spoofing serwera nadawczego

Spoofing serwera nadawczego to podszycie się pod adres serwera uprawnionego do wysyłki w imieniu domeny.

Na czym polega spoofing serwera nadawczego

Spoofing serwera nadawczego to technika, w której osoba wysyłająca wiadomość próbuje przedstawić obcy serwer jako serwer uprawniony do wysyłania poczty w imieniu określonej domeny. W praktyce odbiorca może zobaczyć adres nadawcy wyglądający wiarygodnie, mimo że wiadomość nie została wysłana z infrastruktury kontrolowanej przez właściciela tej domeny. Podszycie może dotyczyć domeny organizacji, adresu konkretnego pracownika albo nazwy systemu używanej w polu nadawcy.

Wiadomość poczty elektronicznej zawiera kilka informacji związanych z nadawcą. Jedną z nich jest adres widoczny w polu From:, przeznaczonym dla użytkownika. Protokół SMTP podczas dostarczania wykorzystuje również komendę MAIL FROM, określającą adres koperty nadawczej, czyli adres używany między serwerami do obsługi dostarczenia i zwrotek. Te wartości mogą się różnić, dlatego samo wyświetlenie prawidłowo wyglądającego adresu w programie pocztowym nie potwierdza źródła wiadomości.

Jak serwery pocztowe weryfikują nadawcę

Podstawowym mechanizmem kontroli źródła wysyłki jest SPF, czyli Sender Policy Framework. Właściciel domeny publikuje w jej rekordzie DNS typu TXT listę adresów IP lub innych serwerów, które mogą wysyłać pocztę dla tej domeny. Serwer odbiorczy porównuje adres IP łączącego się nadawcy z opublikowaną regułą SPF. Wynik może wskazywać między innymi pass, fail, softfail, neutral albo temperror. SPF sprawdza jednak przede wszystkim domenę koperty nadawczej, a nie bezpośrednio adres widoczny w polu From:.

DKIM, czyli DomainKeys Identified Mail, dodaje do wiadomości podpis kryptograficzny. Serwer wysyłający wybiera wskazane nagłówki oraz treść wiadomości, oblicza ich skrót i podpisuje go kluczem prywatnym. Odbiorca pobiera odpowiadający mu klucz publiczny z rekordu DNS pod nazwą zawierającą selektor DKIM, a następnie weryfikuje podpis. Pomyślna kontrola DKIM oznacza, że podpisane elementy nie zostały zmienione po wysłaniu oraz że nadawca posiadał dostęp do klucza prywatnego dla określonej domeny. Nie dowodzi to jednak automatycznie, że treść wiadomości jest bezpieczna.

Rola DMARC i śladów pozostawianych w wiadomości

DMARC, czyli Domain-based Message Authentication, Reporting and Conformance, łączy wynik SPF lub DKIM z domeną widoczną dla odbiorcy w polu From:. Domeny muszą być zgodne według trybu określonego w polityce DMARC: relacja może być zrelaksowana, gdy zgodność obejmuje tę samą domenę organizacyjną, albo ścisła, gdy wymagana jest dokładna zgodność domen. Właściciel domeny publikuje politykę DMARC w rekordzie TXT pod nazwą _dmarc.domena.example. Polityka może wskazywać działania p=none, p=quarantine lub p=reject, a także adresy do odbierania raportów.

Podczas analizy wiadomości nie należy ograniczać się do nazwy wyświetlanej w programie pocztowym. Istotne są nagłówki Authentication-Results, Received-SPF, DKIM-Signature i kolejne wpisy Received, które pokazują trasę przechodzenia wiadomości przez serwery. Warto sprawdzić, czy wynik SPF lub DKIM zakończył się statusem pass, czy domena uwierzytelniona jest zgodna z domeną z pola From: oraz czy wiadomość nie pochodzi z adresu IP znajdującego się na liście blokad. Brak podpisu DKIM, błąd SPF albo niezgodność domen zwiększają podejrzenie spoofingu, ale pojedynczy sygnał nie zawsze wystarcza do rozstrzygnięcia.

Objawy spoofingu na komputerze i działania serwisowe

Na laptopie lub komputerze PC spoofing może objawiać się wiadomościami podszywającymi się pod bank, dostawcę usług, przełożonego albo znaną firmę. Często stosuje się podobną domenę, zmieniony adres odpowiedzi w polu Reply-To, presję czasu oraz odsyłacze prowadzące do innej witryny niż sugeruje treść. Samo otrzymanie takiej wiadomości nie oznacza jeszcze infekcji komputera, ponieważ fałszywy nadawca może zostać wyświetlony bez uruchamiania złośliwego programu. Ryzyko pojawia się po otwarciu niebezpiecznego załącznika, wpisaniu hasła na stronie phishingowej albo uruchomieniu nieznanego pliku.

Podczas sprawdzania komputera można przeanalizować pełne nagłówki podejrzanej wiadomości, adres docelowy odsyłacza, typ i rozszerzenie załącznika oraz reakcję programu pocztowego na certyfikat i domenę strony. Należy również zaktualizować system, przeglądarkę i program zabezpieczający, a w razie podania hasła zmienić je na niezainfekowanym urządzeniu oraz zakończyć aktywne sesje konta. Warszawskie Pogotowie Komputerowe zajmuje się profesjonalną naprawą laptopów, komputerów PC i ich podzespołów, w tym sprawdzaniem objawów infekcji, nieprawidłowego działania programów pocztowych oraz skutków otwarcia podejrzanych plików.