Manipulacja nagłówkami to fałszowanie pól technicznych wiadomości w celu obejścia filtrów lub podszycia się pod nadawcę.
Na czym polega manipulacja nagłówkami wiadomości
Manipulacja nagłówkami polega na zmianie technicznych pól wiadomości e-mail albo utworzeniu ich w taki sposób, aby odbiorca, program pocztowy lub filtr uznał komunikat za pochodzący z innego źródła. Nagłówki są przekazywane razem z treścią wiadomości, ale zwykle nie są w całości widoczne w standardowym widoku skrzynki. Zawierają między innymi pola From:, To:, Subject:, Date:, Message-ID: oraz kolejne wpisy Received:, dodawane przez serwery uczestniczące w dostarczeniu poczty.
Szczególne znaczenie ma różnica między polem From: a informacjami dodawanymi przez serwery pocztowe. Pole From: może przedstawiać adres nadawcy wyświetlany użytkownikowi, lecz samo w sobie nie potwierdza, że wiadomość została wysłana przez właściciela tej domeny. Z kolei wpisy Received: opisują kolejne etapy transportu SMTP i są dopisywane przez serwery odbierające wiadomość. Zmiana widocznego nadawcy nie jest równoznaczna ze zmianą rzeczywistej trasy dostarczenia.
Pola techniczne wykorzystywane do podszywania się
W atakach typu spoofing często modyfikuje się pole From:, aby wiadomość wyglądała jak korespondencja od konkretnej osoby, firmy albo systemu automatycznego. Można również zmienić nazwę wyświetlaną obok adresu, dlatego sam tekst widoczny w skrzynce nie wystarcza do oceny autentyczności. Pole Reply-To: może natomiast wskazywać inny adres niż From:. Wtedy odpowiedź użytkownika zostanie skierowana do skrzynki kontrolowanej przez inną osobę, nawet jeśli wiadomość wizualnie przypomina zwykłą korespondencję.
Ważne są także pola związane z uwierzytelnianiem. Wynik kontroli SPF może być zapisany w nagłówku Received-SPF:, a podpis DKIM jest opisywany przez pole DKIM-Signature:. Serwer odbiorcy może dodać nagłówek Authentication-Results:, w którym zapisuje rezultat sprawdzeń SPF, DKIM i DMARC. Takie wpisy należy interpretować razem z nazwą domeny, adresem serwera oraz łańcuchem Received:. Sam napis pass w jednym mechanizmie nie dowodzi, że cała wiadomość jest bezpieczna, ponieważ poprawny podpis może dotyczyć domeny innej niż ta pokazana użytkownikowi w polu From:.
Jak rozpoznać niespójność w pełnym nagłówku
Analiza powinna zaczynać się od wyświetlenia pełnych nagłówków, a nie od oceny samego tematu lub nazwy nadawcy. Warto porównać domenę widoczną w From: z domeną używaną w podpisie DKIM, oznaczoną parametrem d=, oraz z domeną sprawdzaną przez DMARC. Należy także sprawdzić adres zapisany w parametrze Return-Path:, ponieważ może on różnić się od adresu prezentowanego odbiorcy. Różnica nie zawsze oznacza oszustwo, lecz powinna zostać wyjaśniona w kontekście sposobu wysyłki wiadomości.
Łańcuch Received: należy czytać od dołu do góry, ponieważ najniższy wpis zwykle opisuje najwcześniejszy etap widoczny dla odbiorcy, a kolejne serwery dopisują własne informacje wyżej. Podejrzane mogą być niezgodne nazwy hostów, adresy IP niepasujące do deklarowanej domeny, nietypowa kolejność serwerów albo daty odbiegające od czasu dostarczenia. Trzeba jednak pamiętać, że część nagłówków może zostać dodana przez klienta pocztowego lub pośredni system przed przekazaniem wiadomości do właściwego serwera. Dlatego wiarygodność danego pola zależy od tego, który zaufany serwer je wprowadził.
Wiadomość może zawierać również ślady przekierowania, takie jak Delivered-To:, X-Original-To: albo nagłówki charakterystyczne dla konkretnego dostawcy poczty. Nie wszystkie pola mają znaczenie diagnostyczne, a nagłówki zaczynające się od X- nie są uniwersalnym standardem i mogą być tworzone przez różne systemy. Ocena powinna więc opierać się na spójności kilku niezależnych informacji: trasy SMTP, domen uwierzytelniania, adresów IP, sygnatury DKIM oraz zgodności z polityką DMARC.
Skutki błędnej interpretacji nagłówków
Manipulacja nagłówkami może służyć do przygotowania wiadomości phishingowej, fałszywego powiadomienia o płatności albo komunikatu przypominającego korespondencję wewnętrzną. Jeżeli odbiorca ufa wyłącznie polu From:, może uznać wiadomość za autentyczną mimo braku zgodności z mechanizmami uwierzytelniania. Odwrotny błąd również jest możliwy: automatyczne oznaczenie wiadomości jako podejrzanej nie musi oznaczać, że ktoś ręcznie sfałszował nagłówki, ponieważ problemy mogą wynikać z niepełnej konfiguracji domeny, przekierowania albo użycia zewnętrznego systemu wysyłkowego.
W środowisku domowym lub biurowym bezpiecznym postępowaniem jest unikanie odpowiedzi na wiadomości, których adres nadawcy, adres odpowiedzi i wyniki uwierzytelniania są niespójne. Nie należy traktować nagłówka jako samodzielnego dowodu tożsamości osoby wysyłającej. Przydatne jest zapisanie pełnych nagłówków w oryginalnej postaci, ponieważ przekopiowanie samej treści wiadomości usuwa informacje potrzebne do późniejszej analizy. Warszawskie Pogotowie Komputerowe zajmuje się profesjonalną naprawą laptopów, komputerów PC i podzespołów, a w przypadku problemów z pocztą na takim urządzeniu analiza może obejmować ustawienia klienta pocztowego, działanie przeglądarki oraz sposób prezentowania pełnych nagłówków.
