1978. május 3-án Gary Thuerk, a Digital Equipment Corporation marketingese egyetlen üzenetet küldött egyszerre több száz ARPANET-felhasználónak, a legtöbb forrás szerint 393-nak, és a DEC új számítógépeinek bemutatójára hívta őket. A címzettek panaszkodtak, a hálózat üzemeltetői pedig megrovásban részesítették a DEC-et. A Guinness-rekordok szerint ez a legrégebbi elektronikus spam. Körülbelül két évtizedbe telt, mire valaki gyakorlati választ kínált a hétköznapi embereknek a vezeték másik végén.
Ez a válasz az eldobható e-mail-cím volt, és nagyjából 2000 körül jelent meg. A Spamgourmet addigra már lejáró továbbító címeket adott, a Mailinator pedig 2003-ban követte nyilvános postaládákkal, amelyekhez fiók sem kellett. Az eldobható e-mail története arról szól, miért vált szükségessé ez a sok szolgáltatás: egy bizalomra épült levelezőrendszerről, egy címről, amely belépési névvé lett, és egy küldési költségről, amely annyira közel van a nullához, hogy a szűrők és a törvények csak mérsékelni tudták az áradatot. Ugyanezek a nyomások hozták létre később az aliasokat, és ma is ezek formálják, mi következik.
Hálózat, ahol mindenkit meg lehetett találni
Egyetlen közös számítógép felhasználói között már az 1960-as években mentek üzenetek. A lényeges lépés 1971-ben történt, amikor Ray Tomlinson mérnök két gép között küldött üzenetet az ARPANET-en, a US Department of Defense által finanszírozott kutatóhálózaton, és a @ jelet választotta, hogy elválassza a személy nevét a gazdagép nevétől. Thuerk üzenetének idejére az e-mail a hálózat egyik leggyakrabban használt szolgáltatása volt.
A felhasználók kutatók, mérnökök és kormányzati alkalmazottak voltak, és többnyire azonosítani tudták egymást. Ez a társadalmi tény beépült a műszaki megoldásba. Amikor 1982-ben az SMTP megjelent RFC 821 néven, az RFC 822 pedig a From, To és Subject típusú fejléceket határozta meg, semmi sem kérte a feladót arra, hogy bizonyítson valamit. Két levelezőszerver egyszerűsített párbeszéde nagyjából úgy nézett ki, mint ma:
MAIL FROM:<anyone@example.com>RCPT TO:<reader@example.org>DATA
A fogadó szerver szó nélkül elhitte a feladó állítását. Egy olyan hálózaton, ahol a visszaélést egy telefonhívással is el lehetett intézni a vétkes főnökénél, ez észszerű tervezés volt. Amikor ez a telefonhívás már nem volt lehetséges, ebből lett a hamisított feladók, az adathalászat és a névtelen tömeges levelezés gyökere.
A második építőelem 1986-ban érkezett, amikor az RFC 974 leírta, hogyan irányítja a Domain Name System a leveleket MX-rekordokkal. A domain közzétesz egy rekordot azokról a szerverekről, amelyek fogadják a levelezését, és bármelyik feladó lekérdezheti. Az interneten ma is így kap üzeneteket minden postaláda, és ennek később fontos következménye lett: aki egy domaint irányít, oda irányíthatja a levelezését, ahová akarja, és a domain bármelyik nevére fogadhat üzenetet anélkül, hogy előbb bármilyen fiókot létrehozna.
1994: a tömeges üzenetküldés eléri a nagyközönséget
Thuerk üzenete sokáig kuriózum maradt, mert az ARPANET tiltotta a kereskedelmi használatot, és kevés ember volt elérhető. Az 1990-es évek elejére a „spam” szó már terjedt az online közösségekben, egy vígjátéki jelenetből kölcsönözve, amelyben a szó addig ismétlődik, amíg minden más beszélgetést elnyom.
Azt, hogy mi következik, az mutatta meg, ami 1994. április 12-én történt. Két arizonai bevándorlási ügyvéd, Laurence Canter és Martha Siegel, zöldkártya-lottóhoz kínált segítségről szóló hirdetést tett közzé több ezer Usenet-vitacsoportban. A Usenet-felhasználók dühösen reagáltak, és amikor a páros az év későbbi szakaszában újra próbálkozott, egy programozó programot írt, amely automatikusan törölte a bejegyzéseket. A házaspár később könyvet adott ki az online pénzkeresésről, így a felháborodás aligha döntötte el a vitát.
Ez a kis történet már tartalmazza a következő harminc év mintázatát. A feladó rájön, hogy egy hatalmas közönség elérése szinte semmibe sem kerül. A fogadó oldalon lévők közösségi nyomással, majd szoftverrel válaszolnak. A feladó taktikát vált. Az egyes olvasónak pedig addig semmi beleszólása nincs, amíg meg nem jelenik egy olyan eszköz, amely az ő oldalán működik.
