IP nadawcy

IP nadawcy to adres sieciowy serwera, z którego wysłano wiadomość — kluczowy element weryfikacji jej wiarygodności.

Adres IP nadawcy w nagłówkach wiadomości

IP nadawcy to adres protokołu internetowego przypisany urządzeniu lub serwerowi, który przekazał wiadomość do kolejnego elementu infrastruktury pocztowej. W praktyce określenie to może oznaczać kilka różnych adresów widocznych w technicznych nagłówkach wiadomości. Najczęściej analizuje się wpisy Received:, ponieważ każdy serwer obsługujący pocztę powinien dopisać własny wpis opisujący odebrane połączenie, jego źródło oraz czas przekazania wiadomości. Nagłówki są odczytywane od dołu do góry, ale zaufanie do poszczególnych wierszy zależy od tego, który serwer je dodał.

Adres IPv4 ma postać czterech liczb dziesiętnych oddzielonych kropkami, na przykład 203.0.113.25, natomiast adres IPv6 jest zapisywany jako grupy wartości szesnastkowych, na przykład 2001:db8::25. Zakres 203.0.113.0/24 oraz prefiks 2001:db8::/32 są przeznaczone do dokumentacji i przykładów, dlatego nie oznaczają rzeczywistych nadawców. W realnej wiadomości może wystąpić adres publiczny serwera pocztowego, adres urządzenia pośredniczącego albo adres systemu dostawcy poczty.

Jak odczytywać wpisy Received

Wiersz Received: zwykle zawiera nazwę hosta, adres IP, identyfikator połączenia oraz znacznik czasu. Przykładowy zapis może informować, że serwer odbiorcy przyjął wiadomość od hosta o określonym adresie IP. Warto sprawdzić, czy nazwa domenowa i adres są ze sobą zgodne, ale sama zgodność odwrotnego wyszukiwania DNS nie dowodzi autentyczności nadawcy. Rekord PTR może wskazywać nazwę hosta przypisaną do adresu, jednak jego obecność lub brak jest tylko jednym z elementów analizy.

Najbardziej wiarygodne są wpisy dodane przez serwery znajdujące się w zaufanej części łańcucha dostarczania poczty. Nadawca może bowiem przesłać własny, fałszywy nagłówek Received:, zanim wiadomość trafi do pierwszego zaufanego serwera. Taki wpis może wyglądać technicznie poprawnie, lecz nie stanowi niezależnego dowodu. Dlatego nie należy utożsamiać pierwszego adresu widocznego w nagłówku z fizycznym adresem komputera osoby, która napisała wiadomość. Po drodze mogą działać bramy pocztowe, filtry antyspamowe, serwery przekazujące oraz usługi pośredniczące.

Weryfikacja adresu przez SPF, DKIM i DMARC

Sam adres IP nie wystarcza do potwierdzenia, że wiadomość rzeczywiście pochodzi od deklarowanej domeny. Mechanizm SPF (Sender Policy Framework) pozwala domenie opublikować w DNS rekord TXT określający, które adresy IP mogą wysyłać pocztę w jej imieniu. Serwer odbiorcy porównuje adres klienta SMTP z polityką SPF dla domeny użytej w kopercie pocztowej, czyli w parametrze MAIL FROM. Wynik może być między innymi pass, fail, softfail, neutral albo none. SPF nie potwierdza jednak tożsamości osoby obsługującej skrzynkę i nie zabezpiecza bezpośrednio pola From:.

DKIM (DomainKeys Identified Mail) dodaje do wiadomości podpis kryptograficzny. Serwer odbiorcy pobiera klucz publiczny z rekordu DNS domeny wskazanej przez selektor DKIM i sprawdza, czy podpis odpowiada treści oraz wybranym nagłówkom. Pomyślna walidacja DKIM oznacza, że podpisana część wiadomości nie została zmieniona po podpisaniu i że klucz należy do domeny publikującej rekord. DMARC (Domain-based Message Authentication, Reporting, and Conformance) łączy ocenę SPF i DKIM z wymaganiem zgodności domeny z polem From:. Polityka DMARC może określać reakcję na niezgodność, na przykład none, quarantine lub reject.

Znaczenie IP nadawcy podczas analizy wiadomości

Analiza IP nadawcy jest przydatna przy rozpoznawaniu źródła technicznego wiadomości, lecz wymaga uwzględnienia całego kontekstu. Adres może należeć do legalnego dostawcy poczty, hostingu, bramy firmowej albo sieci operatora. Może też być współdzielony przez wielu użytkowników, dlatego sam adres nie identyfikuje jednoznacznie konkretnej osoby ani urządzenia. W sieciach domowych dodatkowym pośrednikiem jest translacja adresów NAT, która powoduje, że wiele urządzeń korzysta z jednego publicznego adresu IPv4. W przypadku IPv6 urządzenie może otrzymać publiczny adres, ale jego znaczenie nadal zależy od konfiguracji sieci i sposobu przekazania wiadomości.

Podczas diagnostyki warto zachować pełne nagłówki wiadomości, sprawdzić kolejność serwerów w polach Received:, porównać wynik SPF z adresem serwera, zweryfikować podpis DKIM oraz odczytać politykę DMARC domeny. Przydatne bywają również zapytania DNS, takie jak wyszukiwanie rekordu PTR dla adresu IP, jednak wynik trzeba traktować jako informację pomocniczą. Należy uważać na adresy prywatne, takie jak zakresy IPv4 10.0.0.0/8, 172.16.0.0/12 i 192.168.0.0/16, ponieważ nie są routowane bezpośrednio w publicznym Internecie. Warszawskie Pogotowie Komputerowe zajmuje się profesjonalną naprawą laptopów, komputerów PC i ich podzespołów, w tym diagnostyką problemów z konfiguracją sieciową oraz obsługą oprogramowania pocztowego na komputerach użytkowych.