spoofing a SMTP

Spoofing w protokole SMTP polega na wysłaniu wiadomości z fałszywym adresem nadawcy bez weryfikacji przez sam protokół.

Na czym polega spoofing a SMTP

Spoofing a SMTP oznacza wykorzystanie właściwości protokołu SMTP do wysłania wiadomości z adresem nadawcy, który nie musi odpowiadać rzeczywistej tożsamości osoby lub systemu wysyłającego. W podstawowym przebiegu sesji SMTP klient przekazuje między innymi polecenie MAIL FROM, określające adres kopertowy używany przez serwer do obsługi dostarczenia i zwrotek. Sam protokół SMTP nie zapewnia jednak automatycznej, uniwersalnej weryfikacji, czy nadawca ma prawo posługiwać się daną domeną.

Trzeba odróżnić adres kopertowy od pola From: widocznego w nagłówkach wiadomości. Adres kopertowy może służyć do kierowania komunikatów o niedostarczeniu, natomiast pole From: opisuje nadawcę prezentowanego użytkownikowi w programie pocztowym. Te wartości mogą się różnić, a dodatkowo wiadomość może zawierać inne pola, takie jak Reply-To:. Z tego powodu sam wygląd nadawcy w skrzynce odbiorczej nie jest wystarczającym dowodem autentyczności wiadomości.

Różnica między podszyciem a uwierzytelnieniem poczty

Współczesna poczta elektroniczna korzysta z mechanizmów uzupełniających SMTP. SPF, czyli Sender Policy Framework, pozwala opublikować w rekordzie DNS typu TXT listę serwerów lub adresów IP uprawnionych do wysyłania poczty w imieniu domeny. Serwer odbiorcy porównuje adres IP połączenia z tą polityką. Wynik SPF dotyczy przede wszystkim adresu kopertowego, a niekoniecznie domeny widocznej w polu From:.

DKIM, czyli DomainKeys Identified Mail, dodaje do wiadomości podpis kryptograficzny zapisany w nagłówku DKIM-Signature. Serwer odbiorcy pobiera klucz publiczny z DNS domeny wskazanej w podpisie i sprawdza, czy wybrane nagłówki oraz treść wiadomości nie zostały zmienione po podpisaniu. DMARC łączy wyniki SPF i DKIM z domeną prezentowaną w polu From:. Określa także politykę postępowania z wiadomościami, które nie przechodzą kontroli, na przykład pozostawienie ich w skrzynce, oznaczenie jako spam albo odrzucenie. Brak tych mechanizmów lub ich nieprawidłowa konfiguracja zwiększa ryzyko, że wiadomość z podrobionym nadawcą zostanie potraktowana jako wiarygodna.

Jak rozpoznać ślady fałszywego nadawcy

Analiza podejrzanej wiadomości powinna obejmować pełne nagłówki, a nie tylko nazwę nadawcy wyświetlaną w interfejsie programu pocztowego. Warto porównać pola From:, Return-Path: oraz wyniki kontroli zapisane w nagłówku Authentication-Results:. Należy także sprawdzić łańcuch pól Received:, ponieważ pokazuje on kolejne serwery uczestniczące w przekazywaniu wiadomości. Pojedynczy nagłówek można sfałszować, ale spójność całego łańcucha i zgodność z rzeczywistą infrastrukturą nadawcy są trudniejsze do utrzymania.

Wynik SPF określony jako pass nie oznacza automatycznie, że osoba wskazana w polu From: rzeczywiście wysłała wiadomość. Podobnie pozytywny wynik DKIM potwierdza poprawność podpisu dla określonej domeny i zakresu podpisanych danych, lecz nie rozstrzyga samodzielnie, czy treść jest bezpieczna. Istotne jest również, czy domena uwierzytelniona przez SPF lub DKIM jest zgodna z domeną widoczną dla odbiorcy. Należy zachować ostrożność przy wiadomościach nakłaniających do otwarcia załącznika, podania hasła, wykonania przelewu albo pilnej zmiany ustawień konta, nawet gdy część kontroli technicznych zakończyła się powodzeniem.

Znaczenie konfiguracji klienta i komputera

Bezpośredni spoofing nie musi oznaczać infekcji laptopa lub komputera. Wiadomość mogła zostać wygenerowana przez zewnętrzny system, błędnie skonfigurowany serwer albo infrastrukturę przejętą przez osobę nieuprawnioną. Z drugiej strony zainfekowany komputer może służyć do kradzieży danych logowania do poczty, wysyłania wiadomości przez prawidłowo uwierzytelnione konto lub modyfikowania treści przed wysłaniem. W takim przypadku samo sprawdzenie adresu nadawcy nie wystarcza do ustalenia źródła problemu.

Na komputerze użytkownika warto sprawdzić, czy podejrzana wiadomość została otwarta, czy uruchomiono załącznik oraz czy podano dane na stronie otwartej z odnośnika. Znaczenie mają także aktualność systemu, przeglądarki i programu pocztowego oraz obecność nieznanych rozszerzeń lub aplikacji. Warszawskie Pogotowie Komputerowe zajmuje się profesjonalną naprawą laptopów, komputerów PC i ich podzespołów, dlatego w przypadku podejrzenia, że problem z pocztą wynika z nieprawidłowego działania komputera, można zlecić diagnostykę urządzenia. Sama ocena nagłówków wiadomości i polityk SPF, DKIM lub DMARC wymaga natomiast dostępu do konfiguracji domeny oraz infrastruktury pocztowej.