[Postfixbuch-users] Message-ID manipulieren

[Jan P. Kessler]

> Du müsstest Dir genau überlegen, was Du eigentlich verstecken willst.
> Für die Generierung der Message-ID benutzt praktisch jeder Mailer sein
> eigenes Verfahren. Dem geübten Auge wird es nicht schwerfallen, auch
> eine verschleierte Message-ID schon allein anhand dieser ID
> wiederzuerkennen.

Das ist wahr - vermutlich ist Squirrel anhand der ID erkennbar. Aber da
"MUA@" ja eine Phantasieangabe ist, kann ja niemand wissen, ob es nicht
das gleiche Verfahren zur Erzeugung nutzt.

> Es gibt natürlich noch die Möglichkeit, dass Du in all Deinen Mailern
> einen eigenen Message-ID-Algorithmus implementierst. Das hätte dann
> nebenbei vielleicht sogar noch den Vorteil, dass Du Bounces von
> gefälschten Mails leichter erkennen könntest. Allerdings...

Absoluter Overkill - ACK! Alles, was ich nicht mit einem einfachen REPLACE
Statement erreichen kann, ist an der Stelle die Mühe nicht wert.

> wenn Dein Web sowieso hinter einem Passwort lebt, warum dann überhaupt
> die Mühe?

Nicht mein Web - nur das Webmail. Und überhaupt "mein Web, Dein Web - Web
ist doch für uns alle da!" ;)

Na, der Grund liegt darin, dass es ja möglich sein könnte, meinem MUA mit
einer manipulierten Nachricht einen Exploit unterzujubeln (Outlook lässt
grüßen). Im Grunde genommen der gleiche Grund, weshalb auch mein Bind und
der Apache keine genauen Versionsinfos liefern. Es ist wie mit allen
Securitymitteln - keines bietet 100%ige Sicherheit, aber man kann die
Latte vll so hoch legen, dass es die Mühe für andere nicht mehr lohnt.

Aber ich merke schon - so richtig begeistern kann ich mit der Idee nicht, wa?

Grüße, Jan