header analysis

Header analysis to proces badania technicznych informacji zawartych w górnej części wiadomości e-mail.

Co obejmuje analiza nagłówka wiadomości e-mail

Header analysis, czyli analiza nagłówka wiadomości e-mail, polega na odczytaniu technicznych pól umieszczonych przed właściwą treścią wiadomości. Nagłówek może zawierać między innymi pola From, To, Date, Subject, Message-ID, Reply-To oraz wiele wpisów Received. Podstawową składnię pól wiadomości internetowych opisuje RFC 5322. Wartość wyświetlana w programie pocztowym nie zawsze pokazuje wszystkie informacje, dlatego do pełnej analizy trzeba wyświetlić oryginalne źródło wiadomości albo jej pełne nagłówki.

Nagłówki opisują metadane i przebieg dostarczenia, ale nie stanowią automatycznie dowodu autentyczności nadawcy. Pole From może zawierać adres widoczny dla odbiorcy, natomiast rzeczywisty adres użyty podczas dostarczania może wynikać z koperty SMTP, której nie widać bezpośrednio w standardowym widoku wiadomości. Analiza porównuje więc deklarowane dane z informacjami dodanymi przez serwery pocztowe, wynikami uwierzytelniania oraz spójnością adresów domenowych.

Rekonstrukcja drogi wiadomości na podstawie pól Received

Pole Received jest dodawane przez serwer obsługujący kolejne przekazanie wiadomości. Zgodnie z praktyką SMTP najnowszy wpis znajduje się zwykle najwyżej, a wcześniejsze wpisy są położone niżej. Czytając je od dołu ku górze, można odtworzyć prawdopodobną kolejność serwerów, przez które przechodziła wiadomość. Wpis może zawierać nazwy hostów, adresy IP, identyfikatory serwerów, czas odebrania oraz informacje o użytym protokole, na przykład ESMTP.

Największą wartość dowodową mają wpisy dodane przez zaufane serwery odbiorcze, ponieważ wcześniejsze fragmenty nagłówka mogły zostać przygotowane przez nadawcę lub zmienione przed dotarciem do kontrolowanej infrastruktury. Analizuje się zgodność nazw hostów z adresami IP, kolejność znaczników czasu, różnice stref czasowych oraz przeskoki pomiędzy serwerami. Sama obecność adresu IP w polu Received nie wskazuje jednak jednoznacznie komputera osoby wysyłającej; może oznaczać serwer pośredniczący, bramę pocztową albo usługę używaną przez klienta pocztowego.

SPF, DKIM, DMARC i Authentication-Results

Weryfikacja pochodzenia wiadomości często wykorzystuje wyniki SPF, DKIM i DMARC. SPF, opisany w RFC 7208, sprawdza, czy adres IP serwera wysyłającego jest dopuszczony przez rekord SPF domeny użytej w kopercie SMTP, zwykle identyfikowanej jako domena mechanizmu MAIL FROM. DKIM, opisany w RFC 6376, wykorzystuje podpis kryptograficzny zapisany w polu DKIM-Signature. Odbiorca pobiera klucz publiczny z rekordu DNS domeny wskazanej przez parametr d, a następnie sprawdza podpis wybranych nagłówków i treści wiadomości.

DMARC, opisany w RFC 7489, ocenia zgodność domeny widocznej w polu From z domeną używaną przez SPF lub DKIM. Wynik kontroli może być zapisany w polu Authentication-Results, którego format określa RFC 8601. W analizie należy rozróżnić wyniki pass, fail, softfail, neutral i none, a także sprawdzić, który serwer wystawił dany wpis. Pomyślne DKIM nie oznacza, że cała wiadomość jest bezpieczna, lecz potwierdza poprawność podpisu dla określonej domeny i zakresu podpisanych danych.

Wnioski diagnostyczne i postępowanie z podejrzaną wiadomością

Analiza nagłówka pomaga rozpoznać typowe problemy, takie jak błędna konfiguracja domeny, opóźnienie na konkretnym serwerze, niezgodność czasu, nieudany podpis DKIM albo rozbieżność pomiędzy adresem widocznym dla odbiorcy a domeną uwierzytelnioną. Przydatne jest zachowanie pełnego nagłówka bez jego ręcznego przepisywania, ponieważ usunięcie jednego pola może utrudnić korelację zdarzeń. Do interpretacji można używać lokalnych narzędzi tekstowych, ale wynik należy konfrontować z dokumentacją dostawcy poczty i rzeczywistą konfiguracją DNS.

W przypadku laptopa lub komputera PC problemy z analizą nagłówków mogą wynikać z działania klienta pocztowego, dodatku przeglądarkowego, błędnej konfiguracji konta albo złośliwego oprogramowania przechwytującego komunikację. Warszawskie Pogotowie Komputerowe zajmuje się profesjonalną naprawą laptopów, komputerów PC i ich podzespołów, w tym diagnostyką konfiguracji systemu oraz oprogramowania używanego do obsługi poczty elektronicznej.