identyfikacja serwera nadawczego

Identyfikacja serwera nadawczego to proces ustalania infrastruktury odpowiedzialnej za wysłanie danej wiadomości.

Na czym polega identyfikacja serwera nadawczego

Identyfikacja serwera nadawczego polega na odtworzeniu informacji o infrastrukturze, która uczestniczyła w przekazaniu wiadomości pocztowej. Nie chodzi wyłącznie o nazwę widoczną w polu „Od”, ponieważ ten element może zawierać adres nadawcy deklarowany przez aplikację pocztową i sam w sobie nie potwierdza rzeczywistego źródła transmisji. Do analizy wykorzystuje się przede wszystkim nagłówki techniczne wiadomości, adresy IP, nazwy hostów, wyniki zapytań DNS oraz informacje o mechanizmach uwierzytelniania domeny.

W praktyce jedna wiadomość może przechodzić przez kilka serwerów: program pocztowy przekazuje ją do serwera poczty wychodzącej, ten może używać bramy filtrującej, a następnie wiadomość trafia do serwera odbiorcy. Każdy kolejny serwer może dopisać własny nagłówek Received. Dzięki temu analiza nie ogranicza się do ustalenia ostatniego adresu IP, lecz obejmuje cały łańcuch transportu SMTP. Kolejność wpisów jest analizowana od dołu do góry, ponieważ najniższy wpis zwykle opisuje wcześniejszy etap dostarczenia, a najwyższy etap obsłużony przez serwer odbiorczy.

Nagłówki techniczne i ślad transportu SMTP

Najważniejszym źródłem danych jest nagłówek Received. Typowy wpis może zawierać nazwę hosta przedstawioną przez poprzedni serwer, nazwę zweryfikowaną przez serwer odbierający, adres IP, identyfikator połączenia oraz znacznik czasu. Wpis nie zawsze jest kompletny, ponieważ administratorzy mogą ograniczać ujawnianie informacji, a pośrednie systemy mogą modyfikować lub usuwać część nagłówków. Z tego powodu należy odróżniać nagłówki dodane przez zaufane serwery odbiorcy od elementów dostarczonych przez nadawcę, które mogą być dowolnie spreparowane.

Pole Return-Path wskazuje adres używany do obsługi kopertowego nadawcy SMTP, czyli adres, na który kierowane są komunikaty o niedostarczeniu. Nie musi być identyczne z adresem widocznym w polu From. Z kolei pola Message-ID, Date i Received pomagają porównywać deklarowany czas utworzenia wiadomości z czasem przyjęcia jej przez poszczególne serwery. Rozbieżności nie są automatycznie dowodem fałszerstwa, ponieważ urządzenia mogą mieć nieprawidłowo ustawiony zegar, a wiadomość może pozostawać w kolejce przez dłuższy czas.

DNS, SPF, DKIM i DMARC w ocenie źródła

Sam adres IP nie przesądza o tym, kto faktycznie wysłał wiadomość. Można sprawdzić odwrotny rekord DNS, czyli nazwę przypisaną do adresu IP, a następnie porównać ją z nazwą podaną w nagłówku Received. Przydatne jest także sprawdzenie rekordu MX domeny odbiorcy oraz rekordów DNS domeny nadawcy. Odwrotny DNS może nie istnieć, może wskazywać nazwę techniczną centrum danych albo może być zgodny z adresem bez potwierdzania tożsamości organizacji. Informacje rejestracyjne adresu IP pokazują zwykle operatora sieci lub dostawcę hostingu, a nie konkretną osobę korzystającą z serwera.

SPF, DKIM i DMARC dostarczają dodatkowych, ale odmiennych informacji. SPF porównuje adres IP serwera wysyłającego z rekordem SPF domeny użytej w kopercie SMTP. DKIM wykorzystuje podpis kryptograficzny umieszczony w nagłówku wiadomości; serwer odbiorcy pobiera klucz publiczny z DNS i sprawdza, czy podpis obejmuje wskazane elementy oraz czy treść nie została zmieniona. DMARC łączy wynik SPF lub DKIM z domeną widoczną w polu From i określa politykę domeny wobec niezgodności. Pomyślny wynik tych kontroli zwiększa wiarygodność powiązania wiadomości z domeną, lecz nie oznacza, że każda treść wiadomości jest bezpieczna.

Granice wiarygodności i metody weryfikacji

Identyfikacja serwera nadawczego ma ograniczenia wynikające z budowy poczty elektronicznej. Nadawca może korzystać z legalnej usługi pośredniczącej, przekierowania, bramy antyspamowej albo systemu wysyłkowego działającego w imieniu innej domeny. W takim przypadku adres IP widoczny w ostatnim połączeniu może należeć do dostawcy infrastruktury, natomiast wcześniejsze serwery mogą być niewidoczne dla odbiorcy. Z drugiej strony nieautoryzowany wpis w nagłówku może wyglądać wiarygodnie, dlatego nie należy traktować pojedynczej linii jako samodzielnego dowodu pochodzenia.

Rzetelna analiza obejmuje zachowanie oryginalnych nagłówków, ustalenie zaufanej granicy nagłówków dodanych przez serwer odbiorczy, porównanie adresów IP z wynikami DNS oraz odczyt wyników SPF, DKIM i DMARC zapisanych w Authentication-Results. Warto również sprawdzić, czy znaczniki czasu tworzą logiczną sekwencję, czy nazwy hostów odpowiadają adresom IP oraz czy domena podpisu DKIM jest zgodna z domeną nadawcy. Wnioskiem powinno być precyzyjne wskazanie ustalonego serwera lub zakresu infrastruktury oraz poziomu pewności, a nie kategoryczne przypisanie wiadomości konkretnej osobie wyłącznie na podstawie adresu technicznego. Jeżeli analiza nagłówków dotyczy wiadomości odebranych na komputerze użytkownika, Warszawskie Pogotowie Komputerowe zajmuje się profesjonalną naprawą laptopów i komputerów PC, w tym diagnostyką problemów z programem pocztowym i konfiguracją konta na tym urządzeniu.