Az ingyenes webmail a címből belépési nevet csinált
A Hotmail 1996. július 4-én indult, a Yahoo Mail 1997-ben. Mindkettő lehetővé tette, hogy bárki perceken belül címet hozzon létre, és bármelyik böngészőből olvassa. Néhány éven belül az ingyenes webmail-fiókok száma több tízmillióra nőtt, és a cím már nem olyasmi volt, amit egyetemtől vagy munkáltatótól kaptál.
Három dolog következett ebből, és ezek erősítették egymást. A weboldalak elkezdték az e-mail-címet felhasználónévként használni, valamint a fiókok megerősítésének és a jelszavak visszaállításának csatornájaként, ettől a cím az azonosság részévé vált, nem csupán elérhetőséggé. A címek árucikké váltak: gyűjtőszoftverek szkennelték át a weboldalakat, fórumokat és hírcsoportokat mindenért, ami címnek látszott, majd listákban, tömegesen adták el őket. És mivel egymillió üzenet elküldése olyan keveset kerül, egy olyan válaszarány is megérte, amely a postai reklámhoz messze kevés lett volna.
Az emberek rögtönöztek. Egyesek „név kukac példa pont hu” alakban írták ki nyilvánosan a címüket, hogy a gyűjtőprogram elkerülje. Sokan nyitottak egy második ingyenes fiókot kizárólag regisztrációkra, ritkán nézték meg, és hagyták tele telni szeméttel. Ez a második szokás az eldobható e-mail igazi őse. Minden ötlet megvolt benne, csak az automatizálás hiányzott: egy cím, amelynek egyetlen dolga, hogy elnyelje a kitettséget, távol a fontos postaládától. Gyengéje a fenntartás volt, mert regisztráció kellett hozzá, jelszót kellett megjegyezni, és olyan szolgáltató kellett, amely nyitva tartja a fiókot.
A védekezők a fogadó végén kezdték
Mielőtt a eldobható címek elterjedtek, a komoly erőfeszítések szinte mind arra irányultak, hogy a spamet megérkezéskor megállítsák. Négy megközelítés emelkedik ki, és mindegyik valamilyen formában ma is él.
| Megközelítés | Időszak | Hogyan működött | Hol bukott el |
|---|---|---|---|
| DNS-feketelisták | 1990-es évek vége: MAPS Realtime Blackhole List (1997), Spamhaus (1998) | A levelezőszerverek a csatlakozó IP-címet megkeresték az ismert spamforrások közzétett listájában | A feladók hálózatot váltottak, és ártatlan szomszédok is felkerültek a listára |
| Szabályok és kulcsszavak | 1990-es évek | A szűrők gyanús szavakra és mintákra illesztettek | A elírások és a képekbe rejtett szöveg átjutott rajtuk |
| Statisztikai szűrés | Paul Graham 2002-es, „A Plan for Spam” című esszéje tette ismertté | Egy bayesi szűrő abból tanult, mit jelölt meg a felhasználó spamnek vagy nem spamnek | Nagyon hatékony, de csak azután lép működésbe, hogy a levelet már elküldték neked |
| Kihívás-válasz | Az ezredforduló körül | Az ismeretlen feladóknak a kézbesítés előtt bizonyítaniuk kellett, hogy emberek | Bosszantotta az igazi levelezőpartnereket, és kihívásokat küldhetett hamisított címekre |
Egy ötödik ötlet közvetlenül a gazdaságosságot támadta. 1992-ben Cynthia Dwork és Moni Naor azt javasolta, hogy a számítógépnek minden üzenethez meg kelljen oldania egy kis feladványt, ami egy e-mailnél jelentéktelen, tízmillió esetén viszont romboló ár. Adam Back 1997-es Hashcash-e ennek gyakorlati változatát kínálta. A levélküldés feltétele sosem lett, mert ahhoz szinte minden szervernek egyszerre kellett volna átvennie, és mert a bűnözők mások eltérített gépeivel oldathatták meg a feladványokat. Az ötlet azonban máshol túlélte. A Bitcoin később hivatkozott a Hashcash-re, és kis proof of work számításokat ma botellenőrzésként használnak weboldalakon. A VookMail is használ egyet a látogató böngészőjében, így az 1992-es ötlet csendben egy olyan szolgáltatás leszármazottjában kötött ki, amilyenekről ez a cikk szól.
A magabiztosság egy ideig nagy volt. A Világgazdasági Fórumon, 2004 januárjában Bill Gatesről széles körben azt jelentették, hogy két éven belül megoldódik a spam problémája. A szűrés valóban hatalmasat javult, és a legtöbb ember ma a nekik küldött levelek csak kis részét látja. A szűrésnek azonban van egy korlátja, amelyet semmilyen pontossági szám nem szüntet meg: akkor kezdődik, amikor a címed már ismert, és a listára került cím a listán marad. Ezt a rést célozták a felhasználói oldali eszközök. Ha a feladó sosem kapta meg az igazi címedet, nem volt mit szűrni.
