autentyczność nadawcy

Autentyczność nadawcy to potwierdzenie, że wiadomość rzeczywiście pochodzi od podmiotu wskazanego w polu nadawcy.

Autentyczność nadawcy a pochodzenie wiadomości

Autentyczność nadawcy oznacza sprawdzenie, czy wiadomość elektroniczna rzeczywiście została wysłana przez podmiot wskazany w adresie nadawcy. Sam widoczny adres e-mail nie jest wystarczającym dowodem. W wielu protokołach pocztowych pole nadawcy może zostać zmienione podczas tworzenia wiadomości, dlatego osoba atakująca może wyświetlić adres przypominający adres banku, sklepu internetowego, dostawcy usług albo znajomego. Ocenę autentyczności wykonuje się na podstawie dodatkowych mechanizmów technicznych, informacji zapisanych w nagłówkach oraz zgodności domeny z podpisem kryptograficznym.

W praktyce należy odróżnić adres widoczny w polu „Od” od adresu używanego podczas technicznego przekazywania wiadomości. Nagłówki mogą zawierać między innymi pola „Return-Path”, „Received”, „Authentication-Results” oraz informacje o podpisie DKIM. Serwer odbiorcy analizuje te dane, ustala trasę dostarczenia i sprawdza, czy wiadomość przeszła wymagane kontrole. Wynik może wskazywać poprawne uwierzytelnienie, jego brak albo niezgodność. Pozytywny wynik nie oznacza automatycznie, że treść jest bezpieczna, lecz potwierdza określony element pochodzenia wiadomości.

SPF, DKIM i DMARC jako różne kontrole

Jednym z mechanizmów jest SPF, czyli Sender Policy Framework. Właściciel domeny publikuje w systemie DNS rekord typu TXT, w którym wskazuje serwery lub zakresy adresów IP uprawnione do wysyłania poczty dla danej domeny. Serwer odbiorczy porównuje adres IP serwera wysyłającego z tym rekordem. Rezultat może być pozytywny, negatywny, neutralny albo niejednoznaczny, zależnie od zawartości polityki SPF. SPF sprawdza przede wszystkim technicznego nadawcę koperty pocztowej, a nie zawsze adres widoczny bezpośrednio dla użytkownika.

DKIM, czyli DomainKeys Identified Mail, wykorzystuje podpis cyfrowy umieszczony w nagłówku wiadomości. Serwer wysyłający podpisuje wybrane nagłówki oraz fragment lub całość treści przy użyciu klucza prywatnego. Odbiorca pobiera odpowiadający mu klucz publiczny z rekordu DNS domeny i weryfikuje podpis. Jeżeli podpis jest prawidłowy, można stwierdzić, że podpisane elementy nie zostały zmienione po podpisaniu oraz że wiadomość została powiązana z domeną wskazaną w podpisie. Przekazanie wiadomości przez inny serwer nie musi unieważniać podpisu, o ile podpisane dane nie zostaną zmodyfikowane.

DMARC, czyli Domain-based Message Authentication, Reporting and Conformance, łączy wyniki SPF i DKIM z dopasowaniem domeny widocznej w adresie „Od”. Właściciel domeny może opublikować politykę określającą, jak odbiorca powinien postąpić z wiadomościami, które nie przejdą wymaganych kontroli. Polityka może przewidywać jedynie monitorowanie, oznaczenie wiadomości jako podejrzanej albo odrzucenie jej podczas dostarczania. DMARC może również służyć do otrzymywania raportów o próbach wysyłania wiadomości z użyciem danej domeny.

Jak interpretować wynik kontroli w programie pocztowym

Użytkownik zwykle nie widzi pełnych wyników SPF, DKIM i DMARC w podstawowym widoku skrzynki. Program pocztowy może jednak wyświetlić komunikat o zweryfikowanym nadawcy, ostrzeżenie dotyczące domeny lub informację o nieudanym uwierzytelnieniu. Szczegóły są dostępne po otwarciu pełnych nagłówków wiadomości. Warto sprawdzić, czy wynik DKIM odnosi się do domeny zgodnej z adresem widocznym w polu „Od”, czy kontrola SPF dotyczy właściwej domeny oraz czy rezultat DMARC wskazuje zgodność. Różnica między domeną techniczną a domeną prezentowaną użytkownikowi może mieć istotne znaczenie.

Nieudane uwierzytelnienie nie zawsze oznacza próbę oszustwa. Przyczyną może być błędna konfiguracja DNS, korzystanie z zewnętrznej platformy wysyłkowej, przekierowanie wiadomości albo modyfikacja treści przez pośredni system. Z drugiej strony poprawny wynik techniczny również nie gwarantuje uczciwości nadawcy. Przestępca może wysłać wiadomość z własnej domeny, która prawidłowo przejdzie SPF i DKIM, albo wykorzystać przejęte konto. Dlatego autentyczność należy oceniać razem z treścią, adresem odsyłacza, żądaniem podania danych oraz zgodnością wiadomości z oczekiwanym kontekstem.

Podczas analizy podejrzanej wiadomości nie należy klikać odsyłaczy wyłącznie po to, aby sprawdzić ich zawartość. Bezpieczniejsza jest ręczna weryfikacja adresu domeny, otwarcie strony przez wcześniej znany adres lub kontakt z nadawcą innym kanałem. Należy zwrócić uwagę na literówki w domenie, znaki podobne do liter, nieoczekiwane załączniki i presję czasu. Autentyczność nadawcy dotyczy pochodzenia komunikatu, natomiast nie zastępuje oceny jego wiarygodności ani kontroli bezpieczeństwa załączników.

Sprawdzenie ustawień i śladów technicznych na komputerze

Jeżeli wiadomości są oznaczane jako podejrzane mimo prawidłowego adresu, można rozpocząć od sprawdzenia nagłówków, konfiguracji konta i sposobu odbierania poczty. Warto ustalić, czy problem występuje w jednej aplikacji, w przeglądarce internetowej oraz na innych urządzeniach. Porównanie tych miejsc pomaga odróżnić błąd programu pocztowego od problemu po stronie serwera lub domeny nadawcy. Przydatne są także informacje o dacie, czasie, temacie i dokładnym komunikacie wyświetlanym przez aplikację, ponieważ pozwalają powiązać ostrzeżenie z konkretną wiadomością.

Warszawskie Pogotowie Komputerowe zajmuje się profesjonalną naprawą laptopów, komputerów PC i podzespołów, w tym diagnostyką problemów z aplikacjami pocztowymi, wyświetlaniem pełnych nagłówków oraz podstawową oceną wyników uwierzytelniania wiadomości. Podczas diagnozy można sprawdzić, czy przyczyną jest nieprawidłowa konfiguracja programu, uszkodzony profil użytkownika, konflikt dodatku, problem z przeglądarką albo nieprawidłowa interpretacja ostrzeżenia przez oprogramowanie.