spoofing przez alias catch-all

Spoofing przez alias catch-all wykorzystuje domenę przyjmującą wszystkie adresy do podszycia się pod dowolnego nadawcę.

Jak działa spoofing przy adresie catch-all

Spoofing przez alias catch-all polega na połączeniu dwóch odrębnych mechanizmów poczty elektronicznej. Pierwszym jest alias lub skrzynka typu catch-all, czyli konfiguracja domeny, w której wiadomości kierowane do wielu, a czasem wszystkich nieistniejących adresów przed znakiem „@” są przyjmowane przez jeden wskazany adres. Drugim jest spoofing, czyli sfałszowanie informacji o nadawcy widocznej w wiadomości. Nadawca może więc wpisać w polu „From:” dowolny adres w domenie przyjmującej pocztę, nawet jeśli nie ma do niego osobnej skrzynki.

Wiadomość może wyglądać na wysłaną z adresu takiego jak Ten adres pocztowy jest chroniony przed spamowaniem. Aby go zobaczyć, konieczne jest włączenie w przeglądarce obsługi JavaScript., Ten adres pocztowy jest chroniony przed spamowaniem. Aby go zobaczyć, konieczne jest włączenie w przeglądarce obsługi JavaScript. albo Ten adres pocztowy jest chroniony przed spamowaniem. Aby go zobaczyć, konieczne jest włączenie w przeglądarce obsługi JavaScript., mimo że rzeczywisty system wysyłający nie ma prawa do korzystania z tych nazw. Catch-all nie tworzy jednak uprawnienia do wysyłania poczty. Jego rola polega na przyjmowaniu wiadomości kierowanych do wielu nazw. Problem pojawia się wtedy, gdy odbiorca lub filtr interpretuje samą obecność domeny i znajomość adresu jako dowód autentyczności nadawcy.

Różnica między polem From, nadawcą SMTP i adresem odpowiedzi

Podczas analizy wiadomości trzeba rozróżnić adres prezentowany użytkownikowi od adresów używanych w transporcie SMTP. Pole nagłówka From: określa nadawcę widocznego w programie pocztowym i może zostać sfałszowane. W kopercie SMTP występuje natomiast adres nadawcy używany między serwerami, często nazywany adresem envelope-from lub adresem zwrotnym. To na niego mogą trafiać komunikaty o niedostarczeniu. Dodatkowo nagłówek Reply-To: może wskazywać inną skrzynkę, do której program pocztowy skieruje odpowiedź po kliknięciu „Odpowiedz”.

Analiza wyłącznie nazwy wyświetlanej przed adresem jest niewystarczająca. Należy sprawdzić pełne nagłówki, w tym kolejne pola Received:, wynik SPF, podpis DKIM oraz rezultat DMARC. Nagłówki Received: pokazują trasę przekazywania wiadomości, ale trzeba czytać je od dołu do góry, ponieważ najniższy wpis zwykle opisuje najwcześniejszy etap dostarczenia. Wpisy dodane przez zaufane serwery odbiorcy są bardziej miarodajne niż informacje wpisane przez system nadawcy.

SPF, DKIM i DMARC wobec fałszywego nadawcy

SPF, opisany w RFC 7208, pozwala właścicielowi domeny opublikować w DNS rekord TXT określający serwery uprawnione do wysyłania poczty dla danej domeny. SPF sprawdza przede wszystkim adres IP serwera wysyłającego w odniesieniu do domeny użytej w envelope-from. Sam poprawny wynik SPF nie dowodzi, że użytkownik wysłał wiadomość z adresu widocznego w polu From:, ponieważ te dwa adresy mogą należeć do różnych domen.

DKIM, opisany w RFC 6376, dodaje do wiadomości podpis kryptograficzny. Serwer odbiorcy pobiera klucz publiczny z DNS i sprawdza, czy podpis pasuje do treści oraz wybranych nagłówków. Podpis nie musi jednak potwierdzać autentyczności całego pola From:, jeśli konfiguracja nie zapewnia zgodności domen. Tę zgodność ocenia DMARC, zdefiniowany w RFC 7489. DMARC wiąże domenę z pola From: z domeną używaną przez SPF lub DKIM. Polityka opublikowana w DNS może określać reakcję na niezgodne wiadomości, na przykład none, quarantine albo reject, lecz ostateczne działanie zależy od serwera odbiorcy.

Catch-all nie zastępuje tych mechanizmów i nie naprawia ich braku. Jeżeli domena ma restrykcyjną politykę DMARC, poprawnie skonfigurowany odbiorca może odrzucić wiadomość, która przedstawia się jako pochodząca z tej domeny, ale nie przechodzi kontroli wyrównania domen. Jeżeli DMARC nie jest skonfigurowany, stosuje politykę none albo odbiorca nie respektuje wyniku, sama wiadomość może nadal trafić do skrzynki. Dlatego obecność wiadomości w catch-all nie jest dowodem, że jej nadawca był uprawniony.

Ślady w nagłówkach i bezpieczna reakcja na wiadomość

W przypadku podejrzenia spoofingu należy zachować oryginalną wiadomość wraz z pełnymi nagłówkami, a nie tylko wykonać zrzut ekranu. Warto odnotować domenę widoczną w polu From:, adres Return-Path:, wartość Reply-To:, wyniki kontroli SPF, DKIM i DMARC oraz adresy serwerów z łańcucha Received:. Istotne są także daty, identyfikatory wiadomości, temat i sposób dostarczenia. Przekazanie wiadomości jako zwykłego załącznika może zachować więcej danych niż przeklejenie jej treści do nowego e-maila.

Nie należy potwierdzać autentyczności wiadomości na podstawie samego adresu w domenie catch-all. Linki powinny być otwierane dopiero po sprawdzeniu rzeczywistego adresu docelowego, a prośby o płatność, zmianę rachunku lub przekazanie danych trzeba zweryfikować niezależnym kanałem. W środowisku lokalnym można sprawdzić, czy komputer nie zmienia nagłówków podczas eksportu lub przekazywania wiadomości, korzystając z innego klienta pocztowego albo z kopii źródłowej zapisanej w formacie .eml. Przydatna jest także kontrola ustawień DNS domeny, zwłaszcza rekordów TXT związanych ze SPF, DKIM i DMARC, oraz sprawdzenie, czy konfiguracja catch-all jest rzeczywiście potrzebna.

Na laptopie lub komputerze PC diagnostyka może objąć klienta pocztowego, przeglądarkę, zapisane rozszerzenia oraz lokalne ustawienia wpływające na prezentowanie wiadomości. Nie zastępuje to jednak analizy po stronie domeny i serwerów pocztowych. Warszawskie Pogotowie Komputerowe zajmuje się profesjonalną naprawą laptopów i komputerów PC, dlatego w razie problemu z lokalnym działaniem programu pocztowego można zlecić sprawdzenie samego urządzenia oraz jego oprogramowania.