utrata integralności wiadomości

Utrata integralności wiadomości to zmiana jej treści po drodze, wykrywana m.in. przez podpis DKIM.

Utrata integralności wiadomości – czym jest problem

Utrata integralności wiadomości oznacza sytuację, w której treść komunikatu dociera do odbiorcy w innej postaci niż ta, która została przygotowana przez nadawcę. Zmiana może dotyczyć całej wiadomości albo tylko jej fragmentu, na przykład tematu, adresu odsyłacza, załącznika, podpisu, numeru rachunku lub pojedynczego znaku. Nie zawsze musi być widoczna na pierwszy rzut oka. Czasem różnica polega na podmianie jednego znaku w domenie internetowej, dodaniu niewielkiego fragmentu kodu HTML albo zastąpieniu załącznika plikiem o podobnej nazwie.

Warto odróżnić integralność od poufności i autentyczności. Poufność dotyczy tego, czy osoby nieuprawnione mogły przeczytać wiadomość. Integralność odpowiada na pytanie, czy zawartość nie została zmieniona. Autentyczność wiąże się natomiast z możliwością potwierdzenia, od kogo komunikat rzeczywiście pochodzi. Wiadomość może pochodzić z prawidłowego serwera, ale zostać zmodyfikowana później, albo może zachować pierwotną treść, lecz pochodzić z adresu podszywającego się pod znanego nadawcę.

Do naruszenia integralności może dojść podczas przesyłania poczty, wskutek przejęcia konta, błędnej konfiguracji systemu, złośliwego oprogramowania lub manipulacji na urządzeniu odbiorcy. Nie każda różnica między kopią wysłaną i otrzymaną oznacza atak. Czasem zmiany wprowadzają legalne bramy pocztowe, filtry antyspamowe, programy archiwizujące albo systemy konwertujące format wiadomości.

Utrata integralności wiadomości w kontekście technicznym i porównania

Poczta elektroniczna jest przesyłana etapami. Komunikat może przejść przez program pocztowy nadawcy, serwer wysyłający, kolejne serwery pośredniczące, filtr bezpieczeństwa, serwer odbiorcy oraz aplikację używaną do odczytu. Na każdym etapie mogą zostać dodane nagłówki techniczne, zmienione elementy formatowania albo odłączone potencjalnie niebezpieczne załączniki. Sama obecność dodatkowych nagłówków nie świadczy jeszcze o utracie integralności, ponieważ wiele z nich jest standardowym śladem transportu.

Jednym ze sposobów kontroli jest podpis DKIM. Serwer nadawcy oblicza skrót wybranych elementów wiadomości i podpisuje go kluczem prywatnym. Serwer odbiorcy pobiera odpowiadający mu klucz publiczny z systemu DNS, a następnie sprawdza, czy skrót nadal pasuje do otrzymanej treści. Jeśli treść objęta podpisem została zmieniona, weryfikacja może zakończyć się statusem wskazującym niepowodzenie. Taki wynik nie zawsze dowodzi celowej ingerencji. Może być skutkiem zmiany wiadomości przez pośredni system pocztowy, opóźnionej aktualizacji klucza DNS albo nieprawidłowej konfiguracji.

DKIM nie jest tym samym co szyfrowanie. Podpis pozwala kontrolować spójność określonych elementów i potwierdzać związek wiadomości z domeną podpisującą, ale nie ukrywa jej treści. Inaczej działa szyfrowanie transportowe, które chroni połączenie między konkretnymi serwerami, lecz nie daje pełnej gwarancji, że wiadomość pozostanie niezmieniona po zapisaniu na serwerze lub po otwarciu jej na zainfekowanym komputerze. Jeszcze inną funkcję pełnią podpisywanie dokumentów, sumy kontrolne plików oraz systemy zarządzania certyfikatami.

W nagłówkach pocztowych można spotkać także wyniki kontroli SPF i DMARC. SPF sprawdza, czy serwer wysyłający jest uprawniony do korzystania z danej domeny. DMARC określa sposób interpretacji wyników SPF i DKIM oraz zasady postępowania z wiadomościami, które nie przejdą kontroli. Żaden z tych mechanizmów nie zastępuje analizy samej treści. Przy podejrzeniu manipulacji należy sprawdzić zarówno nagłówki, jak i załączniki, adresy odsyłaczy oraz zgodność wiadomości z wcześniejszą korespondencją.

Utrata integralności wiadomości a typowe problemy

Jednym z częstych objawów jest komunikat ostrzegawczy w nagłówkach lub panelu diagnostycznym poczty, informujący o nieudanej weryfikacji podpisu. Innym sygnałem bywa zmiana tematu, brak części załącznika, niezgodna suma kontrolna pliku albo pojawienie się odsyłacza prowadzącego do innej domeny niż ta widoczna w treści. Szczególnej uwagi wymagają wiadomości, w których numer konta, dane odbiorcy płatności, adres dostawy lub dane logowania różnią się od informacji ustalonych wcześniej.