Az első eldobható címek
Az eldobható e-mailt nem egyetlen ember találta fel. Néhány éven belül több szolgáltatás is megjelent, és mindegyik másképp oldotta meg a problémát. A különbségeket érdemes megnézni, mert azóta szinte minden termék ezek valamelyikének variációja.
Spamgourmet: a számláló cím
A Spamgourmet, amely 2000 körül vált elérhetővé, egy ötletes szabályra épült. Egyszer regisztráltál, aztán menet közben találtál ki címeket, valahányszor egy űrlap kért egyet, és minden cím meghatározott számú üzenetig továbbított az igazi postaládádba. Ha egy oldalnak háromszor használható címet adtál, ami egy megerősítéshez elég, utána elnémult. Semmit nem kellett kezelni, és külön postaládát sem kellett olvasnod. Az ára az volt, hogy még mindig volt fiókod, és mögötte ott volt az igazi postaládád.
Mailinator: a postaláda, amelynek nincs gazdája
Paul Tyma Mailinatora, amely 2003-ban mellékprojektként indult, mindent elhagyott, amit el lehetett. A domainjén bármilyen felhasználónév működött előzetes létrehozás nélkül. A levelek elolvasásához ugyanazt a nevet kellett beírnod a weboldalon. Nem volt fiók, jelszó és továbbítás, a régi üzeneteket pedig automatikusan eltakarították.
Ez a megoldás az MX-rekordokról fent mondottakat használja ki. Mivel a domain tulajdonosa dönti el, hogyan kezelik a levelezését, a szerver minden lehetséges névre fogadhatott levelet, és mindegyik nevet csak egy halom címkéjének tekintette. Tyma később úgy mesélt róla, hogy a leveleket nagyrészt a memóriában tartva olcsón működtette. Gyorsan felfigyeltek rá: Joel Spolsky már az indulás utáni hónapokban írt róla a blogján. A nyitottsága ugyanakkor olyan határt szabott, amely az ilyen szolgáltatásokra ma is érvényes. A jelszó nélküli postaládát bárki elolvashatja, aki beírja a nevét, ezért csak olyan levelekhez jó, amelyek nem számítanak, máshoz nem.
Időzített postaládák
A 2000-es évek közepére az olyan szolgáltatások, mint a Guerrilla Mail és a 10 Minute Mail, egy másik ötletet tettek ismertté: az oldal betöltődésekor véletlenszerű címet hoz létre neked, és a cím rövid idő alatt lejár. A véletlenszerű nevet nehéz kitalálni, ami enyhítette a közös nyilvános postaláda magánéleti gyengeségét, a látható időzítő pedig pontosan megmutatta a felhasználónak, mire való az egész.
E három megoldásból néhány alapelv rögzült. A fiók meghiúsítja a célt, ha adatot kell átadnod az adataid védelméhez, ezért a legismertebb szolgáltatások nem kértek ilyet. A címnek abban a pillanatban működnie kellett, ahogy megjelent. A levélnek magától el kellett tűnnie, hogy kevés maradjon tárolva. A legtöbb szolgáltatás pedig a fogadásra koncentrált, ami a felhasználóknak ténylegesen kellett, és ami keveset használt a spammereknek.
A weboldalak feketelistákkal válaszoltak
A webhely tulajdonosa másképp látja az eldobható címet. A marketingcsapat fizetett egy regisztrációért, amelynek a tulajdonosát soha többé nem tudja megszólítani. Egy platform nem tud szólni a felhasználónak biztonsági problémáról vagy számlázási gondról. Egy ingyenes csomagot kínáló vagy személyenként egy fiókot előíró közösségi szabályt alkalmazó szolgáltatás elvesztett egy a kevés jelzés közül arról, hogy a szabályt betartják.
A szokásos válasz a domain ellenőrzése volt: regisztrációkor összehasonlítják az @ utáni részt az ismert eldobható domainek listájával. Ezeknek a domaineknek közösségi listáit nyíltan közzéteszik, a kereskedelmi érvényesítő szolgáltatások pedig ugyanezt az ellenőrzést kínálják API-n keresztül. A listák az évek során a szolgáltatások és domainek számával együtt nőttek.
Könnyű lenne ezt győztesekkel és vesztesekkel teli küzdelemként elmesélni, de ez a megközelítés senkinek sem használ. Az az oldal, amely úgy dönt, nem fogad el eldobható címet, a saját szolgáltatásáról dönt, és a visszautasításra a helyes válasz az, hogy ott állandó címet vagy aliast használsz. Az eldobható címek helye azon oldalak igen nagy körében van, amelyeknek nincs szükségük tartós kapcsolatra veled, és ahol a használati feltételeik ezt megengedik.
2004: a plusz jel eljut a tömegekhez
A Gmail 2004. április 1-jén indult egy gigabájt tárhellyel, amikor a versenytársak ennek csak töredékét kínálták. A tárhely volt a főcím, de a szolgáltatás két címzési szokást is széles körben ismertté tett. A felhasználónévben a pontokat figyelmen kívül hagyja, a plusz jel utáni részt pedig a kézbesítésnél hagyja figyelmen kívül, így a name+shop@gmail.com a name@gmail.com címre érkezik.
