavit nefunkční adresu a účet, ze kterého nejde nic poslat).

[plostenka]

Občas by se hodilo mít možnost generovat si alias offline, aniž bych ho musel zakládat na poštovním serveru.

Tomu se rika domenovy kos - mam takhle definovany email spamy@ a vsechny maily ktere prijdou na nezkonfigurovany alias skonci "v kosi". Diky tomu do formularu na internetu muzu napsat pred zavinacem cokoliv a vim ze to ve spamy@ najdu (a muzu odtud i poslat odpoved prostym prepsanim From: hlavicky (coz umi treba mutt)).

[xkucf03]

Doménový koš je něco jiného. Já chci spam¹ okamžitě odmítnout ještě v rámci SMTP relace² a ne se jím pak prohrabávat v nějakém koši.

_{[1] což zahrnuje i zprávy přicházející na neexistující adresy – podstata doménového koše
[2] aby odesílatel věděl, že jeho zpráva nebyla přijata – mimochodem, tohle by měl být standardní přístup – nesnáším současnou praxi, kdy někteří poskytovatelé hází náhodné e-maily do spamu nebo je rovnou mažou a odesílatel se o tom nijak nedozví – tohle ničí e-mailovou technologii jako takovou a dělá ji to nepoužitelnou}

[plostenka]

Domenovy kos prece s funkci antispamu nesouvisi, ale diky tomu ze je na separatnim aliasu nemam v primarnich schrankach bordel.

[jiwopene]

Pokud neočekáváte velké množství (gigabajty) zpráv, můžete je analyzovat zpětně až ve schránce a potom smazat.

aby odesílatel věděl, že jeho zpráva nebyla přijata

To je celkem problematické. Může se stát to, že se informace o odesílateli ztratí nebo pochází z nedůvěryhodného zdroje (odesílatel, mezilehlý SMTP server, …), takže potom může být i tato odpověď nevyžádanou poštou. I jedna zpráva na schránku informovaného by mohla informujícímu způsobit škodu – například okamžité mazání budoucích zpráv od informujícího – protože informovaní mohou mít jednoho provozovatele, který by to mohl považovat za spam. Příklad: Odesílatel posílá zprávu na SMTP server A, ten ji pošle na server B a ten doručí zprávu Vám. Pokud si server A a B nemohou důvěřovat, hlavičky identifikující odesílatele (např. From) se potom na serveru B nemohou použít pro adresování zprávy skutečnému odesílateli. Signalizace po SMTP také často není realizovatelná – spojení může být uzavřeno ještě před doručením.

[Jendа]

Ale to je problém lidí co používají mezilehlé SMTP servery a neumí si to nastavit, ne můj .

Pro představu, jak se to provozovalo na matfyzu, kde strašně chtěli mezilehlý SMTP server: bylo několik možností, jak SMTP serveru říct, pro jaké uživatele poštu přijímáme (ručně, soubor pravidelně stahovaný přes nějaké API), a on pak pro tyto přijímal a pro ostatní odmítal.

[xkucf03]

Trochu jsem se na tohle téma rozepsal ve vedlejší diskusi: Reputační systém a vratné zálohy + anti-spam

[Pali]

Postfix sa dá pomocou recipient_canonical_maps databázi nastaviť aby si interne prepísal cieľovú adresu, kde email (na lokálnom stroji) doručí. Okrem textových key-value databáz podporuje aj SQL ale taktiež aj databáza na externom sockete (je na to definované API). Stačí si napísať jednoduchého daemona, ktorý bude počívať na sockete a ak dostane na vstupe emailovú adresu, ktorá má validný HMAC tak ju prepíše na (lokálneho) užívateľa. Inak ju nechá tak. Postfix potom buď email ohneď odmietne (neznámy príjemca) alebo duručí lokálnemu užívateľovi. Pôvodná RCPT TO adresa (pred prepísaním externým daemonom) je automaticky uložená postfixom v X-Original-To: hlavičke.

Funguje to takto elegantne a nezávisle na spam filtre. V prípade, že sa používa iný spôsbo aliasov ako cez recipient_canonical_maps, tak podobne sa dá nastaviť použitie externého daemona na sockete takmer ktoroukoľvek voľbou v postfixe.

