E-Mail Security

Introdução

E-mail ou correio electrónico é um método que permite a troca de mensagens através de sistemas de comunicação. A troca de mensagens pode ser feita com o exterior, ou apenas no interior de uma organização, dentro daquilo a que normalmente se designa como Intranet, usando normalmente o protocolo SMTP.

Notas Muito Importantes E-mails:

• Qualquer pessoa pode fazer-se passar por outra e enviar mensagens a terceiros, bastando para isso mudar o endereço de e-mail do remetente;
• Não há garantia que um e-mail enviado vá chegar ao destinatário. As principais razões para isto acontecer são, entre outras:
  • o e-mail ser considerado SPAM
  • problemas no servidor de recepção da mensagem ( ex: o servidor estar temporariamente em baixo, estar a ser alvo de um ataque, ...).
  • problemas no servidor de envio de mensagem
  • problemas/restrições impostas por equipamentos intermédios como firewall, anto-vírus, anti-spams, etc..
• Um servidor de e-mail só "desiste" de entregar um e-mail ao fim de um período de tempo configurável, normalmente 2 dias. Assim, quando enviamos um e-mail é ele é aceite pelo servidor que irá proceder ao envio de e-mail, não há garantia que ele tenha efectivamente sido enviado. Caso não o consiga enviar na primeira oportunidade e há haja nenhum erro reportado, o Servidor tentará enviá-lo várias vezes até conseguir enviá-lo ou terminar o prazo definido, circunstância em que enviará uma mensagem de erro para o remetente do e-mail. Esta informação é muito importante para quem costume enviar ficheiros anexados muito grandes (>10M), uma vez que a probabilidade de haver erros na transferência de e-mails aumenta .

Sempre que seja enviado um e-mail cuja impotância seja elevada e o recibo de leitura não seja recebido, deve ser feito contacto telefónico para confirmação da recepção;

• Normalmente os e-mails circulam pela internet sem serem encriptados o que possibilita a sua leitura a quem os interceptar ( deliberadamente );
• A inclusão de anexos nos e-mails está dependente de várias limitações que podem acontecer no servidor de origem ou de destino da mensagem. Essas limitações são tipicamente o tamanho do anexo e o tipo de anexo ( zip, exe, doc ). Nesta situação deve ser usado sempre que possível a utilização de um outro serviço para a troca dos ficheiros. Outros possiveis serviços são o FTP/SFTP ou serviços gratuitos (ou não,tendo em atenção o nível de confiança pretendidos) online como o MailBigFile;
• E-mails que pedem ao utilizador para introduzir dados pessoais como usernames e passwords para acesso a alguns serviços ( ex: homebanking ) devem ser considerados perigosos e não devem merecer a confiança de quem os recebeu;
• O utilizador deve ter atenção na introdução do endereço de e-mail em sites para recepção de newsletters e/ou outro tipo de informação. Há uma grande possibilidade de os endereços serem apanhados por terceiros e passar a receber SPAM. Se necessário pode recorrer a serviços que fornecessem e-mails temporários, exactamente para os casos em que é requerido o registo numa determinada página com um e-mail real.
• Alguns tipos de e-mail considerados indesejados e fraudelentos são:
  • Mensagens que oferecem grandes quantias em dinheiro, mediante um pagamento por tranferência;
  • mensagens que oferecem produtos muito abaixo do preço normal de mercado;
  • Mensagens que tentam levar os utilizadores a aceder a uma determinada página com o intuito deste fornecer alguns dos seus dados pessoais, como conta bancária, numero do cartão de crédito e passwords.
• Nunca abra nada suspeito!
• Algumas notas para tentar minimizar este tipo de aproveitamento são:
  • desligar as opções que permitam executar automaticamente anexos;
  • desligar as opções de execução javascript e java;
  • desligar, se possível, o modo de visualização de e-mails em modo html.
• Além destas, deve ter atenção a outras medidas:
  • instalar sempre a ultima versão do leitor de e-mail;
  • não clicar em links que apareçam no conteúdo do e-mail. Tentar sempre abrir esses links directamente no browser;
  • evitar abrir ficheiros ou anexos sem antes terem sido verificados pelo anti-virus;

E-mail - Tecnologia Utilizada

Formato de um e-mail O formato de um e-mail foi definido inicialmente na RFC 2822 e posteriormente noutras (da 2045 á 2049) e é conhecido como MIME (Multipurpose Internet Mail Extensions).

Incialmente a troca de e-mails era feita apenas em texto simples. O MIME veio acrescentar a possibilidade de incluir nos e-mails codificações de caracteres diferentes, bem como binários (imagens, sons, executáveis, etc).

Muito resumidamente, o formato de um e-mail resume-se a duas partes:

• cabeçalho ( header ) - onde estão campos que contêm o remetente, o destinatário, e outras informações sobre a mensagem;
• corpo ( body ) - contém a mensagem propriamente dita.

Clientes de E-mails (MUA)

Um cliente de E-mail não é mais do que um programa que permite receber/enviar correio por parte de um utilizador bem como fazer gestão dos e-mails. Normalmente faz as funções de MUA (mail user agent), MRA (mail retrieval agent), MSA (mail submission agent), MDA (mail delivery agent).

Exemplos de clientes de e-mail são o Mozilla Thunderbird e o Microsoft Outlook.

Os clientes de E-mail normalmente usam o protocolo POP3 ou IMAP para receber as mensagens e SMTP para comunicarem com o MTA (ex: servidor de e-mail). Existem riscos associados aos clientes de e-mail. Normalmente estão associados aos conteúdos das mensagens que tiram partido de características dos leitores de e-mail.