Biztonságosan használhatok ideiglenes e-mailt OTP-ellenőrző kódokhoz? Mi működik és mi nem

Főbb tanulságok

Igen. Egy ideiglenes postaláda fogadhat OTP-t vagy ellenőrző kódot, ha a szolgáltatás e-mailben küldi el, elfogadja az eldobható címeket, és kézbesíti, mielőtt az üzenet vagy a postaláda elérhetetlenné válna. Az ideiglenes levél nem fogadhat SMS-kódokat vagy hitelesítő alkalmazásban generált kódokat. Ha egy oldal elutasítja az eldobható e-maileket, használj inkább egy általad kezelt, hosszú távú címet, ahelyett hogy megpróbálnád megkerülni a korlátozást.

• Csak e-mailben. Az ideiglenes levél az e-mailben küldött kódokat fogadja. Nincs telefonszáma, így nem fogadhat szöveges üzeneteket, hanghívásokat vagy hitelesítő alkalmazásban generált kódokat.
• Három feltétel. A szolgáltatásnak e-mailben kell elküldenie a kódot, el kell fogadnia a címet, és kézbesítenie kell, amíg még meg tudod nyitni a postaládát.
• Az elutasítás végleges. Ha egy oldal elutasítja az eldobható e-mailt, vagy egy fiókot később vissza kell állítani, regisztrálj inkább egy általad kezelt, hosszú távú e-mail címmel.
• Erősebb bejelentkezés a fontos fiókokhoz. Az e-mailben és SMS-ben küldött kódok gyenge bejelentkezési védelmet nyújtanak; egy hitelesítő alkalmazás erősebb, a passkey pedig ellenáll az adathalászatnak.

Fogadhat-e az ideiglenes levelező OTP-kódokat?

Igen. Egy ideiglenes e-mail fogadhat ellenőrző kódokat, ha a szolgáltatás e-mailben küldi el a kódot. Az eldobható postaláda ugyanazon a szabványos SMTP-útvonalon fogadja a leveleket, mint egy állandó postafiók: a szolgáltatás megírja az üzenetet, a levelezőszervere átadja, az ideiglenes levelező szerver pedig elfogadja. Ha új vagy az eldobható postaládák világában, útmutatónk az ideiglenes levelezés az alapokat ismerteti.

Az, hogy a kód eljut-e hozzád, kevésbé magától az ideiglenes levéltől függ, inkább a feladótól. A szolgáltatás dönti el, hogy elfogadja-e az eldobható címet, milyen gyorsan küldi el, és meddig marad érvényes a kód. Az oldal további része bemutatja, mikor működik a kézbesítés, miért hibásodnak meg a kódok, hogyan viszonyulnak az e-mailes kódok más ellenőrzési módszerekhez, és mit tegyél, ha nem érkezik meg.

E-mail OTP és SMS OTP, hitelesítő alkalmazások és passkey-k

Az e-mail OTP egy egyszeri kód, amelyet egy postaládába küldenek. Az SMS OTP egy telefonszámra érkezik. A hitelesítő alkalmazás (TOTP) a saját eszközödön generálja a kódot, a passkey pedig a begépelt kódot kriptográfiai bejelentkezéssel helyettesíti. Az ideiglenes levél csak az elsőnél segíthet. A fontos fiókoknál a passkey vagy a hitelesítő alkalmazás jobban véd, mint bármely kézbesítendő kód.

Két különböző feladat osztozik a „kód” szón. Az e-mailben küldött kód gyakran csak azt igazolja a regisztráció során, hogy te irányítod az e-mail címet. A bejelentkezési kód ezzel szemben a bejelentkezés része. A NIST digitális identitásra vonatkozó irányelvei (SP 800-63B-4) kimondják, hogy az e-mailt nem szabad sávon kívüli hitelesítésre használni, míg azok a kódok, amelyek csak egy e-mail címet igazolnak, vagy a helyreállítási kódok, kívül esnek ezen a szabályon. Sok szolgáltatás hasonló megosztást követ: e-mailben küldenek egy kódot az új cím megerősítésére, majd telefont, alkalmazást vagy passkey-t kínálnak a bejelentkezéshez.

