ukrycie prawdziwego nadawcy

Ukrycie prawdziwego nadawcy to technika maskowania rzeczywistego źródła wiadomości, typowa dla ataków spoofingowych.

Na czym polega ukrycie prawdziwego nadawcy wiadomości

Ukrycie prawdziwego nadawcy to technika polegająca na przedstawieniu wiadomości tak, aby odbiorca uznał ją za wysłaną przez inną osobę, firmę albo usługę internetową. W poczcie elektronicznej najczęściej wiąże się to ze spoofingiem adresu nadawcy. Osoba atakująca może zmienić wartość pola „From”, widoczną w programie pocztowym, bez uzyskania dostępu do skrzynki właściciela tego adresu. Sam wyświetlany adres nie jest więc wystarczającym dowodem, że wiadomość rzeczywiście pochodzi od wskazanego nadawcy.

Wiadomość e-mail zawiera nagłówki techniczne, między innymi „From”, „To”, „Date”, „Subject” oraz kolejne pola „Received”. Pole „From” opisuje nadawcę prezentowanego odbiorcy, natomiast nagłówki „Received” są dopisywane przez serwery uczestniczące w przekazywaniu wiadomości i pozwalają prześledzić jej drogę. W analizie należy również sprawdzić pola „Return-Path”, „Reply-To”, „Message-ID” oraz wyniki kontroli uwierzytelnienia. Różnica między adresem pokazanym w „From” a adresem użytym do zwrotów lub odpowiedzi może wskazywać na próbę podszycia się pod inną osobę.

Jak spoofing wykorzystuje działanie poczty elektronicznej

Poczta elektroniczna jest przekazywana między serwerami za pomocą protokołu SMTP. W trakcie sesji SMTP serwer wysyłający przedstawia między innymi adres nadawcy kopertowego w komendzie „MAIL FROM”, a adres odbiorcy w komendzie „RCPT TO”. Adres kopertowy może różnić się od adresu umieszczonego w nagłówku „From”. Ta różnica jest technicznie dopuszczalna w wielu scenariuszach, na przykład przy automatycznych powiadomieniach, ale może zostać wykorzystana do ukrycia rzeczywistego źródła wiadomości.

Spoofing nie musi oznaczać przejęcia konta pocztowego. Do wysłania fałszywej wiadomości wystarczy czasem serwer lub usługa, która niewłaściwie sprawdza tożsamość nadawcy. Jeżeli wiadomość ma nakłonić do kliknięcia odnośnika, otwarcia załącznika albo przekazania hasła, przestępca może dodatkowo użyć domeny podobnej wizualnie do prawdziwej. Różnica może dotyczyć pojedynczego znaku, rozszerzenia domeny albo znaków Unicode. Dlatego trzeba analizować pełny adres, a nie tylko nazwę wyświetlaną obok niego.

SPF, DKIM i DMARC jako mechanizmy weryfikacji

Weryfikację nadawcy wspierają trzy mechanizmy używane w systemach pocztowych. SPF, czyli Sender Policy Framework, wykorzystuje rekord TXT w DNS domeny i określa, z jakich adresów IP mogą być wysyłane wiadomości dla danej domeny. Kontrola SPF odnosi się przede wszystkim do domeny użytej w adresie kopertowym, zwykle powiązanym z „Return-Path”. Pozytywny wynik SPF nie potwierdza samodzielnie, że treść i adres widoczny w polu „From” są autentyczne.

DKIM, czyli DomainKeys Identified Mail, dodaje do wiadomości podpis kryptograficzny. Serwer odbiorcy pobiera klucz publiczny z rekordu DNS domeny wskazanej w parametrze „d=” nagłówka DKIM i sprawdza, czy podpis odpowiada treści oraz wybranym nagłówkom. Zmiana podpisanej treści po wysłaniu powoduje niepowodzenie weryfikacji. DMARC łączy wynik SPF lub DKIM z domeną widoczną w polu „From” i pozwala właścicielowi domeny określić zalecaną reakcję na niezgodną wiadomość: „none”, „quarantine” albo „reject”. Raporty DMARC mogą dodatkowo pokazywać, z jakich źródeł wysyłane są wiadomości powołujące się na daną domenę.

Rozpoznawanie podejrzanej wiadomości na komputerze

Przy podejrzeniu ukrycia nadawcy nie należy ograniczać się do kliknięcia opcji „Odpowiedz”. Bezpieczniej jest otworzyć szczegóły wiadomości albo jej źródło i odczytać pełne nagłówki. Należy porównać domenę w „From” z domenami występującymi w „Return-Path”, „Reply-To” i podpisie DKIM, a także sprawdzić wiersze „Authentication-Results”. Warto zwrócić uwagę na wyniki oznaczone jako „spf=fail”, „dkim=fail” lub „dmarc=fail”, pamiętając, że pojedynczy wynik nie zawsze przesądza o oszustwie. Przekierowania poczty, listy mailingowe i błędna konfiguracja domeny mogą powodować problemy z uwierzytelnieniem.

Na laptopie lub komputerze PC podejrzaną wiadomość można zgłosić funkcją antyspamową programu pocztowego, bez otwierania załącznika i bez odwiedzania odnośnika. Jeżeli odnośnik prowadzi do logowania, adres strony należy ocenić po rozwinięciu pełnego URL-a. Sama kłódka HTTPS nie potwierdza tożsamości nadawcy ani wiarygodności witryny; szyfrowanie połączenia chroni transmisję, ale nie informuje, czy użytkownik trafił do właściwej usługi. Warszawskie Pogotowie Komputerowe zajmuje się profesjonalną naprawą laptopów, komputerów PC i ich podzespołów, w tym diagnostyką problemów z oprogramowaniem pocztowym oraz ustawieniami systemu wpływającymi na bezpieczne korzystanie z wiadomości.