polityka antyspoofingowa

Polityka antyspoofingowa to reguły blokujące wiadomości podszywające się pod własną domenę organizacji.

Na czym polega podszywanie się pod domenę

Polityka antyspoofingowa dotyczy ochrony poczty elektronicznej przed wiadomościami, w których nadawca próbuje wykorzystać nazwę domeny organizacji bez jej zgody. Atakujący może ustawić w polu „From” adres przypominający prawdziwy adres firmy, banku albo użytkownika, mimo że wiadomość została wysłana z obcej infrastruktury. Sam wygląd adresu w programie pocztowym nie potwierdza jego autentyczności, ponieważ widoczna domena nadawcy jest oddzielona od informacji technicznych używanych podczas dostarczania wiadomości.

W praktyce polityka antyspoofingowa określa, jakie serwery mogą wysyłać pocztę w imieniu danej domeny, jak odbiorca ma sprawdzać podpis wiadomości oraz co zrobić, gdy kontrola zakończy się niepowodzeniem. Reguły mogą obejmować pocztę przychodzącą i wychodzącą, ale najczęściej są wdrażane przez rekordy DNS oraz ustawienia bramek pocztowych. Ich celem jest ograniczenie fałszywych wiadomości, a nie całkowite zagwarantowanie, że każda wiadomość od prawidłowej domeny pochodzi od konkretnej osoby.

SPF, DKIM i DMARC jako warstwy kontroli

Podstawowym elementem jest SPF, opisany w RFC 7208. W rekordzie TXT domena wskazuje dozwolone adresy IP, zakresy sieci albo mechanizmy identyfikujące serwery uprawnione do wysyłki. Serwer odbiorcy porównuje adres IP łączącego się nadawcy z rekordem SPF dla domeny użytej w kopercie SMTP, czyli w wartości przekazanej podczas komendy MAIL FROM. Wynik może być między innymi „pass”, „fail”, „softfail”, „neutral” albo „none”. SPF nie podpisuje treści wiadomości i nie sprawdza bezpośrednio widocznego pola „From”.

DKIM, opisany w RFC 6376, dodaje do wiadomości podpis kryptograficzny. Nadawca umieszcza w nagłówku DKIM-Signature między innymi identyfikator domeny podpisującej, selektor oraz skrót wybranych nagłówków i treści. Odbiorca pobiera klucz publiczny z rekordu TXT pod nazwą złożoną z selektora i domeny, a następnie sprawdza, czy podpis pasuje do odebranych danych. Pomyślny wynik DKIM potwierdza integralność podpisanych elementów oraz posiadanie przez nadawcę klucza prywatnego, lecz sam w sobie nie rozstrzyga, czy domena podpisująca jest tą samą domeną, którą widzi użytkownik.

DMARC, opisany w RFC 7489, łączy kontrolę SPF lub DKIM z dopasowaniem domeny widocznej w polu „From”. Domena może opublikować rekord TXT pod nazwą „_dmarc.domena”, wskazując między innymi politykę „p=none”, „p=quarantine” albo „p=reject”. DMARC przechodzi wtedy, gdy SPF z odpowiednim dopasowaniem domeny albo DKIM z odpowiednim dopasowaniem domeny zakończy się powodzeniem. Parametr „p=none” służy głównie do obserwacji, „quarantine” sugeruje traktowanie niespełniających wymagań wiadomości jako podejrzanych, a „reject” żąda od odbiorcy odrzucenia takich wiadomości, choć końcowe zachowanie zależy od serwera odbiorczego.

Dlaczego sama publikacja rekordu nie wystarcza

Wdrożenie polityki antyspoofingowej wymaga najpierw ustalenia wszystkich legalnych źródeł wysyłki. Trzeba uwzględnić nie tylko główną usługę pocztową, lecz także systemy powiadomień, formularze kontaktowe, platformy fakturowe, narzędzia do wysyłki biuletynów i urządzenia wielofunkcyjne wysyłające skany. Pominięcie jednego z tych źródeł może spowodować, że prawidłowe wiadomości zaczną otrzymywać wynik SPF lub DKIM „fail”, a po zaostrzeniu DMARC będą oznaczane jako podejrzane albo odrzucane.

Istotne jest również rozróżnienie domeny koperty SMTP od domeny w polu „From”. Przekazywanie poczty przez inne serwery może zmienić adres używany w kopercie albo naruszyć kontrolę SPF, ponieważ odbiorca widzi wtedy adres serwera przekazującego. DKIM zwykle lepiej zachowuje się przy przekazywaniu, o ile pośredni system nie zmieni podpisanych nagłówków lub treści. Z tego powodu przed ustawieniem „p=reject” analizuje się raporty DMARC i sprawdza, czy wyniki uwierzytelniania są zgodne z rzeczywistym ruchem organizacji.

Polityka powinna określać także sposób obsługi raportów. DMARC może przekazywać raporty zbiorcze o wynikach kontroli do adresu wskazanego parametrem „rua”. Raporty pokazują między innymi źródła wysyłki, liczbę wiadomości i wyniki SPF oraz DKIM, ale nie są pełnym zapisem treści korespondencji. Administrator może na ich podstawie wykryć błędną konfigurację, nieznaną usługę wysyłającą pocztę albo próbę masowego podszywania się pod domenę.

Rozpoznawanie problemu na laptopie i komputerze

Na komputerze użytkownika objawem spoofingu może być wiadomość wyglądająca jak korespondencja od znanej firmy, mimo że nie została wysłana z jej autoryzowanej infrastruktury. Przy analizie należy sprawdzić pełne nagłówki, a nie tylko nazwę nadawcy wyświetlaną przez program pocztowy. Szczególnie przydatne są pola „Authentication-Results”, „Return-Path”, „Received”, „DKIM-Signature” oraz informacje o zgodności domeny z polem „From”. Sama obecność adresu w polu „Reply-To” również nie dowodzi autentyczności wiadomości, a inny adres odpowiedzi powinien zwiększyć ostrożność.

Jeżeli wiadomości od własnej firmy trafiają do spamu albo nie docierają, przyczyną może być niepełny rekord SPF, brak podpisu DKIM, niezgodność domen albo zbyt restrykcyjna polityka DMARC. Warto porównać nagłówki wiadomości dostarczonej poprawnie z nagłówkami wiadomości odrzuconej i sprawdzić dokładny komunikat serwera odbiorczego. Nie należy dodawać podejrzanego nadawcy do wyjątków tylko dlatego, że widoczna nazwa jest znajoma. Warszawskie Pogotowie Komputerowe zajmuje się profesjonalną naprawą laptopów, komputerów PC i podzespołów, a podczas diagnostyki stanowiska może pomóc ocenić działanie programu pocztowego, przeglądarki oraz lokalnych filtrów, bez zastępowania konfiguracji polityki domenowej po stronie dostawcy poczty.