Az e-mailes, SMS-es és TOTP-kódok mind adathalászhatók, de a kockázataik nem azonosak. Az SMS-hez hozzáadódik a SIM-csere, az SS7 és az újrahasznosított számok kockázata; az e-mailes kód csak annyira biztonságos, mint a postaláda; a TOTP pedig a közös titok védelmétől függ. A nyilvános iránymutatások alátámasztják ezeket a különbségeket. A CISA „Az adathalászatnak ellenálló MFA megvalósítása” című tájékoztatója az alkalmazásalapú kódokat az SMS- vagy hangkódok fölé helyezi, amelyeket végső megoldásnak nevez, miközben megjegyzi, hogy mindkettő nyitott az adathalászatra. A CISA szerint az alkalmazásalapú kódok nincsenek kitéve SIM-cserének vagy SS7-támadásoknak, és a FIDO/WebAuthn-t a PKI-alapú MFA mellett az egyetlen széles körben elérhető, adathalászatnak ellenálló hitelesítésként írja le. Az MDN egyszeri jelszavakról szóló útmutatója hasonló következtetésre jut: az OTP minden formája sebezhető az adathalászattal szemben, az SMS sokkal gyengébb a lehallgatással szemben, mint az e-mail, és a jelszókulcsok a jobb választás az általános bejelentkezéshez.

A jelszókulcs FIDO-szabványokon alapuló bejelentkezési hitelesítő adat, és a FIDO Szövetség a jelszókulcsokat adathalászatnak ellenállónak írja le. A védelem magára a jelszókulcsos bejelentkezésre vonatkozik. Ha egy fiók továbbra is engedélyez egy gyengébb tartalékot, például SMS-visszaállítást, az a tartalék továbbra is gyenge pont maradhat.

Miért kérnek az oldalak telefonszámot e-mail helyett?

Egyes oldalak a telefonos hitelesítést extra visszaélés-ellenes jelként vagy helyreállítási csatornaként használják. Ez nem szünteti meg a csalást, és a telefonalapú helyreállítás saját kockázatokkal jár: SIM-csere, számátvitel és újrahasznosított számok. A NIST a telefonhálózaton keresztül küldött kódokat „korlátozott” módszerként kezeli, és arra kéri a szolgáltatásokat, hogy figyeljenek olyan jelekre, mint a SIM-csere vagy a számátvitel, mielőtt rájuk hagyatkoznának. Ha a célod egy olyan postaláda, amelyhez egyáltalán nincs szükség telefonra, az útmutatónk a e-mail létrehozásához telefonszám című cikk bemutatja, mely szolgáltatók kérnek és melyek nem.

Ad a Tmailor ideiglenes telefonszámot?

Nem. A Tmailor egy csak fogadásra szolgáló e-mail szolgáltatás. Nem ad telefonszámokat, és nem tud SMS- vagy hangkódokat fogadni. Ha egy legitim szolgáltatás SMS-t igényel, használj olyan számot, amelyet te irányítasz, és amelynek használatára jogosult vagy, vagy dönts úgy, hogy nem folytatod. A Tmailor nem tudja elvégezni helyetted ezt a lépést.

Kerüld a nyilvános SMS-fogadó oldalakat minden olyan kód vagy fiók esetén, amely számít. Ezek az oldalak szándékosan nyílt oldalon teszik közzé a bejövő szövegeket, így bárki elolvashatja a neked szánt kódot. Azok a kutatók, akik egy éven át 29 nyilvános SMS-átjárót figyeltek (Moreno és munkatársai, „A kódod 0000”, 2023), több mint 70 millió üzenetet gyűjtöttek össze 17 141 számra. Az újrahasznosított számok egy második kockázatot is hordoznak. Egy Princeton-tanulmány a szám-újrahasznosításról két amerikai szolgáltatónál (Kevin Lee és Arvind Narayanan, eCrime 2021) megállapította, hogy a 259 mintavételezett elérhető számból 215 újrahasznosított volt, és legalább egy támadásnak ki volt téve. A tanulmány azt is megállapította, hogy a 259 számból 171 volt kitéve fiókátvételnek jelszó-visszaállításon keresztül hat népszerű weboldalon, és a 200 újrahasznosított számból 19 még egy héten belül kapott biztonság szempontjából érzékeny üzeneteket, például jelszavakat.

Hol illeszkedik az ideiglenes e-mail

Az ideiglenes e-mail jó választás az e-mailben küldött kódokhoz alacsony tétű regisztrációknál: fórum, hírlevél, egyszeri letöltés vagy olyan termékpróba, amelyet talán nem tartasz meg. Egy megtartani kívánt fiókhoz használj hosszú távú e-mailt, és kapcsolj be hitelesítő alkalmazást vagy jelszókulcsot, miután a fiók beállítása megtörtént. Bármilyen csatornán is érkezik egy kód, ne add oda olyan személynek, aki felveszi veled a kapcsolatot és kéri. Csak abban a szolgáltatásban vagy alkalmazásban írd be a kódot, ahol elindítottad az ellenőrzést.

