uwierzytelnianie nadawcy

Uwierzytelnianie nadawcy to weryfikacja jego uprawnień do wysyłki, oparta na SPF, DKIM i DMARC.

Uwierzytelnianie nadawcy — czym jest i czemu służy

Uwierzytelnianie nadawcy to zestaw mechanizmów stosowanych przy obsłudze poczty elektronicznej, których zadaniem jest sprawdzenie, czy wiadomość rzeczywiście pochodzi z serwera uprawnionego do wysyłania korespondencji w imieniu określonej domeny. Nie chodzi wyłącznie o rozpoznanie adresu widocznego w polu „Od”. Taki adres można technicznie zmienić, dlatego potrzebne jest dodatkowe potwierdzenie zapisane w konfiguracji domeny oraz w nagłówkach wiadomości.

W praktyce analizuje się przede wszystkim trzy uzupełniające się standardy: SPF, DKIM i DMARC. SPF wskazuje, z jakich serwerów może być wysyłana poczta dla danej domeny. DKIM pozwala dołączyć do wiadomości podpis kryptograficzny, który można zweryfikować po stronie odbiorcy. DMARC określa, jak serwer odbiorczy powinien postąpić, gdy deklarowany nadawca nie przejdzie kontroli albo gdy podpis nie pasuje do domeny. Połączenie tych metod ułatwia odróżnienie legalnej korespondencji od prób podszywania się pod znaną firmę, sklep internetowy, urząd lub osobę.

Mechanizmy te nie gwarantują, że każda poprawnie uwierzytelniona wiadomość będzie wartościowa albo bezpieczna. Mogą jednak potwierdzić, że wysyłka odbywa się z systemu wskazanego przez właściciela domeny. Dzięki temu ogranicza się część fałszywych wiadomości, poprawia się wiarygodność legalnej korespondencji i uzyskuje się lepszy wgląd w problemy z dostarczaniem poczty.

Uwierzytelnianie nadawcy a SPF, DKIM i DMARC

SPF działa na podstawie rekordu DNS typu TXT. W takim rekordzie umieszcza się regułę opisującą dozwolone źródła wysyłki. Może ona wskazywać konkretne adresy IP, inne domeny albo usługę, z której korzysta się przy obsłudze poczty. Serwer odbiorczy porównuje adres serwera wysyłającego z tą regułą. Jeżeli źródło jest dopuszczone, wynik kontroli SPF jest pozytywny. Jeżeli nie, pojawia się wynik negatywny albo neutralny, zależnie od końcówki rekordu i przyjętej polityki.

SPF odnosi się do tak zwanego adresu koperty, czyli technicznego adresu używanego podczas transmisji poczty. Nie zawsze jest on identyczny z adresem widocznym dla użytkownika w polu „Od”. Z tego powodu sam SPF nie rozwiązuje całego problemu podszywania się. Dodatkowo obowiązuje limit liczby zapytań DNS wykonywanych podczas sprawdzania rekordu. Nadmiernie rozbudowana konfiguracja może więc powodować błędy mimo pozornie prawidłowych wpisów.

DKIM działa inaczej. Serwer wysyłający tworzy podpis na podstawie wybranych elementów wiadomości i dołącza go w nagłówku. Klucz prywatny pozostaje po stronie nadawcy, natomiast odpowiadający mu klucz publiczny publikuje się w DNS pod specjalnym selektorem. Serwer odbiorczy pobiera klucz publiczny, sprawdza podpis i ocenia, czy podpisane fragmenty nie zostały zmienione w trakcie przesyłania. Selektor pozwala stosować kilka kluczy oraz wymieniać je bez konieczności zatrzymywania całej obsługi poczty.

DMARC łączy wyniki SPF i DKIM z domeną widoczną w polu „Od”. Najważniejsze jest tu dopasowanie domen, określane jako zgodność lub wyrównanie. Wiadomość może przejść SPF, ale nadal nie spełnić wymagań DMARC, jeśli pozytywny wynik dotyczy innej domeny niż ta prezentowana odbiorcy. Podobnie prawidłowy podpis DKIM nie wystarczy, gdy został wystawiony dla niepowiązanej domeny. DMARC pozwala też ustalić sposób reakcji na niezgodne wiadomości oraz przesyłać raporty ułatwiające analizę.