[DildoMaster]

Takže jsi tím zabil čas, nic vlastně nevyřešil (nulový efekt) a cpeš to sem v angličtině. Tlesky tlesk.

[MMMMMMMMM]

Koupil jsem doménu a už mnoho mnoho let používám aliasy pro každý e-shop nebo službu ve tvaru alza@bordel.cz, czc@bordel.cz, ...

[Petr Tomášek]

A jak to děláš s telefonními/mobilními čísly? Spousta služeb nechce bez nich běžet. Asi vědí, že zařídit číslo je těžší než zařídit email...

[Pali]

České nomadické alebo geografické číslo pripojené po SIPe sa dá zriadiť za cca 30 CZK.

Stačí si potom rozchodiť vlastnú tel. ústredňu (asterisk alebo kamailio) a iba správne si naroutovať audio hovory ako už človek chce.

Na strojový príjem SMS pre nomadické a geografické čísla sa dá zneužiť toho, že SMSky v ČR sa budú doručovať ako FAX (=bitmapa) ak sa ihneď po zvyhnutí hovoru pošle CED signál. FAX následne zOCRkovať a vyextrahovať text SMSky. Dá sa to celé pekne naskriptovať, formát toho SMS-FAXu je pevný.

Ak ich netreba zriadovať veľa čísel a dosť často, tak to nie je až taká veľká investícia.

Mobilné čísla už je trochu väčší problém, stále ale existujú operátori, ktorí za malý (alebo žiaden) poplatok pošlú SIM kartu poštou. SIM karta sa dá do GSM brány a cez SIP sa naroutuje vlastnú tel. ústredňu. Na to už treba vlastný HW a takáto sranda na hranie stojí trochu viac

[Peter Golis]

Posielať textovú SMS nahradzujúcu zastaralý ďalekopis so správou do 160 znakov (alebo necelých 3x toľko pri ich zreťazení), pomocou obrázku sa mi zdá trošku overhead.

Ale nebol by radšej návod ako zasielať MMS? Tie boli vždy obrázkové, i keď liezli cez WAP.

[Pali]

Ja som písal o tom ako SMSku prijímať, nie posielať. Bohužiaľ to je realita, takýmto spôsbom sa v ČR doručujú všetky SMSky poslané na české geografické a nomadické čísla. To že to je overhead a sa s tým blbo robí sa treba ísť sťažovať operátorom. Ak to chce koncový užívateľ prijať nemá na výber, musí podporovať to, čo mu operátor naservíruje.

MMSky neboli a ani nie sú vždy obrázkové. MMSky majú veľmi podobnú štruktúru ako emaily až na to, že formát je celý binárny. MMSky sa ale v ČR prijímať na geografických a nomadických číslach nedajú.

[Peter Golis]

Dopr... Šak SMS liezli aj na pevnú linku, cez asi DTMF či čo sa to vtedy používalo. Tým ale nemyslím zilinský text-to-speech.

A mmsky? Tie som videl len pár krát v živote. Ake bolo by to hospodárnejšie ako tie faxy čo ich medzičasom vytesnil email.

[Pali]

Áno máš pravdu, SMSky išli prijať v "textovej" forme aj na pevné linky podľa F-SMS štanradu. Nie je to DTMF ale 1200 baudový half-duplex FSK V.23 modem.

V tomto formáte to posielajú aj v ČR ale iba v prípade, že sa tel. číslo podarí dostať na whitelist (vedený v O2). A týka sa to samozrejme aj VOIP liniek pripojených cez SIP, nie len analógových pevných. Tí čo nie sú na whiteliste sú odkázaný na "plechovú hubu" alebo FAX.

Ja som na Slovensku MMSky používal dosť hodne. Ale to preto, že vtedajší Eurotel mával dosť často akcie, že dával MMSky za korunu. Normálna cena SMSky bola niečo cez tri koruny a tak sa mi viac oplatili tie akčné MMSky, hoci obsahovali iba text.

[Peter Golis]

Teraz som z toho už úplne mimo, veď VoIP by malo mať v sebe priamu funkcionalitu SMS. Ak to teda poskytovatelia neblokujú kvôli spamerom, ale to by blokovali odosielanie (alebo si ho nechali adekvátne spoplatniť podobne ako to robia podobní poskytovatelia marketingu cez email).