Az ötlet régebbi volt a Gmailnél, a levelezőszerverek évek óta támogatták. Szabványos formája később jött, a 2008-as RFC 5233-ban, amely a Sieve levélszűrő nyelvhez határoz meg alcím-kiterjesztést. A legtöbb ember számára azonban a Gmail volt az első találkozás vele. Lehetővé tette, hogy minden oldalt megcímkézz, a címke alapján szűrj, és lásd, melyik cég példánya került fel egy spamlistára.
Elrejteni viszont semmit nem rejtett el. Ha törlöd a címkét, ott van az igazi cím, és néhány regisztrációs űrlap tévesen vissza is utasította a plusz jelet. Ezért szervezőeszköz maradt, vonzereje pedig megmutatta, mekkora az igény arra, hogy minden kapcsolathoz külön cím tartozzon. Ezt az igényt a továbbító aliasok egy évtizeddel később elégítették ki igazán.
A küldő oldal javítása: 2006-tól 2024-ig
Miközben a felhasználók a saját eszközeiket választották, az iparág elkezdte hozzáadni azokat az azonosítási ellenőrzéseket, amelyeket az SMTP kihagyott. Ez feltűnően sokáig tartott, mert minden rétegnek a meglévő rendszer mellett kellett működnie, anélkül hogy elrontaná.
| Szabvány | Mire felel | Specifikáció |
|---|---|---|
| SPF | Küldhet-e ez a szerver ennek a domainnek a nevében? | RFC 4408 (2006), amelyet az RFC 7208 (2014) váltott fel |
| DKIM | Aláírta-e ez a domain az üzenetet, és megváltozott-e azóta? | RFC 4871 (2007), amelyet az RFC 6376 (2011) váltott fel. A Yahoo DomainKeys és a Cisco Identified Internet Mail rendszerét egyesítette |
| DMARC | Egyezik-e a látható From domain egy sikeres ellenőrzéssel, és mi történjen, ha nem? | Egy iparági csoport tette közzé 2012-ben, RFC 7489 (2015) |
| Egykattintásos leiratkozás | El tudja-e távolítani a postafiók-szolgáltató az olvasót egyetlen művelettel? | RFC 8058 (2017), az RFC 2369 (1998) List-Unsubscribe fejlécére építve |
| BIMI | Megjeleníthet-e hitelesített logót az a domain, amely szigorú DMARC-ot használ? | Egy iparági munkacsoport fejlesztette, a 2020-as években több nagy szolgáltató átvette |
Ezek évekig gyakorlatilag nem voltak kötelezők. Ez 2024 februárjában változott meg, amikor a Google és a Yahoo elkezdte érvényesíteni a tömeges küldőkre vonatkozó szabályait, a Google-é azokra vonatkozik, akik naponta több mint 5000 üzenetet küldenek Gmail-címekre. Ezeknek a küldőknek ma már SPF, DKIM és DMARC kell, marketinglevelekben egykattintásos leiratkozás, és alacsony spamarány a panaszok között. Negyvenkét évvel az RFC 821 után a legnagyobb postafiók-üzemeltetők gyakorlatilag a feladó azonosságát tették feltételévé annak, hogy nagy léptékben elérjék a felhasználóikat.
A hitelesítés növeli a bizalmat abban, honnan jött egy üzenet. Semmit nem mond arról, mennyire terjedt el a címed. Egy kéretlen marketinglevél hibátlanul átmehet minden ellenőrzésen, egy bűnöző pedig regisztrálhat egy domaint, és azt is hitelesítheti. Ez a munka és az eldobható címek tehát ugyanannak a problémának különböző részeit oldják meg, és egyik sem tette feleslegessé a másikat.
Mit tettek a törvényhozók
A törvények hullámokban jöttek, és megközelítésükben eltérnek. Az itteni összefoglaló általános tájékoztatás, a szabályok országonként különböznek és idővel változnak.
- Az EU 2002-es ePrivacy irányelve szabályokat állított fel az elektronikus kommunikációra, köztük a marketing e-mailekhez szükséges hozzájárulásra, amelyet minden tagállam külön ültetett át.
- Az amerikai CAN-SPAM törvény 2004 januárjában lépett hatályba. Pontos fejléceket, érvényes postai címet és működő leiratkozást ír elő, az első üzenet előtt viszont nem követel hozzájárulást.
- Kanada spamellenes jogszabálya, a CASL, 2014-ben lépett hatályba, szigorúbb, hozzájáruláson alapuló modellel.
- Az EU általános adatvédelmi rendelete 2018 májusától alkalmazandó, és olyan elveket hozott, mint az adattakarékosság és a célhoz kötöttség, valamint a személyes adatokkal, köztük az e-mail-címekkel kapcsolatos jogokat.
