analiza ścieżki wiadomości

Analiza ścieżki wiadomości to badanie trasy przesyłania e-maila od nadawcy do docelowej skrzynki odbiorcy.

Co pokazuje analiza ścieżki wiadomości e-mail

Analiza ścieżki wiadomości polega na odtworzeniu kolejnych etapów dostarczenia poczty elektronicznej na podstawie nagłówków zapisanych w wiadomości. Najważniejszym źródłem informacji są pola Received, dodawane przez serwery pocztowe uczestniczące w transmisji. Każdy taki wpis opisuje odebranie wiadomości przez konkretny serwer, zwykle podaje jego nazwę, adres IP, nazwę hosta nadawcy oraz datę i godzinę zdarzenia. Wpisy należy czytać od dołu do góry, ponieważ najniższy wpis zwykle pochodzi z początku trasy, a najwyższy został dodany najpóźniej przez serwer znajdujący się bliżej skrzynki odbiorczej.

Weryfikacja ścieżki obejmuje również pola From, To, Date, Subject, Message-ID i Return-Path. Pole From określa adres prezentowany odbiorcy, natomiast Return-Path wskazuje adres używany do obsługi zwrotek po zakończeniu dostarczania. Message-ID powinien być identyfikatorem konkretnej wiadomości, a różnice między czasem podanym w Date i czasami w Received mogą wskazywać na nieprawidłowo ustawiony zegar komputera lub serwera. Same nagłówki nie dowodzą jednak, że każdy ich element jest wiarygodny, ponieważ część danych może zostać zmieniona przed przyjęciem wiadomości przez zaufany serwer pocztowy.

Serwery SMTP, DNS i kolejność przekazywania poczty

Typowa trasa rozpoczyna się w programie pocztowym albo aplikacji webowej, która przekazuje wiadomość do serwera wysyłającego. Do transmisji między serwerami używany jest protokół SMTP. Serwer wysyłający ustala, gdzie przekazać wiadomość, odczytując z systemu DNS rekordy MX dla domeny odbiorcy. Rekord MX wskazuje serwer odpowiedzialny za przyjmowanie poczty dla danej domeny, a jego priorytet określa preferowaną kolejność wyboru. Jeżeli główny serwer nie odpowiada, nadawca może próbować użyć kolejnego rekordu MX lub przechować wiadomość w kolejce do ponowienia dostarczenia.

Ważne jest rozróżnienie połączenia użytkownika z serwerem pocztowym od przekazywania poczty między serwerami. Submission dla klientów pocztowych jest zwykle realizowane na porcie TCP 587, często z użyciem uwierzytelnienia i polecenia STARTTLS. Port TCP 25 służy przede wszystkim do komunikacji SMTP między serwerami, natomiast port TCP 465 jest używany do SMTP z szyfrowaniem TLS uruchamianym od początku połączenia. Do odbierania wiadomości programy pocztowe korzystają z IMAP albo POP3, ale te protokoły nie opisują całej trasy dostarczenia. IMAP synchronizuje zawartość skrzynki, a POP3 pobiera wiadomości według ustawień klienta.

Rozpoznawanie opóźnień, odrzuceń i prób podszycia

Porównanie kolejnych znaczników czasu w nagłówkach Received pozwala ustalić, na którym odcinku powstała przerwa. Jeżeli między dwoma wpisami występuje kilka godzin, serwer mógł czasowo odrzucać wiadomość, odłożyć ją w kolejce albo oczekiwać na ponowienie połączenia. Krótkie różnice czasu są normalne i mogą wynikać z opóźnienia DNS, kontroli antyspamowej, skanowania załączników lub chwilowego obciążenia serwera. Trzeba brać pod uwagę strefy czasowe zapisane przy datach oraz fakt, że zegary różnych urządzeń mogą nie być idealnie zsynchronizowane.

Podczas analizy sprawdza się także wyniki uwierzytelniania domeny. Rekord SPF określa, które adresy IP mogą wysyłać pocztę w imieniu domeny użytej w mechanizmie envelope-from. DKIM dodaje do wiadomości podpis kryptograficzny w nagłówku DKIM-Signature; serwer odbiorcy pobiera klucz publiczny z rekordu DNS i sprawdza, czy podpisane elementy nie zostały zmienione. DMARC porównuje domenę widoczną w polu From z domeną zweryfikowaną przez SPF lub DKIM oraz określa politykę postępowania z wiadomościami niespełniającymi reguł. Wynik pass nie oznacza automatycznie, że treść jest bezpieczna, a wynik fail może wystąpić również przy legalnym przekierowaniu, jeśli przekierowanie nie zachowało poprawnego uwierzytelnienia.

Sprawdzenie klienta pocztowego i lokalnej konfiguracji

Jeżeli problem dotyczy tylko jednego laptopa lub komputera PC, należy porównać zachowanie tej samej skrzynki w programie pocztowym, przeglądarce internetowej i na innym urządzeniu. W programie trzeba sprawdzić nazwę serwera IMAP lub POP3, port, sposób szyfrowania, nazwę użytkownika oraz ustawienia folderu wysłanych wiadomości. Dla wysyłania kontroluje się serwer SMTP, port TCP 587 albo 465, wymaganie uwierzytelnienia i komunikaty zwracane po próbie połączenia. Błędny zegar systemowy może powodować problemy z certyfikatami TLS, a nieaktualny klient może nie obsługiwać wymaganych metod uwierzytelniania.

Warszawskie Pogotowie Komputerowe zajmuje się profesjonalną naprawą laptopów i komputerów PC, dlatego przy problemach z analizą ścieżki wiadomości może sprawdzić lokalną konfigurację systemu, klienta pocztowego, połączenia sieciowego oraz poprawność zapisu i odczytu nagłówków. Diagnostyka powinna rozdzielać błąd urządzenia od problemu konta lub zdalnego serwera: jeśli wiadomość ma prawidłową trasę i jest dostępna przez webmail, przyczyną może być lokalny program, jego profil albo filtr. Jeżeli serwer odbiorcy odrzuca wiadomość przed zapisaniem jej w skrzynce, naprawa ustawień komputera nie zmieni decyzji serwera, ale analiza komunikatu SMTP i pełnych nagłówków ułatwi wskazanie właściwego miejsca dalszej weryfikacji.