spoofing z niezgodnym DNS

Spoofing z niezgodnym DNS ujawnia się przy weryfikacji rekordów, które nie potwierdzają uprawnienia nadawcy.

Na czym polega spoofing z niezgodnym DNS

Spoofing z niezgodnym DNS oznacza sytuację, w której wiadomość poczty elektronicznej przedstawia nadawcę jako określoną domenę, ale publiczne rekordy DNS nie potwierdzają, że serwer wysyłający ma prawo używać tej domeny. Atakujący może ustawić w nagłówku „From” adres przypominający adres banku, sklepu, urzędu albo kontrahenta, mimo że wiadomość została wysłana z innej infrastruktury. Sam wygląd adresu widocznego w programie pocztowym nie jest dowodem jego autentyczności.

Weryfikacja odbywa się między innymi na podstawie rekordów SPF, DKIM i DMARC. SPF wskazuje w rekordzie TXT, jakie adresy IP lub hosty mogą wysyłać pocztę dla domeny. DKIM dodaje do wiadomości podpis kryptograficzny, a klucz publiczny potrzebny do jego sprawdzenia znajduje się w rekordzie TXT pod nazwą związaną z selektorem DKIM. DMARC określa, jak odbiorca ma ocenić zgodność domeny widocznej w polu „From” z domeną sprawdzaną przez SPF lub DKIM.

Jak DNS ujawnia nieuprawnionego nadawcę

Przy kontroli SPF serwer odbiorcy porównuje adres IP serwera wysyłającego z rekordem SPF domeny użytej w kopercie SMTP, zwykle wskazanej przez komendę MAIL FROM. Wynik „fail” oznacza, że adres nie jest dozwolony przez politykę SPF, natomiast „softfail”, „neutral” albo „none” oznaczają słabsze lub niepełne potwierdzenie. Brak rekordu SPF nie dowodzi jeszcze spoofingu, ale uniemożliwia skuteczną autoryzację nadawcy za pomocą tego mechanizmu.

DKIM działa inaczej: odbiorca sprawdza, czy podpis wiadomości jest poprawny oraz czy domena zapisana w parametrze „d=” podpisu jest zgodna z domeną w nagłówku „From”. Podpis może być technicznie prawidłowy, ale nadal nie potwierdzać tożsamości widocznego nadawcy, jeśli został wystawiony dla innej domeny. DMARC analizuje właśnie taką zgodność, nazywaną alignment. Dlatego wiadomość może przejść SPF dla domeny technicznej użytej w kopercie SMTP, a mimo to nie przejść DMARC, gdy domena widoczna dla odbiorcy jest inna.

Sprawdzanie rekordów i śladów w nagłówkach wiadomości

Podstawową diagnostykę można rozpocząć od odczytania nagłówków otrzymanej wiadomości. Wpisy „Authentication-Results” pokazują, czy serwer odbiorcy odnotował wynik SPF, DKIM i DMARC. Warto porównać domenę z pola „From” z wartościami „Return-Path”, „smtp.mailfrom” oraz „header.d”. Różnica między tymi polami nie zawsze oznacza atak, ponieważ legalne systemy wysyłkowe korzystają z odrębnych domen technicznych, ale powinna zostać wyjaśniona w kontekście wyników uwierzytelniania.

Rekordy można sprawdzić narzędziami DNS, na przykład poleceniem nslookup -type=TXT domena.pl w systemie Windows albo dig TXT domena.pl w systemach uniksowych. Dla DMARC używa się nazwy _dmarc.domena.pl, a dla DKIM nazwy zawierającej selektor, na przykład selektor._domainkey.domena.pl. Należy potwierdzić, czy rekord SPF istnieje w jednej, spójnej wersji, czy wskazuje właściwe serwery oraz czy rekord DMARC zawiera poprawną politykę „p=”. Sam rekord PTR odwrotnego DNS, który mapuje adres IP na nazwę hosta, nie zastępuje SPF, DKIM ani DMARC. Może pomóc w ocenie reputacji i konfiguracji serwera, ale nie stanowi samodzielnego dowodu prawa do używania domeny.

Postępowanie przy podejrzanej wiadomości na komputerze

Otrzymanej wiadomości nie należy oceniać wyłącznie po nazwie nadawcy wyświetlanej w skrzynce. Trzeba sprawdzić pełne nagłówki, wynik uwierzytelniania oraz domenę zawartą w rzeczywistych odnośnikach. Szczególną ostrożność należy zachować, gdy DMARC kończy się wynikiem „fail”, SPF wskazuje nieautoryzowany adres, podpis DKIM jest nieprawidłowy albo domena w podpisie nie odpowiada domenie widocznej w polu „From”. Nie powinno się otwierać załącznika ani wpisywać danych logowania na stronie otwartej z takiej wiadomości.

Warszawskie Pogotowie Komputerowe zajmuje się profesjonalną naprawą laptopów i komputerów PC, w tym sprawdzaniem ustawień poczty, przeglądarki, DNS oraz objawów infekcji mogącej przekierowywać użytkownika na fałszywe strony. W praktyce serwis może pomóc odróżnić problem z lokalną konfiguracją komputera od spoofingu występującego po stronie nadawcy lub infrastruktury pocztowej. Jeżeli wiadomość jest elementem kampanii phishingowej, właściwym działaniem jest zachowanie jej nagłówków, zgłoszenie do administratora domeny lub dostawcy poczty i usunięcie jej bez odpowiadania.