Amikor az OTP-kézbesítés általában működik

Az ideiglenes e-mailre történő kézbesítés akkor működik, ha három dolog egybeesik: a szolgáltatás e-mailben küldi a kódot, elfogadja az eldobható címeket, és a fogadó szerver működik, és azonnal elfogadja az üzenetet. A szabályzatok oldalanként nagyon eltérőek, így az egyetlen megbízható jel az, hogy az oldal mit tesz a címeddel.

Mit tesz és mit nem tesz egy nagy domainkészlet

A Tmailor 500+ domainen keresztül kínál címeket, így választhatsz ideiglenes címet. Ez nem garantálja a kézbesítést, és nem változtatja meg az oldal eldobható e-mailre vonatkozó szabályzatát. Ha egy oldal elutasítja a címet, tartsd tiszteletben ezt a döntést, és használj olyan hosszú távú e-mailt, amelyet te irányítasz, ahelyett, hogy több eldobható címet próbálnál ki.

Sebességtényező

Az OTP-kódok időérzékenyek, így a fogadó oldal is számít. A Tmailor a bejövő leveleket a Google MX-szerverein keresztül fogadja, így a feladók egy széles körben használt levélútvonalra adják át az üzenetet, és a normál újraküldések a tervezett módon működnek. Ez a mechanizmust írja le, nem sebességgaranciát; a háttér a hogy miért használja a Tmailor a Google szervereit a bejövő e-mailekhez. Egy postaláda sem kaphat olyan üzenetet, amelyet a feladó még nem küldött el.

Miért buknak el az OTP kódok

Ha egy OTP nem jut el egy eldobható postaládáig, az ok általában három csoport egyikébe sorolható. Mindegyik más választ igényel, ezért érdemes tudni, melyikkel állsz szemben, mielőtt újra próbálkozol. Ha az ideiglenes e-mailed egyáltalán nem kap leveleket, először ellenőrizd, hogy minden üzenet hiányzik-e, vagy csak egy oldal kódja. Egyetlen hiányzó kód általában a feladóra, annak címpolitikájára vagy a kézbesítési csatornára utal; ha több, egymástól független feladótól sem érkezik semmi, az a postaládára vagy a fogadó szolgáltatásra mutat.

Az oldal elutasítja az eldobható címeket

Egyes szolgáltatások belső vagy harmadik féltől származó eldobható domainlistákkal ellenőrzik a regisztrációkat. Előfordulhat, hogy a regisztrációnál hibával elutasítják a címet, vagy elfogadják az űrlapot, de soha nem küldik el a kódot. Akárhogy is, tekintsd ezt az oldal döntésének, és használj egy általad kezelt, hosszú távú e-mail címet ahhoz a fiókhoz. A(z) hogy miért utasítják el a weboldalak az eldobható domaineket című útmutatónk elmagyarázza, hogyan működik ez a szűrés.

A kód késik vagy soha nem küldik el

A feladók sorba állítják és korlátozzák az üzeneteket, egyesek pedig visszaélés-ellenes ellenőrzéseket is futtatnak küldés előtt. A fogadó szerver is elhalaszthatja az első próbálkozást – ezt a spam elleni technikát szürkelistázásnak hívják –, így a kód csak akkor érkezik meg, amikor a feladó levelezőszervere újra próbálkozik. Ha újra és újra megnyomod az „újraküldés” gombot, az lehűlési időt válthat ki, és egy új kód gyakran érvényteleníti az előzőt. Egy rövid késés ártalmatlan egy nyitva maradó postaládában, de akár túl is élhet egy 10 perces visszaszámlálást.

A kód máshová ment

Lehet, hogy a kód más címre érkezett, mint amelyiket figyeled, vagy egy meglévő fiókhoz már rögzített e-mail címre, vagy teljesen más csatornára, például SMS-re vagy alkalmazásbeli értesítésre. A kód akkor is megérkezhet, ha egy időzített postaláda már új címre váltott. Az okonkénti végigvezetésért platformmegjegyzésekkel lásd a(z) 12 okból, amiért nem érkezik meg az OTP e-mail.

OTP megbízhatóság postaládatípus szerint

Közzététel: Ezt a blogot a Tmailor adja ki, és az alábbi összehasonlításban a Tmailor az újrahasználható postaláda példája. A korlátai rá is érvényesek: csak fogadásra alkalmas, az üzenetek a megérkezésük után körülbelül 24 órán át láthatók, az elveszett Access Token nem állítható vissza, és egyes oldalak egyszerűen elutasítják az eldobható domaineket.

