Analiza pola From to badanie zawartości nagłówka nadawcy w celu wykrycia niespójności lub prób podszywania się.
Budowa pola From w wiadomości e-mail
Pole From jest częścią nagłówka wiadomości e-mail i wskazuje autora lub autorów wiadomości w rozumieniu formatu używanego przez pocztę elektroniczną. W typowym przypadku zawiera nazwę wyświetlaną oraz adres w postaci Ten adres pocztowy jest chroniony przed spamowaniem. Aby go zobaczyć, konieczne jest włączenie w przeglądarce obsługi JavaScript., na przykład Sklep Example <Ten adres pocztowy jest chroniony przed spamowaniem. Aby go zobaczyć, konieczne jest włączenie w przeglądarce obsługi JavaScript.>. Nazwa wyświetlana może być dowolnym opisem prezentowanym w programie pocztowym, natomiast właściwy adres nadawcy znajduje się między znakami mniejszości i większości. Sama treść pola nie dowodzi, że wiadomość rzeczywiście została wysłana przez właściciela wskazanej domeny.
Składnia nagłówków wiadomości jest opisana między innymi w RFC 5322. Pole From może zawierać więcej niż jeden adres, jednak w zwykłej wiadomości użytkowej najczęściej występuje jeden nadawca. Należy odróżnić ten nagłówek od technicznego adresu używanego podczas dostarczania poczty. Serwer odbiorcy może zapisać adres z komendy SMTP w polu Return-Path, które służy przede wszystkim do obsługi komunikatów o niedostarczeniu. From jest natomiast informacją prezentowaną odbiorcy i wykorzystywaną w mechanizmach uwierzytelniania domeny.
Niespójności widoczne w adresie nadawcy
Analiza pola From polega na sprawdzeniu zgodności kilku elementów: nazwy wyświetlanej, adresu e-mail, domeny po znaku @ oraz kontekstu wiadomości. Podejrzana może być sytuacja, w której nazwa wyświetlana sugeruje bank, operatora płatności albo znaną firmę, ale właściwy adres prowadzi do innej domeny. Częstą techniką jest także użycie domeny podobnej wizualnie do prawdziwej, na przykład z dodatkowym znakiem, inną końcówką albo znakiem Unicode przypominającym literę alfabetu łacińskiego.
Warto również sprawdzić, czy adres nie zawiera mylącej części lokalnej, wielu kropek, nietypowych znaków lub domeny umieszczonej w nazwie wyświetlanej zamiast w rzeczywistym adresie. Przykład Ten adres pocztowy jest chroniony przed spamowaniem. Aby go zobaczyć, konieczne jest włączenie w przeglądarce obsługi JavaScript. <Ten adres pocztowy jest chroniony przed spamowaniem. Aby go zobaczyć, konieczne jest włączenie w przeglądarce obsługi JavaScript.> może wyglądać wiarygodnie na liście wiadomości, lecz po rozwinięciu szczegółów ujawnia innego nadawcę. Samo pole From nie powinno być jednak oceniane w oderwaniu od treści wiadomości, adresów odsyłaczy i wyników kontroli serwera, ponieważ poprawnie wyglądający adres również może zostać sfałszowany.
SPF, DKIM i DMARC a wiarygodność pola From
Do technicznej oceny nadawcy używa się między innymi SPF, DKIM i DMARC. SPF sprawdza, czy serwer wysyłający jest uprawniony do wysyłania poczty dla domeny użytej w mechanizmie SMTP, zwykle widocznej w adresie koperty nadawcy. DKIM dodaje do wiadomości podpis kryptograficzny w polu DKIM-Signature. Odbiorca pobiera klucz publiczny z rekordu DNS domeny podpisującej i sprawdza, czy wybrane nagłówki oraz treść nie zostały zmienione po podpisaniu. Wynik SPF lub DKIM nie oznacza automatycznie, że wiadomość jest bezpieczna, ponieważ legalny serwer także może zostać wykorzystany do rozsyłania niepożądanej korespondencji.
DMARC odnosi wyniki SPF i DKIM do domeny widocznej w polu From. W tym celu stosuje się pojęcie zgodności, czyli alignment. Domena uwierzytelniona przez SPF albo domena użyta do podpisu DKIM musi być zgodna z domeną prezentowaną odbiorcy w From, zależnie od ustawionego trybu dopasowania. Rekord DMARC w DNS może określać politykę p=none, p=quarantine albo p=reject. Wynik kontroli należy odczytywać razem z nagłówkami Authentication-Results, ponieważ to serwer odbiorcy zapisuje w nich rezultat własnych testów. Brak zgodności albo wynik fail jest sygnałem do dalszej weryfikacji, ale nie stanowi samodzielnego dowodu intencji nadawcy.
Odczyt nagłówków podczas diagnostyki poczty
Pełną analizę wykonuje się po wyświetleniu oryginalnych nagłówków wiadomości, a nie wyłącznie informacji pokazanych w skróconym widoku programu pocztowego. Należy porównać pole From z Reply-To, Return-Path, kolejnymi polami Received, Message-ID oraz Authentication-Results. Odmienny adres Reply-To może być uzasadniony w legalnej korespondencji, ale przy wiadomości nakłaniającej do logowania lub płatności powinien zostać zweryfikowany. Pola Received analizuje się od dołu do góry, ponieważ opisują kolejne etapy przekazywania wiadomości przez serwery.
W praktyce problem może wynikać zarówno z próby podszycia się, jak i z błędnej konfiguracji domeny, przekierowania poczty, uszkodzonego podpisu DKIM albo nieprawidłowego ustawienia programu wysyłającego. Dlatego diagnostyka powinna obejmować również test wysyłki z różnych skrzynek, sprawdzenie rekordów DNS oraz porównanie wyników na kilku serwerach odbiorczych. Warszawskie Pogotowie Komputerowe zajmuje się profesjonalną naprawą laptopów i komputerów PC, w tym diagnostyką problemów z oprogramowaniem pocztowym oraz odczytem technicznych nagłówków wiadomości na urządzeniu użytkownika.
