spoofing nagłówka

Spoofing nagłówka to zmiana pól technicznych wiadomości w celu ukrycia jej rzeczywistego pochodzenia.

Na czym polega spoofing nagłówka

Spoofing nagłówka polega na podaniu w technicznych polach wiadomości wartości, które nie odpowiadają jej rzeczywistemu źródłu albo przebiegowi transmisji. Najczęściej termin ten odnosi się do poczty elektronicznej, w której nadawca może umieścić w polu „From” nazwę lub adres przypominający zaufaną osobę, firmę albo usługę. Odbiorca widzi wtedy informację sugerującą określone pochodzenie wiadomości, chociaż sam wpis w nagłówku nie stanowi dowodu, że wiadomość została wysłana z serwera należącego do wskazanego nadawcy.

Wiadomość e-mail zawiera nagłówki prezentowane użytkownikowi, takie jak „From”, „To”, „Subject” i „Reply-To”, a także pola techniczne używane przez serwery pocztowe. Do tej drugiej grupy należą między innymi „Received”, „Date”, „Message-ID” oraz wyniki kontroli uwierzytelniających. Część nagłówków może zostać dodana lub zmieniona na kolejnych etapach obsługi wiadomości. Dlatego analiza pojedynczego pola, zwłaszcza „From”, nie wystarcza do ustalenia, skąd wiadomość faktycznie dotarła.

Które elementy wiadomości mogą wprowadzać w błąd

Pole „From” określa adres wyświetlany jako nadawca, ale jego obecność nie potwierdza autoryzacji wysyłki. Pole „Reply-To” może wskazywać inny adres, na który program pocztowy skieruje odpowiedź. W praktyce oszust może wykorzystać tę różnicę, aby wiadomość wyglądała na wysłaną z jednego adresu, natomiast odpowiedzi trafiały do innej skrzynki. Dodatkowo nazwa wyświetlana obok adresu może być podobna do nazwy pracownika lub organizacji, mimo że właściwa domena różni się od oczekiwanej.

Nagłówki „Received” tworzą zapis kolejnych serwerów uczestniczących w przekazywaniu poczty. Zwykle wpisy są dodawane przez serwery odbierające wiadomość, więc najnowszy wpis znajduje się zazwyczaj u góry, a starsze niżej. Nie każdy wcześniejszy wpis ma jednak taką samą wartość dowodową, ponieważ informacje dodane przed zaufaną granicą mogą być niewiarygodne. „Message-ID” służy do identyfikowania wiadomości, lecz jego format nie jest samodzielnym mechanizmem potwierdzającym tożsamość nadawcy. Również data zapisana w polu „Date” może różnić się od czasu przyjęcia wiadomości przez serwer.

Jak serwery pocztowe wykrywają fałszerstwo

Weryfikacja pochodzenia wiadomości opiera się między innymi na SPF, DKIM i DMARC. SPF pozwala właścicielowi domeny opublikować w DNS informację o tym, które adresy IP mogą wysyłać pocztę dla danej domeny. Wynik SPF dotyczy przede wszystkim domeny użytej w mechanizmie SMTP „MAIL FROM”, określanej jako adres koperty, a niekoniecznie adresu widocznego w polu „From”. Z tego powodu pomyślny wynik SPF nie zawsze oznacza, że widoczny nadawca został prawidłowo uwierzytelniony.

DKIM dodaje do wiadomości podpis kryptograficzny zapisany w nagłówku „DKIM-Signature”. Serwer odbiorcy pobiera z DNS klucz publiczny wskazany przez selektor i sprawdza, czy podpisane elementy wiadomości nie zostały zmienione oraz czy podpis pasuje do domeny podpisującej. DMARC wykorzystuje wyniki SPF i DKIM oraz sprawdza zgodność domeny uwierzytelnionej z domeną widoczną w polu „From”. W rekordzie DMARC właściciel domeny może określić politykę postępowania z wiadomościami niespełniającymi wymagań: „none”, „quarantine” albo „reject”. Są to mechanizmy ograniczające możliwość skutecznego podszywania się, ale ich skuteczność zależy od poprawnej konfiguracji domeny i serwerów.

Znaczenie dla użytkownika i diagnostyki komputera

Otrzymanie wiadomości z podejrzanym nagłówkiem nie musi oznaczać zainfekowania laptopa lub komputera. Spoofing jest techniką dotyczącą metadanych i sposobu prezentowania wiadomości, natomiast infekcja może nastąpić dopiero po uruchomieniu załącznika, kliknięciu odnośnika albo zainstalowaniu nieznanego programu. Przed wykonaniem takiej czynności warto sprawdzić pełne nagłówki, domenę nadawcy, wynik SPF, DKIM i DMARC oraz zgodność adresu „Reply-To” z oczekiwanym kontaktem. Sam wygląd wiadomości w skrzynce odbiorczej nie jest wystarczającym kryterium autentyczności.

Warszawskie Pogotowie Komputerowe zajmuje się profesjonalną naprawą laptopów, komputerów PC i podzespołów, a w ramach diagnostyki może pomóc ustalić, czy nietypowe wiadomości wynikają wyłącznie z fałszerstwa nagłówka, czy towarzyszą im objawy szkodliwego oprogramowania, takie jak nieznane procesy, przekierowania przeglądarki lub zmienione ustawienia systemu. Przy analizie incydentu należy zachować oryginalną wiadomość wraz z pełnymi nagłówkami, ponieważ przekopiowanie samej treści albo wykonanie zrzutu ekranu usuwa informacje potrzebne do odtworzenia drogi, jaką przeszła poczta.