Nem minden ideiglenes e-mail viselkedik ugyanúgy az ellenőrzés során. A döntő tényezők az, hogy meddig tudod olvasni a postaládát, és hogy később vissza tudsz-e térni ugyanarra a címre. Ha gyors, időzített postaládát szeretnél, a Tmailor 10 perces levelezése 10 perces visszaszámlálással indul, amit akár 60 perc hátralévő időre is meghosszabbíthatsz. A rangsorolt, igény szerinti választáshoz lásd a(z) legjobb ideiglenes levél OTP összehasonlítást.

Meddig maradnak érvényesek az OTP-kódok

A lejárati időt a küldő szolgáltatás határozza meg, nem az e-mail-szolgáltatód. A bejelentkezési és regisztrációs kódok gyakran csak néhány percig érvényesek, míg az e-mailes ellenőrző linkek és helyreállítási kódok hosszabb ideig; a képernyőn vagy az e-mailben általában feltüntetik, mennyi ideig. A NIST előírja, hogy a szabványnak megfelelő, sávon kívüli hitelesítést 10 percen belül be kell fejezni, de ez a szabály a szabványának megfelelő bejelentkezési lépésekre vonatkozik, nem minden e-mailben küldött kódra. Tekintsd a képernyőn lévő visszaszámlálást a valódi határnak.

A kód élettartama és az üzenet élettartama két különböző óra. A Tmailoron egy üzenet körülbelül 24 órán át látható marad az érkezése után, miközben a benne lévő kód perceken belül lejárhat. A(z) , hogy mennyi ideig tart az ideiglenes posta útmutatónk elválasztja az üzenetmegőrzést a cím újrahasználatától.

Ellenőrzőlista, ha nem érkezik meg az OTP

Futtasd le ezeket az ellenőrzéseket sorrendben, mielőtt azt feltételeznéd, hogy az ideiglenes e-mail a probléma:

1. Várd ki az időzítőt, majd küldd újra egyszer. Csak a legfrissebb beérkező kódot használd.
2. Erősítsd meg a címet és a csatornát. Győződj meg róla, hogy a visszaigazoló képernyőn lévő cím megegyezik a figyelt postaládával, és ellenőrizd, hogy a szolgáltatás SMS-ben, alkalmazás-értesítésben vagy egy régebbi, nyilvántartott e-mail címre küldte-e a kódot.
3. Tartsd nyitva a postaládát. A Tmailor postaládája egyetlen lista, nincs spam mappa, így nincs máshol keresni. Ha az időzítés bizonytalan, kezdd a(z) kezdj egy újrahasználható ideiglenes e-mail címmel útmutatóval, és mentsd el az Access Tokent.
4. Vedd figyelembe az elutasítást. Ha az oldal elutasítja a címet, vagy soha nem küld rá kódot, használj egy általad kezelt, hosszú távú e-mail címet a fiókhoz. A címről címre próbálkozás ellentétes az oldal szabályzatával, és veszélybe sodorja a fiókot.

A fentebb, a „The Code Went Somewhere Else” résznél hivatkozott diagnosztikai központ részletesen tárgyalja az egyes okokat, beleértve a Steamet, az Epic Games-t, a Discordot, a Binance-et, az Instagramot és az X-et.

Időzített vagy újrahasználható postaláda: melyiket érdemes használni OTP-hez

Csak akkor használj időzített postaládát, ha azonnali kódra van szükséged, és nem tartod meg a fiókot. Használj újrahasználható címet, ha a szolgáltatás később küldhet ellenőrzést, biztonsági figyelmeztetéseket vagy jelszó-visszaállítási üzeneteket. Az Access Tokent biztonságosan mentsd el: bárki, akinek megvan, megnyithatja a postaládát, és az elveszett Access Tokent a támogatás nem tudja visszaszerezni.

A Tmailoron a visszaszámlálás végéhez érve az oldal új címre vált; ez nem jelenti azt, hogy az előző cím azonnal eltűnik. Az előző cím ugyanazon az eszközön az Előzmények között marad, és újra megnyitható, amíg még elérhető, az Access Token pedig lehetővé teszi, hogy egy másik eszközön is újra megnyisd. A beérkező üzenetek körülbelül 24 órán át láthatók maradnak.

Az időzítési kérdés közvetlen összehasonlításához lásd a(z) ideiglenes levél versus 10 perces posta az OTP című részt. A két modell közötti biztonsági és adatvédelmi kompromisszumokat a(z) visszahasználható és rövid életű beérkeződobozok útmutató tárgyalja.

Többlépéses ellenőrzés

Néhány platform küld egy megerősítő e-mailt, aztán külön OTP-t, majd egy beállítási üzenetet. Rövid visszaszámlálással előfordulhat, hogy elkapod az elsőt, és lekéssz egy OTP-t, ami néhány perccel később érkezik. Egy újrahasználható cím addig kap új üzeneteket, ameddig újra meg tudod nyitni.

