Sichere Analyse von E-Mail-Dateien im Browser

Eine E-Mail-Datei ist nicht nur Text plus ein paar Anhänge. Es kann HTML, verschachtelte MIME-Teile, irreführende Dateinamen, Inline-Ressourcen, Remote-Tracking-Pixel, fehlerhafte Codierungen und genügend Daten enthalten, um einen Browser-Tab zu erschöpfen. Durch das Verschieben des Parsens in den Browser wird ein Upload aus der Architektur entfernt, der Betrachter wird jedoch nicht automatisch sicher. Es ändert den Sicherheitsauftrag: Unvertrauenswürdige Inhalte werden jetzt neben der aktiven Websitzung des Benutzers interpretiert. Dies ist die Checkliste, die ich für einen lokalen EML- und winmail.dat/TNEF-Reader verwende. Behandeln Sie jedes analysierte Feld als nicht vertrauenswürdig Absender, Betreff, Empfänger, Dateiname, MIME-Typ und Nachrichtenkörper stammen alle aus einer Datei. Rendern Sie Header und Dateinamen als Text, niemals durch Verketten von HTML. Dasselbe gilt für Fehler. Eine Parser-Ausnahme kann einen Dateinamen oder ein Fragment fehlerhafter Eingaben enthalten. Zeigen, dass die Nachricht verbatim Daten in Protokolle sickern oder in Markup verwandeln kann. Karte Parserfehler zu stabilen Fehlerkategorien, dann eine kontrollierte Erklärung anzeigen. Normalisieren Sie sich in ein internes Modell EML und TNEF haben unterschiedliche Containerstrukturen, aber die Benutzeroberfläche sollte nicht zwei unabhängige Sicherheitsimplementierungen enthalten. Beide Parser können ein gemeinsames Nachrichtenmodell erstellen: Die Normalisierungsschicht ist der richtige Ort, um Grenzen pro Quelle durchzusetzen und nicht unterstützte Strukturen abzulehnen. Der Viewer und der Download-Code arbeiten dann unabhängig vom Eingabeformat gegen die gleichen eingeschränkten Daten. Sanitize HTML als feindliche Eingabe E-Mail HTML wurde für E-Mail-Clients entwickelt, nicht für das direkte Einfügen in eine Anwendung DOM. Eine konservative Richtlinie entfernt: Skripte und Ereignishandler; Formulare und interaktive Steuerelemente; , , und Elemente; Stile und CSS-URLs; unsichere Protokolle; ausführbare oder unerwartete eingebettete Inhalte. Verwenden Sie ein gepflegtes Desinfektionsmittel mit einer angehefteten Version, aber hören Sie nicht bei der Standardkonfiguration auf. E-Mails haben ein Ressourcenladeverhalten, das ein generisches "sicheres HTML" -Preset möglicherweise noch erlaubt. Klartext sollte der Fallback bleiben. Wenn HTML nicht in die erlaubte Teilmenge desinfiziert werden kann, ist das Anzeigen von Text besser als der Versuch, jedes visuelle Detail zu bewahren. Lokale inline-bilder umschreiben legitime nachrichten verweisen oft auf einen anhang mit oder. Diese Bilder können ohne Netzwerkanforderung angezeigt werden: passen Sie den Verweis auf eine analysierte Anlage an; erstellen Sie einen Blob aus den Anhangbytes; erstellen Sie eine Objekt-URL; ersetzen Sie die Ressourcenreferenz durch diese lokale URL; widerrufen Sie die URL, wenn die Nachricht geschaltet, entfernt, gelöscht wird oder die Seite verlässt. Matching benötigt normalisierte Identifikatoren und explizite MIME-Checks. Lassen Sie nicht zu, dass der deklarierte Dateiname oder Inhaltsspeicherort eines Anhangs zu einer willkürlichen URL wird. Fernbilder standardmäßig aus dem DOM heraushalten Entfernen eines sichtbaren Fernbildes nach dem Rendern ist zu spät. Die Anfrage hat möglicherweise bereits die IP-Adresse, die Uhrzeit, den Benutzeragenten und ein eindeutiges Tracking-Token des Benutzers aufgedeckt. Die sicherere Sequenz ist: den Körper analysieren und desinfizieren; entfernte Bildquellen vor dem Einfügen durch inerte Platzhalter ersetzen; dem Benutzer mitteilen, dass externe Bilder blockiert sind; erst nach einer expliziten Aktion für die aktuelle Nachricht die zulässigen HTTPS-Quellen wiederherstellen; eine Richtlinie ohne Verweis verwenden. "Für die aktuelle Botschaft" ist wichtig. Die Erlaubnis sollte nicht stillschweigend zu einer anderen E-Mail im Batch übertragen werden und gehört nicht in den lokalen Speicher. Ein Browser-Test sollte das Netzwerk beobachten und null Fernbildanforderungen vor dem Klick geltend machen. Nach dem Klick sollte es nur die erwartete Bildanforderung und keine Navigation oder Skriptausführung zulassen. Machen Sie Downloads pfadsicher Anhangnamen können Pfadtrennzeichen, Steuerzeichen, reservierte Gerätenamen oder wiederholte Werte enthalten. Normalisieren Sie jeden Namen, bevor Sie ihn in einem Download- oder ZIP-Archiv verwenden: Strip-Verzeichniskomponenten; Entfernen von Steuerelementen und unsicheren Zeichen; Geben Sie ein Fallback, wenn das Ergebnis leer ist; Cap-Länge; Deduplizieren Sie Namen deterministisch. Die ZIP-Erstellung kann vollständig im Gedächtnis erfolgen. Objekt-URLs, die für einzelne Dateien, PDF-Vorschauen und Archive verwendet werden, sollten einen klaren Eigentümer und Lebenszyklus haben. Zu früh widerrufen und Downloads fehlschlagen