SMTP VRFY to polecenie sprawdzające istnienie adresu na serwerze, dziś zwykle wyłączone ze względów bezpieczeństwa.
Jak działa polecenie VRFY w SMTP
SMTP VRFY jest poleceniem protokołu Simple Mail Transfer Protocol używanym do sprawdzenia, czy serwer rozpoznaje wskazaną skrzynkę pocztową lub użytkownika. Klient SMTP przekazuje polecenie w postaci VRFY nazwa, gdzie argumentem może być adres pocztowy, lokalna nazwa użytkownika albo inna forma identyfikatora akceptowana przez dany serwer. Serwer analizuje tę wartość i zwraca odpowiedź numeryczną oraz opcjonalny tekst opisowy.
W klasycznym scenariuszu pozytywna odpowiedź może mieć kod 250, wskazujący, że żądany użytkownik istnieje i został poprawnie rozpoznany. Kod 251 oznacza możliwość przekazania informacji o użytkowniku na innym adresie, natomiast 252 informuje, że serwer nie może potwierdzić użytkownika, ale przyjmie wiadomość i spróbuje ją dostarczyć. Odpowiedzi z zakresu 5xx, na przykład 550 lub 553, sygnalizują odrzucenie żądania, brak użytkownika albo niedozwolony format argumentu.
VRFY a EXPN i zwykła próba wysyłki
VRFY nie służy do wysyłania wiadomości i nie zastępuje poleceń MAIL FROM, RCPT TO oraz DATA. Jego zadaniem jest uzyskanie odpowiedzi o rozpoznawalności adresata na etapie rozmowy SMTP. Jest to różnica istotna diagnostycznie: serwer może udzielić odpowiedzi na VRFY, ale później odrzucić wiadomość z powodu polityki antyspamowej, braku autoryzacji, ograniczeń domeny lub niedozwolonego nadawcy.
Podobnym, lecz odrębnym poleceniem jest EXPN. Zostało ono przeznaczone do rozwijania list dystrybucyjnych lub aliasów, dlatego może ujawniać więcej informacji niż pojedyncze sprawdzenie nazwy użytkownika. Współczesne serwery pocztowe często ograniczają albo wyłączają oba polecenia, ale decyzja dotycząca VRFY i EXPN może być niezależna. Nie można więc zakładać, że zablokowanie jednego z nich automatycznie oznacza zablokowanie drugiego.
Dlaczego serwery ograniczają odpowiedzi VRFY
Najważniejszym powodem ograniczania VRFY jest możliwość wykorzystania go do enumeracji kont. Osoba wykonująca wiele zapytań może porównywać kody odpowiedzi, komunikaty tekstowe albo czas odpowiedzi i na tej podstawie ustalać, które nazwy użytkowników są obsługiwane przez daną domenę. Tak zebrana lista może później służyć do kierowania spamu, prób wyłudzania informacji lub ataków na konta. Samo polecenie nie wykonuje logowania ani nie ujawnia hasła, ale może dostarczać informacji pomocnych w dalszych działaniach.
Typową reakcją serwera jest zwracanie kodu 502 oznaczającego, że polecenie nie jest zaimplementowane, albo ujednolicanie odpowiedzi tak, aby nie dało się łatwo odróżnić istniejącego adresu od nieistniejącego. Niektóre konfiguracje pozwalają na VRFY wyłącznie po uwierzytelnieniu klienta, z określonego adresu sieciowego lub w ramach lokalnej komunikacji między komponentami pocztowymi. Warto pamiętać, że obecność komendy na liście możliwości serwera nie oznacza jeszcze, że każde zapytanie zakończy się ujawnieniem istnienia skrzynki. Serwer może reklamować obsługę polecenia, a następnie stosować ograniczenia wynikające z konfiguracji.
Sprawdzanie zachowania VRFY w diagnostyce SMTP
Analizę można rozpocząć od odczytania odpowiedzi na polecenie EHLO lub HELO, a następnie od wysłania kontrolowanego zapytania VRFY w sesji testowej. Do obserwacji rozmowy SMTP stosuje się narzędzia diagnostyczne umożliwiające połączenie z właściwym portem i zapis odpowiedzi serwera. W środowisku produkcyjnym należy używać wyłącznie adresów oraz kont, do których istnieje uprawnienie testowe, ponieważ masowe odpytywanie może zostać uznane za skanowanie lub próbę enumeracji.
Interpretacja wyniku wymaga porównania kilku elementów: kodu odpowiedzi, pełnego tekstu komunikatu, reakcji na poprawny i celowo nieistniejący adres oraz tego, czy sesja odbywa się przed czy po uwierzytelnieniu. Różne odpowiedzi dla obu przypadków mogą wskazywać na ujawnianie informacji o kontach, natomiast identyczna odpowiedź odmowna nie dowodzi, że wskazany adres istnieje. Jeżeli klient pocztowy zgłasza problem z dostarczeniem wiadomości, wynik VRFY nie powinien być traktowany jako ostateczny test poprawności skrzynki. O dostarczeniu decydują również rekordy DNS dla poczty, połączenie z serwerem odbiorcy, uwierzytelnianie, limity oraz reguły filtrowania.