Ezek a törvények emelték a színvonalat azoknál a vállalkozásoknál, amelyek törvényesek akarnak maradni. A határokon átnyúlóan dolgozó bűnözőkre sokkal kisebb hatással voltak, és egyik sem tudta megakadályozni egy cég adatbázisának ellopását, ami a következő ok lett arra, hogy az emberek törődjenek a postaládájukkal.
Az adatszivárgások megváltoztatták a vitát
A 2010-es évekig az eldobható cím melletti érv főleg a bosszúságról szólt. Aztán nyilvánosságra került az adatlopások mérete. Az Adobe szivárgása 2013-ban derült ki, és ugyanabban az évben, decemberben Troy Hunt biztonsági kutató elindította a Have I Been Pwned oldalt, amelyen bárki ellenőrizheti a címét az ismert szivárgások ellen. Sokan, akik kipróbálták, a fő címüket többször is szerepelve találták. A Yahoo később közölte, hogy egy 2013-as szivárgás az összes, nagyjából hárommilliárd fiókját érintette.
Ettől a fenyegetés megváltozott. A címed addig a reklám célpontja volt. Mostantól kontextus is járt vele: az adathalászat hivatkozhatott egy szolgáltatásra, amelyet tényleg használtál, a hitelesítőadat-kitöltéses támadás pedig egy kiszivárgott jelszópárt automatikusan kipróbálhatott más oldalakon. Minden szolgáltatás, amely a fő címedet tárolta, egy jövőbeli támadás lehetséges forrásává vált, akármilyen jelentéktelennek látszott a regisztrációkor.
A második fiók régi logikája egyszerre kockázatkezelésnek tűnt. Ha egy egyszeri letöltőoldalt feltörnek, és ideiglenes címet adtál neki, a fő postaládád nincs a szivárgásban. Ha aliast adtál, azt kikapcsolhatod. Minél kevesebb helyre jut el az elsődleges címed, annál kevesebb van belőle ellopható.
A kép, amely jelent
A marketingesek régóta használtak apró, távoli képeket és személyre szabott linkeket, hogy megtudják, ki mit nyitott meg és mikor, néha durva helyadatokkal és eszköztípussal együtt. A válasz lassan és a postaláda oldaláról érkezett. Sok levelezőprogram beállítást kapott a távoli képek blokkolására. A Gmail 2013 végén kezdte a képeket a saját proxyján át letölteni, ami elrejtette az olvasók IP-címét a feladók elől, de azt még mindig lehetővé tette, hogy megtudják, az üzenetet betöltötték. 2021-ben az Apple bevezette a Mail Privacy Protectiont, amely a távoli tartalmat a háttérben, privátan tölti be, és megbízhatatlanná teszi a megnyitási adatokat mint jelzést.
Ezek kis védelmek ahhoz képest, mintha korlátoznád, kinél van a címed, de ugyanabba az irányba mutatnak: a levelet olvasó személy döntsön arról, mit tudhat meg a feladó. Az eldobható postaládák ugyanezt az eredményt más úton érik el. Az a levél, amely egy olyan címre megy, amelyet soha többé nem nézel meg, nem sokat tud jelenteni, és egyes szolgáltatások még tovább mennek, és kiszedik a követőképeket.
Az aliasok beköltöznek az operációs rendszerbe
A továbbító alias szolgáltatások évekig niche termékek voltak. A felhasználó állandó, véletlenszerűnek látszó címeket kapott, amelyek egy valódi postaládába kézbesítettek, és mindegyiket külön ki lehetett kapcsolni. A 2010-es évek vége gyors egymásutánban tette ezt általánossá:
- Az Apple 2019-ben a Sign in with Apple részeként bemutatta a továbbító címeket.
- A Mozilla 2020-ban kezdte tesztelni a Firefox Relayt, amelyet eleinte Firefox Private Relay néven hívtak.
- Az Apple 2021-ben Hide My Email néven kiterjesztette az ötletet az iCloud+ szolgáltatásban.
- A DuckDuckGo 2021-ben megnyitotta az e-mail-védelem béta változatát privát továbbító címekkel.
- A Proton 2022-ben megvásárolta a SimpleLogin alias szolgáltatást, és az adatvédelemre fókuszáló levelezőszolgáltatók általánosabban is beépítették termékeikbe az aliasolást.
