Ocena nagłówków uwierzytelniających to sprawdzenie wyników SPF, DKIM i DMARC dla otrzymanej wiadomości.
Co zawierają nagłówki uwierzytelniające wiadomości
Ocena nagłówków e-maila polega na odczytaniu technicznych informacji dodanych przez serwery pocztowe podczas dostarczania wiadomości. Najważniejszym miejscem jest nagłówek Authentication-Results, w którym serwer odbiorcy zapisuje wyniki sprawdzenia mechanizmów SPF, DKIM i DMARC. Można w nim spotkać wartości pass, fail, softfail, neutral, temperror albo permerror. Każda z nich opisuje konkretny etap weryfikacji, ale nie stanowi samodzielnie pełnej oceny wiarygodności wiadomości.
Analiza powinna uwzględniać również nagłówki Received, ponieważ pokazują kolejne serwery przekazujące wiadomość, oraz pole Return-Path, wskazujące adres używany przy obsłudze koperty SMTP. Pole widoczne dla odbiorcy jako From może różnić się od adresu koperty. Jest to istotne, ponieważ SPF zwykle sprawdza domenę z koperty SMTP, a DMARC ocenia zgodność tej domeny z domeną zaprezentowaną w polu From. Sam wyświetlany adres nadawcy nie potwierdza więc, że wiadomość rzeczywiście pochodzi od wskazanej osoby lub organizacji.
Jak interpretować wynik SPF i adres serwera nadawcy
SPF, czyli Sender Policy Framework, wykorzystuje rekord TXT opublikowany w DNS domeny. Rekord określa, które adresy IP, nazwy hostów lub inne dozwolone mechanizmy mogą wysyłać pocztę dla danej domeny. Serwer odbiorczy porównuje adres IP bezpośredniego nadawcy SMTP z tym rekordem. Wynik pass oznacza, że adres jest dozwolony według polityki SPF. Wynik fail oznacza wyraźne odrzucenie tego adresu przez politykę, natomiast softfail zwykle wskazuje na niedopasowanie oznaczone przez właściciela domeny jako mniej stanowcze.
SPF nie chroni bezpośrednio pola From widocznego w programie pocztowym. Atakujący może wysłać wiadomość z obcą domeną w kopercie SMTP, uzyskać pozytywny wynik SPF dla własnej domeny, a jednocześnie umieścić inną domenę w widocznym polu From. Dlatego przy analizie trzeba sprawdzić domenę wskazaną przy wyniku SPF w Authentication-Results oraz porównać ją z domeną z pola From. Należy też pamiętać, że SPF opisuje uprawnienie serwera do wysyłki, a nie potwierdza integralności treści wiadomości. Przekazanie wiadomości przez pośredni serwer może zmienić adres widziany podczas kolejnej kontroli SPF i spowodować wynik negatywny mimo prawidłowego źródła pierwotnego.
Podpis DKIM, zgodność DMARC i decyzja serwera odbiorczego
DKIM, czyli DomainKeys Identified Mail, dodaje do wiadomości nagłówek DKIM-Signature. Podpis obejmuje wybrane nagłówki oraz fragment lub całość treści, a serwer odbiorczy pobiera klucz publiczny z rekordu DNS pod nazwą złożoną między innymi z selektora s i domeny d. Wynik dkim=pass oznacza, że podpis dał się zweryfikować przy użyciu opublikowanego klucza i że podpisane elementy nie zostały zmienione w sposób naruszający zastosowaną kanonikalizację. Wynik fail może wynikać z modyfikacji treści lub nagłówków, nieaktualnego klucza, błędnego selektora albo niezgodności podpisu.
DMARC łączy wynik SPF lub DKIM z domeną z pola From. Aby DMARC przeszedł, potrzebny jest pozytywny wynik SPF z odpowiednim dopasowaniem domen albo pozytywny wynik DKIM, którego domena podpisująca jest zgodna z domeną widoczną dla odbiorcy. Dopasowanie może być ścisłe albo relaksowane, zależnie od opublikowanej polityki DMARC. W nagłówkach można zobaczyć wartości dmarc=pass lub dmarc=fail, a także informację o polityce domeny, na przykład p=none, p=quarantine albo p=reject. p=none oznacza monitorowanie bez żądania odrzucania wiadomości, quarantine wskazuje na traktowanie jej jako podejrzanej, a reject wyraża żądanie odrzucenia. Polityka nie gwarantuje jednak identycznego zachowania każdego systemu, ponieważ ostateczna decyzja zależy od serwera odbiorcy i jego dodatkowych reguł antyspamowych.
Praktyczna ocena wiadomości na podstawie pełnego zestawu nagłówków
Podczas diagnostyki warto oceniać wyniki jako całość. Wiadomość z spf=pass, dkim=pass i dmarc=pass przeszła opisane mechanizmy uwierzytelniania, lecz nie jest automatycznie wolna od spamu, phishingu ani złośliwych załączników. Wiadomość może również mieć dkim=pass, ale dmarc=fail, jeśli podpis został wykonany przez domenę niezgodną z domeną w polu From. Z kolei spf=fail nie musi oznaczać fałszerstwa, jeżeli wiadomość została przekazana przez legalnego pośrednika i organizacja nie skonfigurowała poprawnie obsługi przekazywania.
Trzeba sprawdzić, czy analizowany nagłówek Authentication-Results został dodany przez zaufany serwer odbiorczy. Obcy nadawca może dopisać własny nagłówek o takiej samej nazwie, dlatego liczy się położenie nagłówków w pełnym zapisie wiadomości oraz domena serwera, który przedstawił wynik. Warto zestawić wynik DMARC z łańcuchem Received, adresem IP serwera wysyłającego, czasem dostarczenia i nazwą domeny używaną w podpisie DKIM. Jeżeli wyniki są niespójne, należy zachować oryginalną wiadomość w formacie źródłowym, ponieważ kopiowanie jej treści do nowej wiadomości usuwa część informacji potrzebnych do weryfikacji. Warszawskie Pogotowie Komputerowe zajmuje się profesjonalną naprawą laptopów, komputerów PC i ich podzespołów, w tym problemami z konfiguracją programów pocztowych oraz odczytem pełnych nagłówków wiadomości.
