tożsamość nadawcy

Tożsamość nadawcy to jego jednoznaczna identyfikacja, weryfikowana m.in. przez mechanizmy SPF i DKIM.

Czym jest tożsamość nadawcy wiadomości

Tożsamość nadawcy w poczcie elektronicznej oznacza możliwość ustalenia, z jakiej domeny i z jakiego systemu wysłano wiadomość oraz czy serwer nadawczy miał uprawnienie do użycia danego adresu w polu „From”. Sam tekst widoczny dla odbiorcy nie jest wystarczającym dowodem. Nagłówek „From” można ustawić w treści wiadomości bez potwierdzenia, że nadawca faktycznie kontroluje wskazaną domenę. Dlatego serwery pocztowe analizują również informacje techniczne zapisane w nagłówkach, między innymi adres IP połączenia, domenę używaną podczas transmisji SMTP oraz wyniki uwierzytelniania.

W praktyce należy odróżnić adres prezentowany użytkownikowi od adresu używanego do technicznej obsługi dostarczenia. Pole „From” identyfikuje nadawcę widocznego w programie pocztowym, natomiast pole „Return-Path” wskazuje adres, na który może trafić komunikat o niedostarczeniu. Przy ocenie autentyczności sprawdza się także domenę używaną w mechanizmie DKIM oraz domenę objętą polityką DMARC. Zgodność tych domen z adresem „From” pozwala ograniczyć ryzyko podszywania się pod firmę lub użytkownika.

SPF: uprawnienie dla serwera wysyłającego

SPF, czyli Sender Policy Framework, opisuje dozwolone źródła wysyłki dla domeny za pomocą rekordu TXT w systemie DNS. Właściciel domeny może wskazać w nim konkretne adresy IPv4 i IPv6, inne domeny zawierające listę serwerów przez mechanizm „include”, a także serwery określone rekordami MX. Serwer odbiorcy porównuje adres IP nawiązujący połączenie SMTP z regułami opublikowanymi w rekordzie SPF. Wynik może być między innymi „pass”, „fail”, „softfail”, „neutral”, „none” albo „temperror”, zależnie od dopasowania i dostępności DNS.

Rekord SPF jest sprawdzany dla domeny użytej w mechanizmie „MAIL FROM”, a nie bezpośrednio dla widocznego pola „From”. Jeżeli te domeny są różne, wiadomość może uzyskać pozytywny wynik SPF, ale nie spełnić wymogu zgodności DMARC. SPF nie szyfruje wiadomości i nie potwierdza, kto napisał jej treść; wskazuje jedynie, czy dany adres IP został dopuszczony przez administratora domeny do wysyłania poczty. Rekord powinien być zapisany jako pojedynczy rekord SPF dla domeny, ponieważ wiele niezależnych rekordów TXT typu SPF powoduje błąd interpretacji.

DKIM i DMARC weryfikują pochodzenie wiadomości

DKIM, czyli DomainKeys Identified Mail, dodaje do wiadomości podpis kryptograficzny umieszczany w nagłówku „DKIM-Signature”. Nadawca podpisuje wybrane nagłówki oraz określone dane wiadomości kluczem prywatnym. Serwer odbiorcy pobiera odpowiadający klucz publiczny z rekordu DNS TXT pod nazwą zawierającą selektor, na przykład „selector1._domainkey.example.com”, i sprawdza podpis. Poprawny wynik DKIM oznacza, że podpisane elementy nie zostały zmienione po wysłaniu oraz że osoba posiadająca klucz prywatny mogła podpisać wiadomość. Nie gwarantuje jednak, że treść jest bezpieczna ani że nadawca jest znaną osobą.

DMARC, określony w RFC 7489, łączy wyniki SPF i DKIM z domeną widoczną w polu „From”. Właściciel domeny publikuje politykę DMARC w rekordzie TXT pod nazwą „_dmarc.domena”. Polityka może określać działanie wobec wiadomości niespełniających wymagań: „none” oznacza samo zbieranie informacji, „quarantine” sugeruje umieszczenie wiadomości w kwarantannie, a „reject” nakazuje odrzucenie. DMARC wymaga pozytywnego wyniku SPF lub DKIM oraz zgodności domeny z adresem „From”. Administrator może również wskazać adresy do raportów zbiorczych i diagnostycznych, co ułatwia wykrywanie nieautoryzowanych źródeł wysyłki.

Znaczenie dla użytkownika laptopa i komputera

Wiadomość zakwalifikowana jako poprawnie uwierzytelniona nadal może zawierać próbę wyłudzenia. SPF, DKIM i DMARC potwierdzają określone relacje techniczne między domeną a infrastrukturą pocztową, ale nie zastępują analizy linków, załączników, nazwy nadawcy ani kontekstu korespondencji. W programie pocztowym warto wyświetlić pełne nagłówki i sprawdzić pola „Authentication-Results”, „Received-SPF” oraz „DKIM-Signature”. Wynik „pass” przy DKIM lub DMARC powinien być interpretowany razem z domeną, która uzyskała ten wynik, ponieważ atakujący może używać własnej, technicznie poprawnie skonfigurowanej domeny.

Problemy z rozpoznawaniem nadawcy mogą wynikać z błędnej konfiguracji DNS, przekierowania poczty, zmiany dostawcy wysyłki, wygasłego klucza DKIM albo niepełnego rekordu SPF. Na komputerze należy też uwzględnić ustawienia klienta pocztowego, aktualność systemu i poprawne wyświetlanie pełnych nagłówków. Warszawskie Pogotowie Komputerowe zajmuje się profesjonalną naprawą laptopów, komputerów PC i podzespołów, a w ramach diagnostyki może pomóc ustalić, czy problem z odbiorem lub prezentacją wiadomości wynika z konfiguracji urządzenia albo używanego programu pocztowego.