Ezt a változást könnyű alábecsülni. Húsz évig a külön cím minden oldalhoz az adatvédelem iránt elkötelezettek szokása volt. Amióta egy telefon vagy böngésző maga a regisztrációs űrlapban felkínálja, kevesebb fáradság, mint a saját címedet begépelni. Az aliasok nem teszik feleslegessé az ideiglenes postaládákat, mert még mindig egy valahol létező fiókra támaszkodnak, és az a fiók tudja, ki vagy. A kettő viszonyát úgy érted meg a legjobban, ha mindent egymás mellé teszel, ami korábban volt.
| Nemzedék | Mit kínált | Mit adott fel |
|---|---|---|
| Második ingyenes fiók (az 1990-es évek vége) | Állandó, visszaállítható hely a regisztrációknak | Regisztráció, fenntartás, a saját, egyre növekvő spamproblémája |
| Elváltoztatott alakban írt címek | Védelem a gyűjtőprogramok ellen, eszközök nélkül | Csak nyilvános bejegyzéseknél segített, regisztrációknál soha |
| Számláló továbbítók (2000 körül) | Automatikus leállás néhány üzenet után | Fiók kellett hozzá, és valódi postaládához kapcsolódott |
| Nyilvános ideiglenes postaládák (2003-tól) | Nem adsz át adatot, nincs mit kezelni | Rövid élettartam, a címet ismerő bárki elolvashatja, fontos fiókokhoz alkalmatlan |
| Plusz címzés (2004-től népszerű) | Egyszerű szűrés és a szivárgás nyomon követése | Az igazi cím látható marad, és egyes űrlapok visszautasítják |
| Továbbító alias szolgáltatások (2010-es évek) | Tartós kapcsolatok kikapcsolóval | Bizalom az alias szolgáltatóban, amely a fiókmentési láncod részévé válik |
| Beépített aliasok (2019-től) | Szinte semmi fáradság, a regisztrációs űrlapon belül kínálják | Egyetlen platform ökoszisztémájához köt |
Egyik sem váltotta le a többit. Mindegyik más bizalmi szintre és más élettartamra való, ezért van még mindig értelme a több szintre épülő személyes e-mail-stratégiának.
Milyen ma egy ideiglenes postaláda
Az alapígéret 2003 óta változatlan, a háttérmunka viszont sokat változott. A korai szolgáltatások gyakran egyetlen SMTP-szervert futtattak, amely mindent fogadott, és egy egyszerű oldal mögött tárolta. Ma a munka gyakran megoszlik, és a VookMail egy példa erre az elrendezésre. A domainjei, például a privoxmail.com, a veylax.com és a mailnexio.com, olyan MX-rekordokat tesznek közzé, amelyek egy levélkézbesítő szolgáltatóra mutatnak. A küldő szerver megkeresi ezt a rekordot, és SMTP-n kézbesít, ahogy a nyolcvanas évek óta. A szolgáltató ezután HTTPS-en továbbítja az egyes üzeneteket a VookMailnek, így a VookMail nem teszi láthatóvá a saját levelezőszerverét. A böngésző néhány másodpercenként ellenőrzi az új leveleket, az üzeneteket, mellékleteket és címeket pedig körülbelül egy nap után törli a rendszer. A módszertan oldal részletesebben leírja.
A felület is továbblépett, és tükrözi a korábbi nemzedékek tanulságait. A cím az oldal betöltésekor kész van, regisztráció és jelszó nélkül, ahogy a Mailinator megmutatta, hogy lehetséges. A véletlenszerű cím, a sárga Véletlen gombról, választ ad a nyitott postaládák kitalálhatóságának gyengeségére; a másik lehetőség, hogy megnyomod az Új gombot, beírsz egy felhasználónevet, és több mint 30 domain közül választasz. Aki ismer vagy kitalál egy címet, az továbbra is megnyithatja a postaládáját, ami az ilyen szolgáltatások egész családjára igaz, és ezért a véletlenszerű cím a biztonságosabb választás. A VookMail használati útmutatója végigvezet a gombokon, és vannak alkalmazások a Google Playen és a Huawei AppGalleryn is.
A lépések, amelyeket egy mai felhasználó lát, kevésbé lepnének meg valakit 2003-ból, mint gondolnád. A kiemelt, az üzenet fölött megjelenített ellenőrző kódok, a QR-kód, amellyel a címet átviheted egy második eszközre, az eltávolított követőképek: ezek mind ugyanannak az ötletnek a finomításai, hogy megkapd, amire most szükséged van, aztán elengedd. A szoftvertesztelés is jelentős felhasználási móddá vált, mert egy tiszta postaláda tesztfuttatásonként pontosan az, amit egy regisztrációs folyamatot ellenőrző fejlesztő szeretne.
