a5/7db33997b85d18110169a3ec848193e12daf4d

   1 Return-Path: <david@tethera.net>\r
   2 X-Original-To: notmuch@notmuchmail.org\r
   3 Delivered-To: notmuch@notmuchmail.org\r
   4 Received: from localhost (localhost [127.0.0.1])\r
   5         by olra.theworths.org (Postfix) with ESMTP id 6DE49431FB6\r
   6         for <notmuch@notmuchmail.org>; Sun, 25 Jan 2015 09:52:48 -0800 (PST)\r
   7 X-Virus-Scanned: Debian amavisd-new at olra.theworths.org\r
   8 X-Spam-Flag: NO\r
   9 X-Spam-Score: 2.438\r
  10 X-Spam-Level: **\r
  11 X-Spam-Status: No, score=2.438 tagged_above=-999 required=5\r
  12         tests=[DNS_FROM_AHBL_RHSBL=2.438] autolearn=disabled\r
  13 Received: from olra.theworths.org ([127.0.0.1])\r
  14         by localhost (olra.theworths.org [127.0.0.1]) (amavisd-new, port 10024)\r
  15         with ESMTP id CNnVbwrLsO0Q for <notmuch@notmuchmail.org>;\r
  16         Sun, 25 Jan 2015 09:52:45 -0800 (PST)\r
  17 Received: from mx.xen14.node3324.gplhost.com (gitolite.debian.net\r
  18         [87.98.215.224])\r
  19         (using TLSv1 with cipher DHE-RSA-AES128-SHA (128/128 bits))\r
  20         (No client certificate requested)\r
  21         by olra.theworths.org (Postfix) with ESMTPS id C1C34431FAF\r
  22         for <notmuch@notmuchmail.org>; Sun, 25 Jan 2015 09:52:45 -0800 (PST)\r
  23 Received: from remotemail by mx.xen14.node3324.gplhost.com with local (Exim\r
  24         4.80) (envelope-from <david@tethera.net>)\r
  25         id 1YFRLo-0003GT-Cd; Sun, 25 Jan 2015 17:51:56 +0000\r
  26 Received: (nullmailer pid 2498 invoked by uid 1000); Sun, 25 Jan 2015\r
  27         17:51:43 -0000\r
  28 From: David Bremner <david@tethera.net>\r
  29 To: Daniel Kahn Gillmor <dkg@fifthhorseman.net>, notmuch mailing list\r
  30         <notmuch@notmuchmail.org>\r
  31 Subject: Re: privacy problem: text/html parts pull in network resources\r
  32 In-Reply-To: <87ppa7q25w.fsf@alice.fifthhorseman.net>\r
  33 References: <87ppa7q25w.fsf@alice.fifthhorseman.net>\r
  34 User-Agent: Notmuch/0.19+48~gb74ed1c (http://notmuchmail.org) Emacs/24.4.1\r
  35         (x86_64-pc-linux-gnu)\r
  36 Date: Sun, 25 Jan 2015 18:51:43 +0100\r
  37 Message-ID: <87fvay3g0g.fsf@maritornes.cs.unb.ca>\r
  38 MIME-Version: 1.0\r
  39 Content-Type: text/plain\r
  40 X-BeenThere: notmuch@notmuchmail.org\r
  41 X-Mailman-Version: 2.1.13\r
  42 Precedence: list\r
  43 List-Id: "Use and development of the notmuch mail system."\r
  44         <notmuch.notmuchmail.org>\r
  45 List-Unsubscribe: <http://notmuchmail.org/mailman/options/notmuch>,\r
  46         <mailto:notmuch-request@notmuchmail.org?subject=unsubscribe>\r
  47 List-Archive: <http://notmuchmail.org/pipermail/notmuch>\r
  48 List-Post: <mailto:notmuch@notmuchmail.org>\r
  49 List-Help: <mailto:notmuch-request@notmuchmail.org?subject=help>\r
  50 List-Subscribe: <http://notmuchmail.org/mailman/listinfo/notmuch>,\r
  51         <mailto:notmuch-request@notmuchmail.org?subject=subscribe>\r
  52 X-List-Received-Date: Sun, 25 Jan 2015 17:52:48 -0000\r
  53 \r
  54 Daniel Kahn Gillmor <dkg@fifthhorseman.net> writes:\r
  55 \r
  56 > If i send a message with a text/html part (either it's only text/html,\r
  57 > or all parts are rendered, or it's multipart/alternative with only a\r
  58 > text/html subpart) and that HTML has <img\r
  59 > src="http://example.org/test.png"/> in it, then notmuch will make a\r
  60 > network request for that image.\r
  61 >\r
  62 > This is a privacy disaster, because it enables an e-mail sender to use\r
  63 > "web bugs" to tell when a given notmuch user has opened their e-mail.\r
  64 \r
  65 I've just pushed Austin's shr related series to master, so this problem\r
  66 should be fixed as of commit b74ed1c. One tradeoff that we should at\r
  67 least remark in NEWS, if not actually fix, is that I think there is now\r
  68 no way to view such images in notmuch.  I don't know offhand what other\r
  69 html renderers will do.\r
  70 \r
  71 d\r