bezpieczeństwo poczty

Bezpieczeństwo poczty to skrócone określenie zbioru praktyk chroniących system pocztowy przed zagrożeniami.

Warstwy ochrony wiadomości elektronicznych

Bezpieczeństwo poczty obejmuje kilka niezależnych warstw, ponieważ wiadomość przechodzi przez program pocztowy, serwer wysyłający, sieć oraz serwer odbiorcy. Samo ustawienie silnego hasła nie chroni przed wszystkimi zagrożeniami. Podczas logowania i przesyłania danych znaczenie ma szyfrowanie połączenia, a przy dostarczaniu wiadomości także sprawdzenie, czy nadawca jest uprawniony do używania danej domeny. W praktyce chroni się zarówno konto użytkownika, jak i całą drogę wiadomości między systemami pocztowymi.

Połączenia z usługą pocztową powinny korzystać z TLS. W przypadku IMAP standardowym portem szyfrowanego połączenia jest 993, a dla POP3 z TLS — 995. Wysyłanie poczty przez SMTP zwykle odbywa się z użyciem portu 465 dla połączenia szyfrowanego od początku albo portu 587 z mechanizmem STARTTLS. Port 25 służy przede wszystkim do komunikacji między serwerami pocztowymi i nie powinien być używany przez zwykłego klienta do uwierzytelnionego wysyłania wiadomości. Szyfrowanie połączenia nie potwierdza jednak prawdziwości nadawcy i nie zastępuje pozostałych mechanizmów kontroli.

SPF, DKIM i DMARC w ocenie nadawcy

SPF, czyli Sender Policy Framework, pozwala właścicielowi domeny opublikować w DNS rekord TXT wskazujący serwery uprawnione do wysyłania poczty z danej domeny. Serwer odbiorcy porównuje adres IP systemu wysyłającego z regułą SPF. Wynik może być między innymi pozytywny, neutralny albo oznaczać niepowodzenie. SPF nie szyfruje wiadomości i nie chroni bezpośrednio pola „Od”. Jest kontrolą adresu używanego w mechanizmie SMTP, dlatego nie powinien być traktowany jako samodzielne zabezpieczenie przed podszywaniem się.

DKIM, czyli DomainKeys Identified Mail, dodaje do wiadomości podpis kryptograficzny. Serwer wysyłający tworzy podpis przy użyciu klucza prywatnego, a serwer odbiorcy pobiera odpowiadający mu klucz publiczny z rekordu DNS TXT. Podpis pozwala sprawdzić, czy wybrane nagłówki i treść nie zostały zmienione po podpisaniu oraz czy wiadomość została podpisana przez system posiadający klucz dla wskazanej domeny. Klucz publiczny jest zwykle publikowany pod nazwą zawierającą selektor, na przykład w rekordzie DNS o postaci selektor._domainkey.domena.pl.

DMARC wykorzystuje wyniki SPF i DKIM oraz wymaga zgodności domeny uwierzytelnionej z domeną widoczną w nagłówku „From”. Właściciel domeny może opublikować politykę określającą sposób obsługi wiadomości, które nie przejdą kontroli, na przykład p=none, p=quarantine albo p=reject. Polityka p=none służy głównie do obserwacji i zbierania raportów, natomiast dwie pozostałe sygnalizują ostrzejsze traktowanie niezgodnych wiadomości. Błędna konfiguracja DNS, brak rotacji kluczy lub nieuwzględnienie legalnych nadawców może powodować odrzucanie prawidłowej korespondencji.

Phishing, złośliwe załączniki i przejęcie konta

Mechanizmy domenowe nie wystarczają do rozpoznania każdej niebezpiecznej wiadomości. Atakujący może zarejestrować podobnie wyglądającą domenę, użyć adresu z legalnej, lecz przejętej skrzynki albo przygotować wiadomość zawierającą prawidłowe wyniki SPF i DKIM. Dlatego przed kliknięciem odnośnika należy sprawdzić rzeczywisty adres domeny, a nie tylko nazwę wyświetlaną w programie pocztowym. Szczególną ostrożność należy zachować przy prośbach o zmianę numeru rachunku, podanie kodu jednorazowego, instalację programu lub pilne otwarcie dokumentu.

Załączniki mogą zawierać makra, skrypty, pliki wykonywalne albo dokumenty wykorzystujące luki w aplikacjach. Rozszerzenie widoczne w nazwie nie zawsze opisuje rzeczywisty typ pliku, a pliki takie jak .iso, .img, .js, .vbs i .lnk mogą służyć do uruchomienia dodatkowych poleceń w systemie Windows. Bezpieczniejsze postępowanie polega na potwierdzeniu nietypowej prośby innym kanałem, aktualizowaniu systemu i programu pocztowego oraz niewłączaniu makr w dokumentach pochodzących z nieznanego źródła. Program antywirusowy może wykryć część zagrożeń, ale nie daje gwarancji wykrycia nowej kampanii phishingowej.

Przejęciu skrzynki przeciwdziała unikatowe, długie hasło oraz uwierzytelnianie wieloskładnikowe. Hasło nie powinno być używane w innych serwisach, ponieważ wyciek z jednego z nich może umożliwić próbę logowania do poczty. Warto także sprawdzić reguły automatycznego przekazywania, filtry i alternatywne adresy odzyskiwania. Osoba, która uzyska dostęp do konta, może ustawić przekazywanie wiadomości na zewnętrzny adres albo przenosić korespondencję do ukrytego folderu, przez co użytkownik nie zauważy dalszej części ataku.

Bezpieczne ustawienia klienta i pomoc serwisowa

W programie pocztowym należy używać szyfrowanych portów oraz poprawnie zweryfikowanego certyfikatu TLS. Ostrzeżenia o niezgodnej nazwie certyfikatu, nieważnym certyfikacie lub nieznanym urzędzie certyfikacji nie powinny być automatycznie ignorowane. Przy konfiguracji konta trzeba odróżnić hasło do skrzynki od hasła do konta systemowego i sprawdzić, czy aplikacja korzysta z aktualnego mechanizmu logowania. Niektóre usługi wymagają logowania przez przeglądarkę lub specjalnego hasła aplikacji zamiast bezpośredniego uwierzytelniania starszym protokołem.

Jeżeli wiadomości znikają, pojawiają się nieznane wysłane e-maile albo program wielokrotnie żąda hasła, należy sprawdzić aktywne sesje konta, historię logowań i reguły pocztowe dostępne u dostawcy. Pomocne jest również usunięcie nieznanych aplikacji mających dostęp do skrzynki, zmiana hasła z zaufanego urządzenia oraz wylogowanie innych sesji. W przypadku podejrzenia infekcji komputera samo usunięcie wiadomości nie rozwiązuje problemu, ponieważ zapisane dane logowania mogły zostać wcześniej odczytane.

Warszawskie Pogotowie Komputerowe zajmuje się profesjonalną naprawą laptopów, komputerów PC i podzespołów, w tym diagnostyką problemów z konfiguracją programów pocztowych, połączeniami TLS oraz działaniem systemu po infekcji. Przy takich pracach ważne jest rozdzielenie awarii sprzętu od błędu ustawień konta: niedziałająca poczta może wynikać z uszkodzonego profilu aplikacji, problemu z siecią, błędnego certyfikatu, nieaktualnego systemu albo blokady po stronie dostawcy usługi.