Danh sách chặn email dùng một lần đang gây hại cho người dùng thực — Đã đến lúc tách biệt bí danh khỏi email rác

Benjamin Piouffle gần đây đã cố gắng đăng ký một dịch vụ dữ liệu mở công cộng bằng bí danh Proton Mail và bị từ chối vì bị coi là “thư rác tiềm năng.” Sự mỉa mai không thoát khỏi ông: năm 2018 ông đã xuất bản Burnex, một gói Elixir kiểm tra email dựa trên danh sách các tên miền dùng một lần đã biết. Danh sách đó là wesbos/burner-email-providers nổi tiếng. Giờ đây, ông công khai rút lại khuyến nghị chặn tên miền dùng một lần khi đăng ký.

Email dùng một lần và Bí danh không phải là một

Email dùng một lần cổ điển là hộp thư đến công khai, tồn tại ngắn hạn mà bất kỳ ai cũng có thể truy cập — nghĩ đến yopmail.fr hay mailinator.com. Mặt khác, bí danh email là địa chỉ chuyển tiếp vĩnh viễn gắn với tài khoản của bạn, bạn kiểm soát và có thể vô hiệu hóa. Các dịch vụ như Firefox Relay và Apple Hide My Email giờ đây là xu hướng chính thống, không phải đồ chơi của hacker. Danh sách chặn gộp chung cả hai loại cuối cùng lại trừng phạt những người dùng đang cố gắng bảo vệ quyền riêng tư của họ. Bí danh hạn chế theo dõi chéo trang web, giảm thư rác sau các vụ rò rỉ và cho phép bạn truy vết rò rỉ. Chúng ta nên muốn nhiều người sử dụng chúng hơn, chứ không phải ít đi.

Danh sách chặn không ngăn được kẻ lạm dụng có quyết tâm

Những kẻ gửi thư rác chưa bao giờ bị giới hạn ở các tên miền bị chặn. Tính năng bí danh + của Gmail, các dịch vụ như Emailnator và tên miền tùy chỉnh giá rẻ khiến việc vượt qua danh sách chặn tên miền trở nên dễ dàng. Chi phí là bất đối xứng: một bot ngây thơ bị chậm lại một chút, trong khi người dùng thực với bí danh hợp pháp bị từ chối cứng mà không có cách khắc phục. Bạn đang tối ưu hóa cho kẻ tấn công dễ bỏ cuộc và trừng phạt người dùng coi trọng quyền riêng tư. Xác minh email nói chung chỉ chứng minh ai đó có thể nhận được email một lần — nó không phải bằng chứng về danh tính hay độ tin cậy.

Vẫn có những ứng dụng hợp lệ

Kiểm tra xem tên miền email có xuất hiện trong danh sách đã biết là dùng một lần hay không vẫn là một tín hiệu hợp lý cho điểm rủi ro rộng hơn, phát hiện các mẫu đáng ngờ trong các lô hoặc bỏ qua chúng trong các chiến dịch tiếp thị. Nhưng Piouffle lập luận rằng nếu ông xây dựng lại Burnex ngày hôm nay, ông sẽ thu hẹp phạm vi của nó vào các hộp thư đến công khai và dùng chung thực sự và tách các nhà cung cấp bí danh cá nhân vào một danh mục khác. Danh sách thượng nguồn được tiêu thụ nguyên trạng bởi nhiều trình xác thực đăng ký, vì vậy các lựa chọn phân loại của nó có tác động hạ nguồn thực sự.

Những gì nên thay đổi

Piouffle đã mở một vấn đề trên danh sách wesbos đề xuất tách: một tệp cho các hộp thư đến dùng chung công khai (yopmail.fr, mailinator.com) và một tệp thứ hai cho các nhà cung cấp bí danh và chuyển tiếp cá nhân (passmail.net, anonaddy.me, mozmail.com). Ông cũng khuyến nghị cập nhật README với hướng dẫn về các thực hành tốt. Bản thân Burnex đã bị ngừng phát triển và được chuyển giao cho một người bảo trì mới.

Bài học cho các kỹ sư: đừng chặn mù quáng các tên miền từ một danh sách duy nhất. Phân biệt giữa email dùng một lần dùng chung và bí danh cá nhân. Người dùng của bạn sẽ cảm ơn bạn, và những kẻ gửi thư rác thậm chí sẽ không nhận thấy.