Fontos dátumok egy helyen
| Év | Esemény |
|---|---|
| 1971 | Ray Tomlinson üzenetet küld gépek között, és bevezeti a @ jelet |
| 1978 | Gary Thuerk tömeges üzenete az ARPANET-en, amelyet általában az első spamként idéznek |
| 1982 | Megjelenik az SMTP (RFC 821) és az üzenetformátum (RFC 822) |
| 1986 | Az RFC 974 leírja a levelek DNS-sel történő irányítását |
| 1992 | Dwork és Naor számítási feladványokat javasol a kéretlen levelek ellen |
| 1994 | A Green Card-bejegyzések elárasztják a Usenetet |
| 1996 és 1997 | A Hotmail és a Yahoo Mail mindenki számára megnyitja az ingyenes webmailt; elindul az első széles körben használt DNS-feketelista |
| 2000 körül | A Spamgourmet lejáró címeket kínál |
| 2002 | Az „A Plan for Spam” népszerűsíti a statisztikai szűrést; az EU ePrivacy irányelve |
| 2003 | Elindul a Mailinator; az Egyesült Államokban aláírják a CAN-SPAM törvényt |
| 2004 | Elindul a Gmail, és ismertté teszi a plusz címzést |
| 2013 | Elindul a Have I Been Pwned; a Gmail proxyn át tölti a képeket |
| 2015 | A DMARC megjelenik RFC 7489 néven |
| 2018 | Az EU-ban alkalmazandóvá válik a GDPR |
| 2019 és 2021 között | Megjelenik a Sign in with Apple, a Firefox Relay, a Hide My Email és a DuckDuckGo továbbító szolgáltatása |
| 2022 | Az Apple, a Google és a Microsoft elkötelezi magát a passkey mellett |
| 2024 | A Google és a Yahoo elkezdi érvényesíteni a tömeges küldők szabályait |
Ami ötven évig változatlan maradt
Az elejétől a végéig elolvasva ebben a történetben kevesebb a változatosság, mint azt a technológiák hosszú listája sugallja. A küldés olcsó maradt, és amíg az, addig lesz kéretlen levél, mert a feladó gazdaságossága nem igényli, hogy sok olvasó mondjon igent. Thuerk bemutatómeghívója és egy mai adathalászkampány ebben hasonlít, az 1992-es javaslat pedig, hogy a küldők számítási teljesítménnyel fizessenek, éppen azért bukott el, mert ezt az árat nem lehetett mindenkire rákényszeríteni.
A cím a webmail kora óta azonosság maradt, és szokatlanul erős: aki olvassa a postaládádat, az általában vissza tudja állítani a jelszavaidat. A kitettség kumulatív maradt, mert egy lista, amelyre 2009-ben felkerült a címed, nem felejti el, és a másolatok többségét soha nem törlik. A védekezés minden nemzedékével pedig járt egy kompromisszum, amelyet nem lehetett kitervelni. Minél könnyebb eldobni egy címet, annál rosszabb mindenre, amire később szükséged lesz. Senkinek nem sikerült olyan postaládát építeni, amely egyszerre könnyen eldobható és biztonságosan rábízhatod a bankodat.
Merre tarthat a postaláda védelme
A történelem jobban magyaráz, mint jósol, ahogy Gates kétéves előrejelzése mutatja, ezért az alábbiakat a mai trendek olvasatának tekintsd, garancia nélkül.
Oldalanként egy cím mint alapértelmezés
Aliasokat ma a nagy platformok és a jelszókezelők is kínálnak a regisztráció során. Ha ez tovább terjed, minden oldalnak ugyanazt a címet adni úgy fog kinézni, ahogy ma egyetlen jelszó újrahasználata. A valószínű korlát a hordozhatóság: az egy cég ökoszisztémájához kötött alias csak addig tart, amíg a kapcsolatod azzal a céggel, így a platformot váltóknak lesz mit kibogozniuk.
Passkey és az e-mail szerepe
A passkey, amely FIDO-szabványokra épül, és amelyet 2022 óta közösen népszerűsít az Apple, a Google és a Microsoft, a jelszót a készülékeiden tárolt kriptográfiai hitelesítő adattal váltja fel. Kevesebb jelszó kevesebb visszaállító levelet jelent. A legtöbb szolgáltatás azonban még mindig az e-mail-címet használja a fiók azonosítójaként, valamint értesítésekhez és helyreállításhoz készülék elvesztése esetén. Az e-mail biztonsági csatornaként betöltött szerepe tehát várhatóan csak fokozatosan szűkül, és az elsődleges postaláda még jó ideig védelemre érdemes marad.
Jobb szűrők, hihetőbb csalások
A gépi tanulás folyamatosan javítja a felismerést, a generált szöveg pedig folyamatosan megkönnyíti a gördülékeny, személyre szabott csalások megírását bármilyen nyelven. A helyesírási hibákról szóló régi tipp ennek következtében veszít az értékéből. A szövegkörnyezeti kérdések jobban állják a sarat: egyáltalán ide a címre való ez az üzenet? Akinek külön címei vannak, annak itt előnye van, hiszen egy „banki” értesítés, amely egy vásárlási aliasra érkezik, magától megválaszolja a kérdést.
Szigorúbb küldői szabályok
A 2024-es követelmények tovább szigorodhatnak, és más nagy szolgáltatók is ebbe az irányba mozdultak. Ez a törvényes marketinglevelekről könnyebbé tenné a leiratkozást, a törvénytelen tömeges levelezést pedig könnyebben szűrhetővé. A bűnözők gazdaságosságán nem változtatna, ha eltérített fiókokat vagy feltört szolgáltatásokat hajlandók kihasználni, és ezek vonzóbbá váltak, ahogy a közvetlen küldés nehezebb lett.
