sprawdzanie oryginalności

Sprawdzanie oryginalności to weryfikacja, czy wiadomość i jej treść pochodzą z deklarowanego źródła.

Na czym polega sprawdzanie oryginalności wiadomości

Sprawdzanie oryginalności wiadomości polega na ustaleniu, czy komunikat rzeczywiście pochodzi od osoby, firmy, urządzenia lub usługi wskazanej jako nadawca. Sam wyświetlany adres e-mail, nazwa konta albo numer telefonu nie są wystarczającym dowodem. Mogą zostać sfałszowane w polu nadawcy, skopiowane w wiadomości phishingowej lub wykorzystane przez złośliwe oprogramowanie działające na przejętym koncie. Weryfikacja obejmuje więc zarówno pochodzenie komunikatu, jak i jego integralność, czyli sprawdzenie, czy treść nie została zmieniona podczas przesyłania.

W poczcie elektronicznej analizuje się między innymi nagłówki wiadomości, zwłaszcza pola Received, Return-Path, Authentication-Results oraz Message-ID. Nagłówki Received pokazują kolejne serwery, które przekazywały wiadomość, ale ich obecność sama w sobie nie potwierdza prawdziwości nadawcy. Ważne jest porównanie domeny widocznej dla odbiorcy z domeną używaną podczas uwierzytelniania. Rozbieżności, nietypowa trasa serwerów, literówki w domenie i linki prowadzące do innego adresu niż deklarowany wskazują na potrzebę dodatkowej ostrożności.

Mechanizmy uwierzytelniania nadawcy

Jednym z podstawowych mechanizmów jest SPF, czyli Sender Policy Framework. Właściciel domeny publikuje w systemie DNS rekord TXT określający serwery uprawnione do wysyłania poczty dla tej domeny. Serwer odbiorcy porównuje adres IP serwera nadawczego z tym rekordem i zwraca wynik kontroli, taki jak pass, fail, softfail albo neutral. SPF dotyczy przede wszystkim adresu używanego w ścieżce kopertowej SMTP, dlatego pozytywny wynik nie zawsze oznacza, że domena widoczna w polu „Od” jest autentyczna.

DKIM, czyli DomainKeys Identified Mail, dodaje do wiadomości podpis kryptograficzny. Serwer nadawcy oblicza skrót wybranych nagłówków i treści, a następnie podpisuje go kluczem prywatnym. Klucz publiczny jest udostępniany w rekordzie DNS pod nazwą zawierającą selektor, na przykład w postaci selektor._domainkey.example.com. Serwer odbiorcy pobiera klucz publiczny i sprawdza podpis. Wynik dkim=pass potwierdza, że podpisana część wiadomości nie została zmieniona oraz że podpis został utworzony z użyciem domeny wskazanej w podpisie. Nie potwierdza natomiast, że wiadomość jest bezpieczna ani że osoba wysyłająca ma dobre zamiary.

DMARC łączy kontrolę SPF lub DKIM z dopasowaniem domeny do pola „Od”. W rekordzie DNS domeny można określić politykę dla wiadomości niespełniających warunków, na przykład p=none, p=quarantine albo p=reject. DMARC może również przekazywać właścicielowi domeny raporty zbiorcze i raporty o nieudanych kontrolach. W praktyce wynik DMARC jest bardziej miarodajny dla oceny zgodności nadawcy niż samo sprawdzenie obecności adresu IP na liście SPF.

Weryfikacja treści, linków i załączników

Oryginalność wiadomości należy oceniać razem z jej zawartością. Link widoczny jako tekst może prowadzić do innego adresu, dlatego warto sprawdzić rzeczywisty cel odnośnika przed otwarciem. Należy zwrócić uwagę na literówki w nazwie domeny, dodatkowe subdomeny, użycie adresu IP zamiast nazwy, nietypowe porty oraz przekierowania. Sama obecność protokołu HTTPS nie dowodzi, że strona należy do właściwej firmy. HTTPS szyfruje połączenie i pozwala zweryfikować certyfikat domeny, ale nie gwarantuje uczciwości właściciela witryny.

