spoofing adresu Envelope-From

Spoofing adresu Envelope-From polega na podaniu innego adresu w kopercie SMTP niż widoczny w nagłówku From.

Jak działa spoofing adresu Envelope-From w SMTP

Spoofing adresu Envelope-From polega na użyciu innego adresu nadawcy w kopercie SMTP niż adres pokazany odbiorcy w nagłówku From: wiadomości. Koperta SMTP jest tworzona podczas transmisji między serwerami pocztowymi. Jej adres nadawcy jest przekazywany w komendzie MAIL FROM i służy przede wszystkim do obsługi zwrotek, błędów dostarczenia oraz mechanizmów uwierzytelniania poczty. Nagłówek From: należy natomiast do treści wiadomości i jest zwykle wyświetlany w programie pocztowym jako nadawca.

Przykładowo, serwer może otrzymać wiadomość z komendą MAIL FROM:<Ten adres pocztowy jest chroniony przed spamowaniem. Aby go zobaczyć, konieczne jest włączenie w przeglądarce obsługi JavaScript.>, podczas gdy w jej treści znajdzie się nagłówek From: Bank <Ten adres pocztowy jest chroniony przed spamowaniem. Aby go zobaczyć, konieczne jest włączenie w przeglądarce obsługi JavaScript.>. Sam fakt występowania dwóch różnych adresów nie oznacza jeszcze włamania na konto ani przejęcia serwera. Protokół SMTP historycznie pozwalał nadawcy przedstawić te wartości bez silnego potwierdzenia tożsamości. Dlatego ocena wiadomości wymaga sprawdzenia wyników uwierzytelniania, trasy dostarczenia i zgodności domen, a nie tylko porównania nazwy widocznej w skrzynce.

Envelope-From, Return-Path i widoczny nadawca

Adres przekazany w MAIL FROM jest nazywany adresem kopertowym, adresem reverse-path albo adresem nadawcy koperty. Po dostarczeniu wiadomości serwer odbiorcy może zapisać go w nagłówku Return-Path:. Ten nagłówek nie jest tym samym co From: i nie powinien być traktowany jako alternatywna nazwa nadawcy widoczna dla użytkownika. Jeżeli dostarczenie się nie powiedzie, serwer wykorzystuje reverse-path do skierowania komunikatu o niedostarczeniu.

W praktyce można spotkać także nagłówek Sender:, który wskazuje podmiot technicznie wysyłający wiadomość w imieniu autora określonego w From:. Dodatkowo nagłówki Reply-To: mogą zmienić adres używany po wybraniu opcji „Odpowiedz”. Z tego powodu analiza podejrzanej wiadomości powinna obejmować pełne nagłówki: From:, Return-Path:, Reply-To:, wszystkie pola Received: oraz wyniki kontroli SPF, DKIM i DMARC. Sama nazwa wyświetlona w interfejsie programu pocztowego jest niewystarczającym dowodem pochodzenia.

Co sprawdzają SPF, DKIM i DMARC

SPF porównuje serwer, który nawiązał połączenie z serwerem odbiorcy, z rekordem SPF opublikowanym dla domeny użytej w adresie Envelope-From. Mechanizm ten może więc potwierdzić albo odrzucić uprawnienie konkretnego adresu IP do wysyłania poczty dla danej domeny. SPF nie zabezpiecza jednak bezpośrednio wyświetlanego nagłówka From:. Wiadomość może przejść SPF dla jednej domeny koperty, a jednocześnie prezentować w From: inną domenę.

DKIM dodaje do wiadomości podpis kryptograficzny obejmujący wybrane nagłówki i część treści. Serwer odbiorcy pobiera klucz publiczny z rekordu DNS domeny wskazanej w parametrze d= i sprawdza, czy podpis jest poprawny oraz czy wiadomość nie została zmieniona w zakresie objętym podpisem. DMARC łączy wyniki SPF i DKIM z domeną widoczną w From:. Wymaga tak zwanego dopasowania domen, czyli alignmentu, zgodnie z trybem ścisłym albo relaksowanym. Polityka DMARC może określać reakcję na brak zgodności: p=none służy do monitorowania, p=quarantine sugeruje umieszczenie wiadomości w kwarantannie, a p=reject zaleca odrzucenie.

Wynik kontroli może być mylący, gdy wiadomość przechodzi SPF albo DKIM, lecz nie przechodzi wymaganego dopasowania DMARC. Przyczyną legalnych rozbieżności bywają zewnętrzne systemy wysyłkowe, przekierowania i listy mailingowe. Z kolei poprawny wynik uwierzytelniania nie gwarantuje, że treść jest bezpieczna, ponieważ napastnik może wysyłać wiadomości z własnej, poprawnie skonfigurowanej domeny. Należy więc łączyć dane z nagłówków z oceną linków, załączników, domeny docelowej i oczekiwanego kontekstu wiadomości.

Znaczenie rozbieżności dla użytkownika komputera

Rozbieżność między Envelope-From a From: może pojawić się w legalnej korespondencji, na przykład gdy system powiadomień używa osobnego adresu do obsługi zwrotek. Staje się sygnałem ostrzegawczym, gdy wiadomość podszywa się pod bank, sklep, operatora płatności lub współpracownika, a jej wyniki DMARC są negatywne albo domeny nie są ze sobą logicznie powiązane. W takiej sytuacji nie należy odpowiadać przez opcję „Odpowiedz”, otwierać załączników ani logować się przez link z wiadomości. Adres strony powinien zostać wpisany ręcznie albo zweryfikowany w niezależnym źródle.

Na komputerze warto zachować oryginalną wiadomość wraz z pełnymi nagłówkami, ponieważ przeklejenie samego tematu i widocznego nadawcy usuwa najważniejsze informacje diagnostyczne. Program antywirusowy i filtr antyspamowy mogą oznaczyć wiadomość, ale ich brak ostrzeżenia nie potwierdza autentyczności. Warszawskie Pogotowie Komputerowe zajmuje się profesjonalną naprawą laptopów, komputerów PC oraz podzespołów, a przy podejrzeniu infekcji może sprawdzić system, przeglądarkę, rozszerzenia i programy uruchamiane wraz ze startem systemu.

Jeżeli użytkownik podał dane logowania na stronie otwartej z podejrzanej wiadomości, powinien niezwłocznie zmienić hasło z zaufanego urządzenia, wylogować aktywne sesje i włączyć uwierzytelnianie wieloskładnikowe, o ile dostawca je oferuje. Gdy uruchomiono załącznik lub instalator, potrzebna jest kontrola procesów, autostartu, zadań zaplanowanych oraz bieżących skanów bezpieczeństwa. Spoofing adresu Envelope-From dotyczy sposobu identyfikacji nadawcy w poczcie; nie jest sam w sobie dowodem, że komputer odbiorcy został zainfekowany.