Kevesebb űrlap, amely egyáltalán kérdez
Az adatvédelmi jog adattakarékossági elvei afelé tolnak, hogy csak azt gyűjtsék, amire egy célhoz szükség van. Idővel több letöltés, előnézet és Wi-Fi-portál hagyhatja abba a cím kérését, vagy egyértelműbben megmondhatja, mire fogják használni. A változás itt lassú volt, mert egy levelezési listának kereskedelmi értéke van. Amíg ez így van, az ideiglenes postaládáknak lesz feladatuk: egyszeri zárt tartalom, egy helyszín belépőoldala, annak megnézése, mit küld egy ismeretlen oldal, mielőtt megbíznál benne, mindig ott, ahol az oldal feltételei ezt megengedik.
A határok sem fognak valószínűleg elmozdulni. Egyes platformok továbbra is visszautasítják az eldobható domaineket, és az ideiglenes postaládának semmi keresnivalója a csalás, a visszaélés, a kitiltás megkerülése vagy bármi fontos, például banki ügyek, kormányzati szolgáltatások vagy egy fő közösségi fiók közelében. A felhasználási feltételeink ezeket a határokat világosan kimondják.
Mit sugall a múlt a saját címedre
A történelem kevés utasítást ad, de néhány az egész időszakban megállja a helyét. A cím nem jön vissza, ha egyszer elterjedt, ezért az elsődleges cím védelmének ideje azelőtt van, hogy kiadod, és ez az egyetlen védekezés a listán, amely az üzenet elküldése előtt hat. A szűrők, a hitelesítés és a jog egyaránt segítettek, és mindegyik elérte a határát, ezért bármelyikre támaszkodni többször is csalódást okozott. Az eldobható eszközök mindig egy dologban voltak jók, és a ellenkezőjében rosszak: a levélben, amelyre egyszer van szükséged, szemben a fiókokkal, amelyekre évekig. Ami fontos, azt mentsd máshová, mert az automatikus törlés egyszerre ezeknek a szolgáltatásoknak a lényege és a legélesebb éle.
Kérdések, amelyeket ez a történet felvet
Tényleg Thuerk üzenete volt az első spam?
Ez a szokásos válasz, és ezt rögzíti a Guinness is, főleg azért, mert kereskedelmi volt, és a reakció dokumentált. Korábban is voltak tömeges üzenetek közös rendszereken. Tom Van Vleck, aki az MIT CTSS rendszerén dolgozott, leírt egy háborúellenes üzenetet, amelyet 1971-ben küldtek el a rendszer összes felhasználójának. Az „első” azon múlik, hogy beleszámítod-e a nem kereskedelmi üzeneteket és az egyetlen számítógépen belüli üzeneteket.
Ki találta fel az eldobható e-mailt?
Senki különösebben. A második webmail-fiók informálisan már betöltötte ezt a szerepet, mielőtt bármilyen szolgáltatás létezett volna, a Spamgourmet és a Mailinator pedig az ötlet különböző felét automatizálta. A Mailinatort gyakran azzal jellemzik, hogy ő határozta meg a kategóriát, mert teljesen elhagyta a regisztrációt, de ezt hatásként kell érteni, nem az ötlet szabadalmaként.
Miért tartott 2000 tájáig?
Az ingyenes webmailig kevés embernek volt olyan címe, amely számított neki a munkán vagy tanuláson kívül, és a weboldalak még nem követeltek ilyet minden lépésnél. Az igény a webes regisztrációkkal jött meg a kilencvenes évek végén. A módszer már rendelkezésre állt, hiszen a domainek mindig fogadhattak levelet bármilyen névre.
Miért bukott el a proof of work az e-mailnél, és miért maradt életben máshol?
Az e-mailhez szinte minden szervernek egyet kellett értenie, mielőtt bélyeget lehetett volna megkövetelni, és ez az összehangolás sosem történt meg. Egy weboldal egyedül is átveheti ugyanezt a technikát a saját látogatóira, ezért működik ma botellenőrzésként.
Feleslegessé tette-e a hitelesítés az eldobható címeket?
Nem, mert a kettő külön kérdésre felel. Az SPF, a DKIM és a DMARC azt kezeli, hogy egy üzenet tényleg egy domainről jön-e. Az eldobható cím azt kezeli, kinél van egyáltalán a címed. Egy levél átmehet minden ellenőrzésen, és mégis lehet olyan levél, amelyet sosem akartál.
Lecserélhető-e valaha az e-mail?
Az üzenetküldő alkalmazások régen átvették a személyes beszélgetések nagy részét, és mégis szinte minden online fiók e-mail-címet kér. Senkinek nem a tulajdona, bárki futtathat szervert, és bármely két fél válthat levelet anélkül, hogy közös platformon lenne. Ugyanezek a tulajdonságok magyarázzák azt is, miért olyan nehéz véget vetni a spamnek. A kapcsolódó háttérért a VookMail blogon találsz többet arról, hogyan működnek ma ezek az eszközök.