Załączniki powinny być oceniane na podstawie rzeczywistego typu pliku, a nie wyłącznie jego nazwy. Dokument o nazwie „faktura.pdf.exe” może być programem wykonywalnym, jeśli system ukrywa znane rozszerzenia. Ryzyko zwiększają pliki zawierające makra, skrypty, skróty systemowe lub archiwa z hasłem. Przed otwarciem załącznik można przeskanować aktualnym programem ochronnym, a w przypadku dokumentów pobranych z niepewnego źródła sprawdzić sumę kontrolną podaną przez nadawcę. Skrót kryptograficzny, na przykład SHA-256, pozwala porównać pobrany plik z plikiem wzorcowym, o ile wartość wzorcowa pochodzi z wiarygodnego kanału.

Wiadomości dotyczące logowania, płatności, resetowania hasła lub pilnej zmiany danych wymagają dodatkowego potwierdzenia innym kanałem. Bezpieczniejszą metodą jest ręczne wpisanie adresu oficjalnej strony w przeglądarce albo skorzystanie z wcześniej zapisanej aplikacji, zamiast używania linku z wiadomości. Gdy komunikat ma pochodzić od konkretnej osoby, można potwierdzić jego wysłanie telefonicznie lub w osobnej rozmowie. Niespójny język, presja czasu i żądanie podania hasła nie są technicznym dowodem fałszerstwa, ale są istotnymi sygnałami ostrzegawczymi.

Znaczenie diagnostyki na laptopie i komputerze PC

Na komputerze sprawdzanie oryginalności może obejmować analizę klienta pocztowego, przeglądarki, certyfikatów, historii pobierania oraz ustawień konta. Warto sprawdzić, czy system i aplikacje mają aktualne poprawki bezpieczeństwa, ponieważ niezałatane luki mogą umożliwiać przejęcie sesji lub zmianę ustawień przeglądarki. Przy podejrzeniu fałszywej wiadomości nie należy jej usuwać przed zabezpieczeniem nagłówków i informacji o załącznikach, ponieważ te dane mogą pomóc ustalić trasę komunikatu oraz źródło problemu. Hasło konta powinno zostać zmienione na niezainfekowanym urządzeniu, jeżeli istnieje podejrzenie jego ujawnienia, a aktywne sesje i reguły automatycznego przekazywania poczty należy przejrzeć w ustawieniach usługi.

Warszawskie Pogotowie Komputerowe zajmuje się profesjonalną naprawą laptopów, komputerów PC i podzespołów, w tym diagnostyką problemów z systemem, przeglądarkami oraz oprogramowaniem używanym do odbierania wiadomości. Podczas kontroli można sprawdzić obecność nieznanych rozszerzeń przeglądarki, zmianę serwerów DNS, nietypowe procesy uruchamiane wraz z systemem oraz ślady instalacji programów, które mogły przechwytywać dane logowania. Zakres czynności zależy od objawów: inaczej postępuje się przy pojedynczym podejrzanym e-mailu, a inaczej przy powtarzających się przekierowaniach, samoczynnym wysyłaniu wiadomości lub utracie dostępu do konta.

Wynik weryfikacji powinien rozdzielać trzy kwestie: zgodność deklarowanego nadawcy, nienaruszenie treści oraz bezpieczeństwo samego komunikatu. Wiadomość może mieć poprawny podpis DKIM, a jednocześnie zawierać złośliwy link, ponieważ podpis potwierdza pochodzenie i integralność określonych elementów, nie zaś intencje nadawcy. Z kolei brak pozytywnego wyniku SPF, DKIM lub DMARC zwiększa ryzyko podszycia, lecz może wynikać również z błędnej konfiguracji legalnej usługi wysyłkowej. Dlatego końcowa ocena powinna uwzględniać nagłówki, adresy domen, treść, załączniki, kontekst kontaktu i stan urządzenia odbiorcy.