由于Apple ID不区分大小写而导致的电子邮件登录漏洞

Question

我的电子邮件地址是“jstXXXXmDfalse@xxxxx.xx.xx”。 最近我尝试使用“jstXXXXmdfalse@xxxxx.xx.xx”登录iTunes和amazon.co.jp以及着名的日本漫画杂志网站。（一个使用字符'D'另一个使用字符'd'）

完成了。尽管电子邮件地址错误，但这并不会引发错误。

我使用“jstXXXXmDfalse@xxxxx.xx.xx”注册了一个iTunes帐户，但自从我使用iPhone 4S以来，我的iPhone 7s显示的帐号为“jstXXXXmdfalse@xxxxx.xx.xx”。

我可以使用两个电子邮件地址登录，其中一个不存在。我认为这是网络和iPhone上的一个严重漏洞。

但是当我在日本的Apple官方网站上向他们通报这个问题时，Apple对我的询问没有反应。

你知道这个吗？自5年前我就意识到了这一点。请尝试并确认。

我认为电子邮件地址的验证发生了这个错误，但我不确定这可能是我个人的问题。但如果这是常见问题，那对许多Apple和Amazon.jp用户来说都是如此危险。

我建议您检查与地址女巫一起使用的网络服务是否替换了一个字符。

Answer 1

简答：

不，这不是安全问题。

答案很长：

如果您能够使用不同大写的电子邮件地址登录，则意味着Apple会忽略您的电子邮件地址中的大写以便登录。当用户注册Apple ID name@domain.com时，其他用户无法注册NAME@domain.com

不意味着Apple忽略注册的大写或更改您注册的电子邮件地址的大小写。您在注册后收到一封激活电子邮件，该电子邮件确认电子邮件地址的存储大小正确，因为ISP处理的电子邮件地址区分大小写。

几乎没有任何电子邮件服务或ISP强制使用区分大小写的电子邮件地址。这意味着即使字母应该是大写/小写但不是，但电子邮件不会返回为无效。

RFC 5321，定义电子邮件传输工作原理的标准说：

  

邮箱的本地部分必须被视为区分大小写。   因此，SMTP实现必须注意保留的情况   邮箱本地部分。特别是对于某些主机，用户“smith”   与用户“史密斯”不同。 然而，利用此案   邮箱本地部分的敏感性阻碍了互操作性   气馁。邮箱域遵循正常的DNS规则，因此   不区分大小写。

只有ISP在其SMTP实施中更改大写强制执行策略才会成为安全问题。由于ISP意识到这一点，因此发生这种情况的可能性很小。