IT男的VPS系列教程 篇五:如何自己搭建一个即时销毁的邮箱?
谈谈为啥想弄这个?
2011年12月CSDN等多家网站的用户数据库被曝光在网络上,由于部分密码以明文方式显示,自从那个时候,我才开始关注互联网信息安全的时间。当初不少网站的密码是明文的方式存储在数据库中,导致泄漏后密码可以直接被读取。当初听到这个消息后,吓出一身冷汗,因为我所有的网站密码都是一样的。即使过去多年,我还是时不时的听见关于密码数据库泄露的新闻,天知道我的密码到底泄露了多少。
现在,你甚至可以在一个叫have i been pwned?的网站,查询你的密码是否存在泄漏的情况。在这里输入你的邮箱,或者密码可以查询你的密码是否被泄漏过。我的邮箱和密码光在这里就有7次泄漏的情况。我相信这一定还不是最全的数据库,泄露的信息可能会更多。
曾经在网上,甚至出现过一些所谓的社工库,它把泄漏的密码组合到一个网站中,可以在网站中一站式查询。当然这是违法的,我也不建议你去寻找这些违法的项目。这些密码流传于网上的缝隙之中,但他潜在有着十分巨大的威胁。
最好的解决办法:
一是使用密码管理软件|定期更换密码|使用复杂密码
那么自然人们都意识到了一个问题,就是密码要及时更换,而且密码需要具有一定的长度和复杂性。最危险的做法是所有的网站用相同的用户名、相同的邮箱和相同的密码。这很容易就让你的互联网账号保护机制崩溃。
我现在已经使用了密码管理软件Lastpass,或者你也可以使用1password等密码管理软件,可以在很大程度上避免密码泄露的问题。当然前提是要经常更换密码并且密码要有一定的复杂性。
二是账号隔离|本文的涉及
使用密码管理软件在一定程度上解决了问题,但是账号和邮箱依然一样,问题解决的还不彻底。为什么这么说?
在互联网上,除了密码以外,还有很多有价值的信息。比如当你注册淘宝帐号时(举例而已,没有特指),会让你填写一个表格,里面有:用户名、邮箱、手机号等等,这些都是你在互联网上的一个信息。平时我们可能不知道这些信息和真人的联系,就像是The Ready One中实体身份和虚拟身份是不能有关联的。如有人想挖掘进一步的内容,那么可以依靠信息之间的联系。比如你在某个网站上的手机号和用户名是一条信息,在另外一个网站这个手机号和身份证是一条信息,那么手机号、用户名、身份证号可以确定为同一个人,通过多次推断,可以确定你到底是谁。一旦确定了实体身份和虚拟身份的联系,是非常可怕的。
通过不同的网站取得了你的一些基础信息,比如手机号、邮箱,那么甚至可以查询到开房记录、银行卡,又找到了你的密码,甚至是通过生日推断出了你的密码,后面的是可想而知。把这些不同网站数据的字段串联起来,可以构成一个非常长的信息链,可以说写一份你的简历信息估计都足够了,这是非常危险的事情。我之前确实从一份社工库查询到了自己几年前的开房记录。
那么最核心的部分来了,除了保护好密码外,还要做到账号隔离。曾经在一个博主的页面上看到几个账号隔离的原则,具体忘了,但总结起来:
账号要做细分隔离。除了密码要做隔离外,最好账号也能做隔离,至少按照类别分一二三类账号。
重要性越高的账号,越要和其他账号隔离。比如银行、支付宝这类涉及金融类账号。
使用密码管理软件,保证密码一定细分设置。
目前来看网上信息使用最多的三个信息应该是邮箱、用户名、手机号,其中邮箱和用户名有时很容易被查询到,甚至是公开信息。
那么假如可以每次随机生成一个临时邮箱,用于在一些不那么重要的网站上注册(越小的网站总体来说防范意识和技术实力越弱),那么可以在很大程度上做到隔离,避免从一个突破口把你的信息联系起来。同样,你也可以将这个邮箱作为用户名,这样三个重要的信息之间已经进行了一定隔离,信息被关联的几率小了很多。
当然,这个虽然是临时邮箱,但是也要能够重用,比如在重置密码的时候。所以我发现了一个项目,叫做forsaken-mail可以实现我的要求。
我推荐的原因不只是功能上的,进一步说这个项目是开源的,那么我可以自己搭建一个,用来保证未来5年、10年邮箱的域名还可以用,并且只有我一个人用。
搭建过程
VPS环境配置
VPS环境设置可以参考前期的系列教程,按照篇一教程完成准备工作后,就可以继续以下的内容了。(这是基础,如果你还不明白VPS是什么和基本操作的话建议先学学有关内容)