Problem może powstać także na komputerze lokalnym. Złośliwe rozszerzenie przeglądarki, infekcja systemu, przejęta sesja pocztowa albo program działający w tle może zmienić treść przed wysłaniem lub po odebraniu. W takim przypadku samo sprawdzenie podpisu DKIM może nie wystarczyć, ponieważ kontrola odnosi się do wiadomości przechodzącej przez serwery, a nie do obrazu przedstawianego na ekranie przez zainfekowaną aplikację.

Zdarzają się również przypadki pozornego naruszenia integralności. Format HTML może być przekształcany przez filtr, grafiki mogą być ładowane z innych adresów, a znaki narodowe mogą wyglądać inaczej po błędnym odczytaniu kodowania. Wiadomość przekazana dalej może otrzymać dodatkowe oznaczenia, a odpowiedź może zawierać cytowaną treść z innym formatowaniem. Dlatego warto porównywać surowe nagłówki i źródło wiadomości, a nie wyłącznie wygląd komunikatu w programie pocztowym.

Ryzyko rośnie, gdy to samo hasło jest używane w wielu usługach, gdy nie włączono uwierzytelniania wieloskładnikowego albo gdy poczta jest sprawdzana na nieaktualnym urządzeniu. Podejrzane reguły automatycznego przekazywania, nieznane urządzenia na liście aktywnych sesji oraz wiadomości wysłane bez wiedzy użytkownika mogą wskazywać na przejęcie konta. W takiej sytuacji ważne jest zachowanie dowodów, zamiast natychmiastowego usuwania korespondencji.

Utrata integralności wiadomości – praktyczne wskazówki

Przy podejrzeniu zmiany treści należy najpierw wstrzymać działania oparte na tej wiadomości. Nie powinno się klikać w odsyłacze, otwierać nieoczekiwanych załączników ani potwierdzać przelewu wyłącznie na podstawie korespondencji elektronicznej. Dane finansowe, numery rachunków i instrukcje dotyczące haseł warto zweryfikować innym kanałem, korzystając z wcześniej znanego numeru lub oficjalnej strony wpisanej ręcznie w przeglądarce.

Przydatne jest zapisanie oryginalnej wiadomości w formacie zawierającym pełne nagłówki. Zwykłe przekazanie jej dalej może zmienić część informacji potrzebnych do analizy. Należy zachować również podejrzany załącznik, adresy URL, datę odebrania i zrzuty ekranu, ale bez uruchamiania pliku. Jeżeli wiadomość dotyczy ważnej operacji, można porównać ją z kopią znajdującą się w systemie nadawcy albo poprosić nadawcę o ponowne wysłanie komunikatu niezależnym kanałem.

W ustawieniach konta pocztowego warto sprawdzić historię logowań, listę urządzeń, reguły sortowania i automatycznego przekazywania oraz adresy pomocnicze. Po potwierdzeniu podejrzenia przejęcia należy zmienić hasło z bezpiecznego urządzenia, wylogować aktywne sesje i włączyć uwierzytelnianie wieloskładnikowe. Hasło powinno być unikalne i przechowywane w menedżerze haseł. W środowisku domowym należy także zaktualizować system, przeglądarkę, aplikację pocztową oraz program ochronny.

W przypadku dokumentów przechowywanych lokalnie można porównywać sumy kontrolne, wersje plików i historię zmian. Dla korespondencji związanej z działalnością zawodową przydatne są zasady zatwierdzania zmian danych płatniczych przez drugą osobę oraz rejestrowanie oryginalnych plików. Rozwiązania techniczne działają najlepiej wtedy, gdy towarzyszą im proste procedury: weryfikacja nietypowej prośby, ograniczenie uprawnień i ostrożne obchodzenie się z załącznikami.

Kiedy zgłosić utratę integralności wiadomości do serwisu

Zgłoszenie do serwisu komputerowego jest uzasadnione, gdy zmiany pojawiają się na jednym urządzeniu, znikają ustawienia konta, wysyłane są nieznane wiadomości, przeglądarka samoczynnie otwiera obce strony albo program pocztowy wyświetla treść różną od tej widocznej na innym urządzeniu. Pomocy wymaga również sytuacja, w której nie można ustalić, czy problem dotyczy serwera pocztowego, konta, aplikacji czy samego komputera.

W ramach analizy można sprawdzić stan systemu, aplikacje uruchamiane automatycznie, rozszerzenia przeglądarki, konfigurację poczty, zapisane reguły, podstawowe ślady infekcji oraz sposób wyświetlania oryginalnych nagłówków. Jeżeli zachodzi ryzyko przejęcia konta, urządzenie powinno zostać odłączone od sieci do czasu ustalenia dalszych działań, zwłaszcza gdy na ekranie pojawiają się żądania płatności lub dane logowania.

W Warszawie takie przypadki obsługuje Warszawskie Pogotowie Komputerowe 24/7, gdzie naprawy z reguły są realizowane do 3 dni roboczych. Przed przekazaniem urządzenia warto przygotować opis objawów, przybliżony moment ich wystąpienia, kopię podejrzanej wiadomości z pełnymi nagłówkami oraz informacje o ostatnich zmianach w haśle, aplikacjach i ustawieniach. Pozwala to szybciej rozdzielić problem związany z integralnością komunikatu od awarii programu, błędu konfiguracji lub infekcji komputera.