Porównanie koperty i nagłówków wiadomości ujawnia rozbieżność adresu technicznego z wyświetlanym nadawcą.
Envelope SMTP a nagłówki wiadomości
W poczcie elektronicznej „Envelope”, czyli koperta SMTP, jest zestawem informacji przekazywanych między serwerami podczas transportu wiadomości. Najważniejsze elementy koperty to adres nadawcy podany w komendzie MAIL FROM oraz adresy odbiorców przekazane w komendach RCPT TO. Dane te służą serwerom pocztowym do obsługi dostarczenia, zwrotów i komunikatów o błędach. Nie muszą być identyczne z adresami widocznymi później w treści wiadomości.
Nagłówki są natomiast częścią samej wiadomości zapisanej w formacie opisanym przez RFC 5322. Pole From: wskazuje nadawcę prezentowanego odbiorcy, a To: opisuje zamierzonych adresatów wyświetlanych w kliencie pocztowym. Te pola mogą zostać ustawione przez aplikację wysyłającą i same w sobie nie dowodzą, że wiadomość rzeczywiście została wysłana z serwera należącego do wskazanej domeny. Z punktu widzenia transportu SMTP serwer początkowo korzysta z danych koperty, a nie z wartości widocznych w polu From:.
Jak powstaje rozbieżność adresu
Przykładowa wiadomość może mieć kopertowego nadawcę MAIL FROM:<Ten adres pocztowy jest chroniony przed spamowaniem. Aby go zobaczyć, konieczne jest włączenie w przeglądarce obsługi JavaScript.>, natomiast w nagłówku From: może prezentować adres Ten adres pocztowy jest chroniony przed spamowaniem. Aby go zobaczyć, konieczne jest włączenie w przeglądarce obsługi JavaScript.. Serwer odbiorcy używa pierwszego adresu do kierowania zwrotów, takich jak niedostarczenie wiadomości, a program pocztowy zwykle pokazuje użytkownikowi drugi adres. Podobnie lista adresów z komend RCPT TO może obejmować odbiorców niewidocznych w polu To:, na przykład adresatów ukrytych przez mechanizm kopii ukrytej.
Po pomyślnym dostarczeniu wiadomości do skrzynki serwer końcowy może dodać nagłówek Return-Path: zawierający adres kopertowego nadawcy. Nie jest to zwykle pole ustalane dowolnie przez autora wiadomości w taki sam sposób jak From:; jego wartość wynika z informacji transportowej zapisanej podczas dostarczenia. W nagłówkach znajdują się również pola Received:, dodawane przez kolejne serwery. Ich kolejność należy analizować od dołu do góry, ponieważ każda następna warstwa transportu dopisuje własny wpis na początku nagłówków.
Weryfikacja nadawcy i interpretacja wyników
Sama różnica między kopertą a nagłówkiem nie oznacza automatycznie ataku. Wysyłanie wiadomości z adresem kopertowym przeznaczonym do obsługi zwrotów jest normalne w biuletynach, systemach powiadomień i usługach transakcyjnych. Problem pojawia się wtedy, gdy adres wyświetlany w From: sugeruje zaufaną domenę, a pozostałe dane wskazują na obce źródło lub nie przechodzą kontroli autentyczności. Dlatego analizuje się równocześnie kopertę, łańcuch Received:, wynik SPF, podpis DKIM oraz politykę DMARC.
SPF porównuje domenę używaną w kopercie, zwykle domenę adresu z MAIL FROM, z adresem IP serwera wysyłającego i rekordem SPF tej domeny. DKIM podpisuje wybrane nagłówki oraz część treści wiadomości, a wynik weryfikacji zawiera domenę podpisującego w parametrze d=. DMARC sprawdza dodatkowo zgodność domeny uwierzytelnionej przez SPF lub DKIM z domeną widoczną w From:. W raporcie lub pełnych nagłówkach warto więc odróżnić „smtp.mailfrom”, domenę DKIM i „header.from”, zamiast traktować wszystkie jako jeden adres.
Praktyczne sprawdzenie w kliencie pocztowym
Do analizy należy otworzyć pełne źródło wiadomości albo widok oryginalnych nagłówków, a nie tylko skrócony podgląd tematu i nadawcy. Warto odszukać pola From:, To:, Return-Path:, wszystkie wpisy Received: oraz nagłówek Authentication-Results:. W tym ostatnim serwer może zapisać wyniki testów SPF, DKIM i DMARC, na przykład wartości pass, fail, softfail albo none. Interpretacja wymaga uwzględnienia tego, który serwer dodał dany wpis i czy wiadomość była przekazywana dalej.
Na komputerze problem może być widoczny jako ostrzeżenie o niezgodnym nadawcy, wiadomość trafiająca do spamu albo nieoczekiwane zwroty kierowane na inny adres niż ten pokazany w aplikacji. Przy diagnostyce trzeba sprawdzić konfigurację konta pocztowego, ustawiony adres odpowiedzi oraz źródło wiadomości zapisane przez serwer. Warszawskie Pogotowie Komputerowe zajmuje się profesjonalną naprawą laptopów i komputerów PC, w tym diagnozowaniem problemów z klientami pocztowymi, ich konfiguracją oraz odczytem technicznych informacji potrzebnych do ustalenia przyczyny błędnego wyświetlania nadawcy.
