[论文解读] Dead Letters to Alice - Reachability of E-Mail Addresses in the PGP Web of Trust

Benjamin Leiding, Andreas Dähn|arXiv (Cornell University)|May 10, 2016

Service-Oriented Architecture and Web Services被引用 4

一句话总结

本研究评估了 PGP 信任网络中 400 万个电子邮箱地址的技术可达性，发现其中 40% 无法访问。通过 DNS MX 记录分析和 SMTP 验证，研究发现 46.77% 的可访问邮箱地址归属于谷歌、United Internet 和微软三家机构，揭示了 PGP 信任基础设施中存在系统性脆弱性和集中化问题。

ABSTRACT

Over the last 25 years four million e-mail addresses have accumulated in the PGP web of trust. In a study each of them was tested for vitality with the result of 40% being unreachable. Of the mailboxes proven to be reachable, 46.77% turn out to be operated by one of three organizations. In this article, the authors share their results and challenges during the study.

研究动机与目标

• 评估与 PGP 公钥关联的电子邮箱地址在 PGP 信任网络中的技术可达性。
• 调查 PGP 信任网络中电子邮箱地址的可用性和可访问性程度。
• 评估无法访问的电子邮箱地址对现有 PGP 信任度量标准及整体信任模型的影响。
• 识别主导电子邮箱服务提供商在活跃 PGP 关联账户中所占的份额。

提出的方法

• 复制 PGP 密钥环服务器以提取公钥数据及关联的电子邮箱地址。
• 筛选语法正确性，并去除重复项和明显无效的地址。
• 通过 DNS MX 记录解析每个电子邮箱域名，以识别邮件交换服务器。
• 通过尝试与 MX 服务器建立 SMTP 连接并进行验证，测试地址可达性。
• 应用验证检查，确保 MX 服务器支持地址验证功能。
• 按服务提供商分类结果，并分析主要电子邮箱服务中的分布情况。

实验结果

研究问题

• RQ1 PGP 信任网络中电子邮箱地址的技术不可达比例是多少？
• RQ2 可访问电子邮箱地址中有多少比例由少数几家主导电子邮箱提供商托管？
• RQ3 电子邮箱地址的可达性在多大程度上影响了现有 PGP 信任度量的有效性？
• RQ4 集中化电子邮箱托管对 PGP 信任网络的隐私性和可信度有何影响？

主要发现

• 在 PGP 信任网络的 400 万个电子邮箱地址中，40% 被发现技术上无法访问。
• 在 60% 可访问的电子邮箱地址中，46.77% 由三家机构托管：谷歌、United Internet 和微软。
• 仅谷歌就托管了 PGP 信任网络中 19.31% 的电子邮箱地址，其中 343,415 个地址被确认为可访问。
• United Internet 和微软分别托管了全部地址的 6.82% 和 5.75%，各自有 115,479 个和 57,360 个可访问地址。
• 前 100 个邮件交换域名占了可访问地址的大多数，其中谷歌、Gmail 和 Hotmail 最为突出。
• 本研究识别出元数据泄露的重大风险：全球范围内的主要电子邮箱平台观察者，可能通过未加密的电子邮箱存储，推断出 PGP 密钥的使用模式。