Questa pagina documenta in che modo Gmail protegge la consegna e l'esecuzione delle azioni.
Misure di sicurezza applicate da Google
Per gli schemi incorporati nell'email devono essere soddisfatte le seguenti condizioni:
- Registrazione: il mittente deve registrarsi con Google.
- SPF o DKIM: le email con markup schema devono arrivare da domini autenticati SPF o DKIM.
Misure aggiuntive necessarie per le Azioni in linea
Sono necessarie o incoraggiate misure di sicurezza aggiuntive per garantire azioni in linea:
- HTTPS: tutte le azioni devono essere gestite tramite URL HTTPS. Negli host devono essere installati certificati server SSL validi.
- Token di accesso: è incoraggiato che i mittenti che utilizzano le azioni incorporano token di accesso limitato negli URL delle azioni per proteggersi dagli attacchi di ripetizione. Questa è generalmente una buona prassi per qualsiasi URL incorporato in pagine web o email che potrebbe avere effetti collaterali se richiamato.
- Autorizzazione di connessione: è consigliato che i servizi che gestiscono le richieste di azione verifichino l'"Autorizzazione" HTTP. nella richiesta HTTPS. L'intestazione conterrà un "token di connessione" stringa, dimostrando che l'origine della richiesta è google.com e che la richiesta è destinata al servizio specificato. I servizi dovrebbero utilizzare la libreria open source fornita da Google per verificare il token di connessione.
Protezione dei pattern di accesso alle email a livello perimetrale
Esistono varie varianti di pattern di inoltro e accesso alle email che Gmail gestisce per proteggere le azioni nelle email. Le seguenti misurazioni vengono eseguite IN AGGIUNTA alle misure sopra riportate:
Sequenza di accesso | Misure di sicurezza aggiuntive |
---|---|
Inoltro manuale: l'utente apre un'email e la inoltra ad altri destinatari. | Questo inoltro viola sempre le firme DKIM e il mittente non è più registrato nel servizio. Le azioni nell'email vengono rifiutate. |
Inoltro automatico a Gmail: l'utente crea una regola di inoltro per la casella di posta utente@acme.com alla propria casella di posta Gmail. | Gmail verifica che l'utente possa inviare messaggi come utente@acme.com (l'utente configura questa funzionalità manualmente). Le azioni nell'email sono accettate. |
Recupero POP di Gmail: l'utente fornisce a Gmail la password per utente@acme.com e recupera tutte le email lì tramite POP nella Posta in arrivo di Gmail. | Le firme DKIM e l'integrità dei contenuti vengono mantenute. L'utente ha dimostrato di avere accesso a utente@acme.com. Le azioni nell'email sono accettate. |
Accesso alle email di Gmail con applicazioni di terze parti: l'utente Gmail utilizza un'applicazione di terze parti (ad es. Outlook o Thunderbird) per accedere alle email di Gmail o inoltra le proprie email di Gmail a un altro provider email. | L'applicazione o il servizio di terze parti potrebbe utilizzare informazioni incorporate. Tuttavia, non sarà in grado di produrre token di autenticazione di connessione corrispondenti a quelli di Google, dando ai mittenti l'opportunità di rifiutare queste richieste di azione. I mittenti possono scegliere se rifiutare o accettare le azioni senza token di connessione, a seconda della sensibilità dell'azione. Tieni presente che il token di autorizzazione di connessione viene creato utilizzando tecnologie open source standard, consentendo a tutti i provider di posta e le app di produrli utilizzando le proprie chiavi. |