Újraellenőrzés és biztonsági riasztások

A közösségi és SaaS platformok gyakran újraellenőrzést végeznek, amikor új eszközről jelentkezel be. Ha az eredeti regisztrációs címed már nem elérhető, nem tudod teljesíteni az ellenőrzést, és elveszítheted a hozzáférést. Egy visszanyerhető cím biztosítja ezt az útvonalat.

Jelszó-visszaállítás biztonsági háló

A jelszó-visszaállító e-mail arra a címre érkezik, amellyel regisztráltál. Egy időzített cím már eltűnhet. Egy újrahasználható cím, amelyet az Access Token segítségével újra megnyitsz, továbbra is fogadhat új visszaállító e-mailt, amely aztán körülbelül 24 órán át látható marad.

Az egyszerű szabály

Ha bármelyik kérdésre „talán” vagy „igen” a válaszod, használj újrahasználható címet: (1) Szükségem lesz erre a címre a következő néhány perc után is? (2) Meg akarom tartani ezt a fiókot? Egyszeri letöltésekhez, hírlevél-előzetesekhez és gyors terméktesztekhez időzített postaláda is megfelelő.

OTP konkrét platformokon

Az e-mail kézbesítés technikailag mindenhol ugyanúgy működik, de az oldalak eltérnek abban, hogy elfogadják-e az eldobható címeket, és melyik csatornát használják a kódokhoz. A közösségi hálózati regisztrációkhoz szóló útmutatónk bemutatja ezeket a folyamatokat, és ha egy platform elutasítja a címet, használj hozzá hosszú távú e-mail címet. Az MI eszközök saját bejelentkezési kódokat adnak hozzá; a a ChatGPT regisztrációs és bejelentkezési kód útmutatója ezt az esetet tárgyalja. Ha előre ellenőrizni szeretnéd, hol utasítják el valószínűleg az eldobható címet, nézd meg a meg, mely oldalak fogadnak ideiglenes leveleket.

Mire ne használjunk ideiglenes e-mail OTP-t

Az ideiglenes e-mail adatvédelmi regisztrációkhoz és alacsony kockázatú fiókokhoz készült, nem pedig olyanokhoz, amelyeket vissza kell tudnod szerezni. Ne használd banki szolgáltatásokra, fizetésekre, állami szolgáltatásokra, egészségügyre vagy bármilyen elsődleges fiókra, amely az identitásodhoz kötött. Még ha meg is érkezik egy kód, a postaládához való hozzáférés elvesztése blokkolhatja a riasztásokat, a helyreállítást és a későbbi ellenőrzést, és ezek a szolgáltatások saját szabályzataik alapján elutasíthatják az eldobható címeket. Ha szélesebb körű áttekintést szeretnél arról, hogy hol illeszkednek az eldobható postaládák, nézd meg a meg, hogy az ideiglenes e-mailek biztonságosak-e. Ez egy tiszteletben tartandó korlát, nem pedig megkerülendő akadály.

OTP tesztelés minőségbiztosítási és fejlesztői csapatok számára

Azok a csapatok, amelyek saját regisztrációs folyamataikat eldobható postaládákkal tesztelik, nagy léptékben OTP problémákba ütköznek: újraküldési viharok, a hibák tulajdonjogának tisztázatlansága, és olyan kódok, amelyek azután érkeznek meg, hogy a tesztlépés már továbblépett. A megoldások eljárásbeliek: tesztelj több címmel, korlátozd az újraküldési kísérleteket, és kövesd nyomon az első OTP-ig eltelt időt metrikaként, hogy a regressziók láthatóvá váljanak. Egy kész OTP kockázatellenőrzőlista a csapatok tartalmazza a teljes protokollt.

A lényeg

Az ideiglenes e-mailt OTP-hez csak ott használd, ahol illik: alacsony tétű regisztrációknál, amelyek e-mailben küldenek kódot és elfogadnak eldobható címeket. Tartsd nyitva a postaládát, küldd el egyszer újra, és mentsd el az Access Tokent, ha később is szükséged lehet a címre. Ha egy oldal elutasítja a címet vagy SMS-t kér, használj olyan e-mail címet vagy telefonszámot, amelyet te irányítasz, és a fontos fiókokat védd hitelesítő alkalmazással vagy jelkulccsal. A mindennapi regisztrációkhoz létrehozhatsz egy ingyenes ideiglenes levelet, és tartsd nyitva a lapot, amíg vársz.