blokowanie spoofingu

Blokowanie spoofingu to mechanizm wykrywający i odrzucający wiadomości z podrobionym adresem nadawcy.

Na czym polega blokowanie spoofingu

Blokowanie spoofingu to zestaw mechanizmów, które sprawdzają, czy wiadomość rzeczywiście pochodzi z domeny wskazanej w adresie nadawcy. W ataku typu spoofing przestępca może umieścić w polu „From” adres przypominający adres banku, firmy, dostawcy usług albo konkretnej osoby, mimo że wiadomość została wysłana z innego systemu. Sam widoczny adres nie jest wystarczającym dowodem pochodzenia, ponieważ część informacji nagłówka wiadomości może zostać ustalona przez nadawcę.

Ocena wiadomości odbywa się na kilku poziomach. Serwer odbiorcy analizuje między innymi połączenie SMTP, adres IP nadawcy, rekordy DNS domeny, podpis kryptograficzny wiadomości oraz zgodność domen użytych w poszczególnych nagłówkach. Na tej podstawie może zaakceptować wiadomość, oznaczyć ją jako podejrzaną, przenieść do spamu albo odrzucić jeszcze podczas dostarczania. Skuteczność zależy od poprawnej konfiguracji zarówno domeny nadawcy, jak i serwera odbierającego.

SPF, DKIM i DMARC w kontroli nadawcy

SPF, czyli Sender Policy Framework, wykorzystuje rekord TXT w DNS domeny. Rekord wskazuje, jakie adresy IP lub inne autoryzowane źródła mogą wysyłać pocztę w imieniu domeny. Serwer odbiorcy porównuje adres IP nawiązujący połączenie SMTP z polityką SPF. Wynik może być pozytywny, neutralny, niejednoznaczny albo negatywny. SPF dotyczy przede wszystkim domeny użytej w mechanizmie koperty SMTP, często widocznej w nagłówku „Return-Path”, dlatego sam pozytywny wynik SPF nie potwierdza jeszcze zgodności widocznego pola „From”.

DKIM, czyli DomainKeys Identified Mail, dodaje do wiadomości podpis cyfrowy. Nadawca podpisuje wybrane nagłówki oraz treść przy użyciu klucza prywatnego, a odbiorca pobiera odpowiadający mu klucz publiczny z rekordu DNS pod nazwą zawierającą selektor DKIM. Weryfikacja potwierdza, że podpisane elementy nie zostały zmienione po wysłaniu i że wiadomość została podpisana przez system posiadający klucz dla wskazanej domeny. DMARC łączy wyniki SPF i DKIM z domeną widoczną w polu „From”. Pozwala właścicielowi domeny określić, co odbiorca powinien zrobić z wiadomościami, które nie przechodzą uwierzytelnienia lub nie spełniają wymogu zgodności domen.

Reakcja serwera i ograniczenia ochrony

Polityka DMARC może określać działania takie jak brak dodatkowej ingerencji, oznaczenie wiadomości jako podejrzanej albo odrzucenie jej. Właściciel domeny może również skonfigurować adresy raportowania, aby otrzymywać zbiorcze informacje o wynikach kontroli. Raporty pomagają wykryć legalne systemy wysyłkowe, które nie zostały ujęte w SPF lub nie mają prawidłowego podpisu DKIM. Zmiany w DNS muszą uwzględniać czas propagacji rekordów oraz limity i sposób interpretacji mechanizmu SPF.

Mechanizmy antyspoofingowe nie rozpoznają automatycznie każdej próby oszustwa. Wiadomość może przejść SPF, DKIM i DMARC, jeżeli atakujący korzysta z własnej domeny albo z legalnie działającego, przejętego konta. Uwierzytelnienie pochodzenia nie jest tym samym co ocena intencji nadawcy. Dlatego filtry pocztowe wykorzystują także reputację adresu IP i domeny, analizę linków, załączników, nietypowych wzorców wysyłki oraz historię kontaktu. Należy również odróżnić spoofing adresu nadawcy od podobnych domen, na przykład różniących się jedną literą, ponieważ prawidłowe SPF i DKIM dla takiej domeny nie oznaczają, że jest ona zaufana.

Znaczenie konfiguracji na komputerze użytkownika

Na laptopie lub komputerze PC blokowanie spoofingu jest zwykle widoczne jako działanie usługi pocztowej, programu antyspamowego albo klienta poczty, a nie jako pojedynczy przełącznik systemowy. Użytkownik powinien sprawdzać ostrzeżenia o niezweryfikowanym nadawcy, nie otwierać załączników z nieoczekiwanych wiadomości i ręcznie porównywać adres domeny z adresem znanej organizacji. Samo wyświetlenie nazwy kontaktu w książce adresowej nie potwierdza autentyczności wiadomości, ponieważ klient może prezentować nazwę oddzielnie od pełnego adresu e-mail.

Warszawskie Pogotowie Komputerowe zajmuje się profesjonalną naprawą laptopów, komputerów PC i podzespołów, w tym diagnostyką problemów z klientami poczty, przeglądarkami oraz oprogramowaniem zabezpieczającym. W praktyce warto sprawdzić, czy alarmy antyspamowe wynikają z rzeczywistej wiadomości, błędnej konfiguracji aplikacji, nieaktualnego programu albo obecności złośliwego oprogramowania. Przy ocenie incydentu pomocne są pełne nagłówki wiadomości, ponieważ zawierają informacje o trasie SMTP, wynikach SPF, DKIM i DMARC oraz serwerach uczestniczących w dostarczeniu.