IT男的VPS系列教程 篇一:内网穿透(Frp)-拯救没有公网IP的你
其他要求:
由于此处使用了Docker,要求VPS必须是KVM,且内核版本要大于3.1。
服务器必须开放25端口,很多VPS厂商都关闭了25端口,有很多是可以工单申请开放25端口的。
VPS要有独立IP。
项目源码|感谢作者
项目是forsaken-mail,源码托管在Github,地址,感谢作者的分享。
域名解析
你要有一个域名,在DNS中做两个记录,一个A记录指向服务器IP,一个MX记录也指向服务器IP(优先级10)。
安装Docker
我的OS是Ubuntu14.04 x64。首先安装Docker,这里不推荐apt-get 或者yum的形式安装,建议直接从官网下载docker。如果你不关心Docker是什么,那么你也不用深究,如果你有兴趣研究一下,可以自行google。
wget -qO- https://get.docker.com/ | sh
安装Forsaken-mail
作者已经写好了Dockerfile文件,所以可以一键搭建。
docker run --name forsaken-mail -d -p 25:25 -p 3000:3000 denghongcai/forsaken-mail
之后可以访问域名+3000端口号的形式,比如本教程中DEMO:ruiqian.ml:3000
如果你不喜欢带端口号的,可以将-p 3000:3000改为-p 80:3000。但你的系统里如果安装了其他http服务的话,可能会出现端口冲突,而且对于Docker代理多域名到80端口设置有点复杂,所以我建议用一个非常规端口就挺好。强迫症人士除外。
使用方法
右上角可以生成一个随机邮箱,也可以指定一个具体邮箱。
在保持页面打开的情况,查收邮件。注意,页面一旦关闭则收不到邮件了。
如果不想和别人公用一个邮箱主域名,那么可以自己搭建一个。
如果不喜欢用Docker,希望直接在Linux中安装,首先需要安装 nodejs,npm,git,在输入以下:
git clone https://github.com/malaohu/forsaken-mail.gitcd forsaken-mail
npm install
npm start
如果你不希望用*级域名,只希望用一个二级域名,二级域名应当做A记录指向服务器IP,同时做一个二级域名的MX记录指向根域名,根域名也要做MX记录指向服务器IP。
其他注意:
十分重要的网站建议用一个非常保密的账号和邮箱,其他一般重要网站可以用这个临时邮箱来代替。
由于每个网站的用户名和密码都不一样,所以建议用密码管理软件,否则脑子可记不过来。
如果要长期使用临时邮箱,建议持有一个自己的域名,至少考虑未来5-10年保证能用。而且尽量不要和别人分享,否则万一账号撞车呢。
接收邮箱验证码的时候,确保网页处于打开状态 , 才能收到邮件。
页面刷新后,邮箱就变了,好在可以指定前缀。
如果不喜欢用Docker部署的,也可以直接在linux中部署,步骤略多,自行研究吧,推荐Google。
还有类似的开源程序,比如
Mailsac,可以自行试试。
最后PS一句,说了这么多也不一定就能怎么样,预见大神和大佬一样搞定你,只能在尽量保护的基础上,自求多福......
欢迎评论!
ray2003
校验提示文案
天之银翼
校验提示文案
jiaoting
校验提示文案
值友4188491204
校验提示文案
语数外理化生政史地
校验提示文案
科技范的厨子
校验提示文案
PWFISHER008
校验提示文案
新都区爱迪生
校验提示文案
陈德深
校验提示文案
一身惆怅
校验提示文案
顽灵
校验提示文案
化名叡阡千
校验提示文案
work4seo
校验提示文案
work4seo
校验提示文案
化名叡阡千
校验提示文案
新都区爱迪生
校验提示文案
PWFISHER008
校验提示文案
科技范的厨子
校验提示文案
语数外理化生政史地
校验提示文案
值友4188491204
校验提示文案
顽灵
校验提示文案
jiaoting
校验提示文案
一身惆怅
校验提示文案
天之银翼
校验提示文案
陈德深
校验提示文案
ray2003
校验提示文案