Mne MMS nikdy neprirástli ku srdcu. Ale pamätám sa jednu krásnu akciu, keď vyšla služba "pošli MMS ako pohľadnicu". Stálo to 60SK, fotka mala kvalitu poštovej známky a vzhľad bol podobný telegramu. Nuž, komerčný úspech to malo.

[Pali]

Teraz som z toho už úplne mimo, veď VoIP by malo mať v sebe priamu funkcionalitu SMS.

Má. SIP umožnuje posielať plain text správu cez MESSAGE príkaz. A ktomu špeciálne kvôli VoLTE bol vymyslený spôsob ako poslať RPDU obsah SMS správy ako binárku cez SIP MESSAGE. Oboje sa dá teda chápať ako "priama funkcionalita vo VOIP".

Ibaže nič z toho nie je poskytované pre geografické/nomadické čísla na VOIP linkách v ČR.

Čo sa týka funkcionalít geografických a nomadických čísel na VOIP/SIP linkách v ČR, tak tam je proste iba preklopená analógová časť na nasamplovaný zvuk v RTP zabalený do UDP paketov. A keď služby na analógovej linke behali in-band cez modem (ako FAX alebo SMS), tak patričný zvuk je rovnako prenášaný ako zvuk na VOIP/SIP linkách.

Je tu ale jeden menší pokrok v oblasti FAXu cez VOIP. Na prenos FAX po VOIP existuje protokol T.38. Definuje ako zabaliť binárny FAX do UDP a teda už nepoužívať modem v hlasovej časti cez RTP. VOIP brány po ceste ho zvyknú podporovať.

Ak to teda poskytovatelia neblokujú kvôli spamerom, ale to by blokovali odosielanie

Ja som zatiaľ písal iba o prijímaní obsahu. Posielanie je naozaj zablokované a neposkytované z geografických a nomadických čísel asi u všetkých operátorov (analógových aj VOIP) až na výnimku, monopol O2-CZ. Tzn. funguje to iba pre analógové pevné linky, kde si užívateľ platí "vysoký tarif".

Proste ak chce niekto poslať SMSku na ľubovoľné české geografické/nomadické číslo (či už zo sim karty nejakého mobilného operátora alebo cez nejakú webovú/komerčnú službu), tak SMSku normálne pošle a jeho operátor ju doručí operátorovi O2-CZ, ktorý sa ďalej postará o doručenie na konkrétne geografické/nomadické číslo jedným z tých haluzných spôsobov. A to bez ohľadu na to akého operátora má príjemca.

[Peter Golis]

Takže sa zahodili staré funkčné riešenia, a odignorovala sa bežná funkcionalita ktorú poskytuje súčasne používaný protokol. Namiesto toho vymysleli hranaté koleso (posielanie textu v bitmape). To vyzerá na klasický problém, keď sa zákazníci nesťažujú. A dodávateľ si tým pádom oprávnene myslí že ním dodávané riešenie je vyhovujúce.

Už som počul aj o tom že niekto si písal poznámky v mspaint.exe, a ukladal to ako jpg. A divil sa že to má viac a viac rozostrené. Zažil som podobnú vec, absolvent vysokej školy výtvarného umenia robil vektorovú grafiku ako jpeg vo fotošope (nepoužil editor vektorvých obrázkov), s rovnakým postupným rozostrením. Tiež si, ako aj VoIP operátori, vybral nevhodný nástroj. Ale upustil od toho, a presadil sa.

[Pali]

Zákazníci sa už prestali sťažovať lebo vedia, že to nikto nemá čas u operátora riešiť... u operátora sú zaneprázdení zložitejšími problémami, napr. ako gúľať to hranaté koleso

[Peter Golis]

Pokiaľ zákazníci platia a neodstúpia od zmluvy, tak tým utvrdzujú obchodníkov v úspešnom marketingovom pláne. A môžu sa tešiť na ďalšie podobné mňamky.

Je jedno či sa jedná o znehodnotené VoIP, alebo o viazaný predaj OS s HW.