Uwierzytelnianie nadawcy na tle innych zabezpieczeń poczty

Uwierzytelnianie nadawcy bywa mylone z szyfrowaniem, filtrowaniem antyspamowym i kontrolą tożsamości użytkownika. Są to jednak różne warstwy ochrony. SPF, DKIM i DMARC odnoszą się głównie do wiarygodności domeny oraz drogi wysyłki. Szyfrowanie transportowe zabezpiecza połączenie między serwerami, lecz nie musi odpowiadać na pytanie, czy nadawca miał prawo wysyłać wiadomości w imieniu danej domeny. Filtr antyspamowy analizuje natomiast znacznie szerszy zestaw cech, między innymi treść, reputację adresu, historię dostarczania i zachowanie nadawcy.

Warto odróżnić również uwierzytelnianie domeny od logowania osoby do skrzynki. Hasło, klucz dostępu lub dodatkowy składnik logowania potwierdza prawo użytkownika do korzystania z konta. SPF, DKIM i DMARC pozwalają odbiorcy ocenić, czy wiadomość została wysłana z dozwolonego źródła oraz czy jej deklarowana domena pozostaje zgodna z wynikami kontroli. Oba obszary powinny działać razem, ponieważ przejęte konto może służyć do wysyłania wiadomości przez prawidłowy serwer.

Nie należy też oczekiwać, że poprawny wynik DMARC rozpozna każdą próbę oszustwa. Wiadomość może zostać wysłana z autoryzowanej usługi po przejęciu konta albo zawierać odsyłacz prowadzący do fałszywej witryny. Kontrola nadawcy zmniejsza ryzyko podszywania się pod domenę, ale nie zastępuje ostrożności, ochrony kont, aktualizacji oprogramowania ani analizy załączników. Najlepsze rezultaty uzyskuje się przez połączenie kilku niezależnych metod.

Uwierzytelnianie nadawcy — typowe problemy konfiguracyjne

Jednym z częstszych problemów jest niepełny rekord SPF. Po zmianie dostawcy poczty, systemu formularzy, platformy mailingowej lub narzędzia do wysyłki powiadomień nowe źródło może nie zostać dopisane do reguły. W efekcie część wiadomości przechodzi przez kontrolę, a część trafia do spamu albo zostaje odrzucona. Podobny skutek może pojawić się po usunięciu starego serwera bez uporządkowania pozostałych wpisów.

Problemy z DKIM często wynikają z niewłaściwego selektora, błędnie opublikowanego klucza publicznego, zbyt długiego rekordu DNS albo braku podpisu w wiadomościach wysyłanych przez jeden z używanych systemów. Znaczenie ma także modyfikowanie wiadomości po podpisaniu. Niektóre bramki, systemy przekazywania i automatyczne stopki mogą zmieniać nagłówki lub treść w sposób wpływający na weryfikację.

W przypadku DMARC szczególnej uwagi wymaga przejście od trybu obserwacyjnego do bardziej stanowczej polityki. Najpierw analizuje się raporty i ustala, jakie źródła faktycznie wysyłają pocztę w imieniu domeny. Dopiero potem można stopniowo zaostrzać reguły. Pominięcie legalnego systemu może prowadzić do odrzucania prawidłowych wiadomości. Z kolei zbyt łagodna polityka nie wykorzysta pełnych możliwości standardu.

Trudność może sprawiać także pamięć podręczna DNS. Po zmianie rekordu przez pewien czas różne serwery mogą korzystać z poprzedniej wersji. Do tego dochodzą literówki, niepoprawne cudzysłowy, nadmiarowe spacje, błędne nazwy selektorów i niezgodność domen między adresem widocznym w polu „Od” a domeną podpisu. Analiza pełnych nagłówków wiadomości jest wtedy bardziej miarodajna niż sama informacja, że wiadomość znalazła się w folderze odebranych.

Uwierzytelnianie nadawcy — praktyczne wskazówki diagnostyczne

Przy sprawdzaniu problemu warto rozpocząć od ustalenia, z jakiego systemu została wysłana konkretna wiadomość. Należy zachować jej pełne nagłówki, ponieważ zawierają wyniki kontroli SPF, DKIM i DMARC, nazwę serwera przyjmującego oraz informacje o kolejnych etapach transmisji. Sam adres nadawcy i temat wiadomości nie wystarczą do rzetelnej oceny.

Następnie można porównać domenę z pola „Od” z domeną używaną przez SPF i podpis DKIM. Trzeba sprawdzić, czy wszystkie legalne źródła wysyłki są uwzględnione, czy rekordy DNS odpowiadają aktualnej konfiguracji oraz czy klucz DKIM jest dostępny pod właściwym selektorem. Przy zmianach usług pocztowych należy przeprowadzić testy dla kilku rodzajów wiadomości, na przykład zwykłej korespondencji, odpowiedzi z formularza i automatycznego powiadomienia.

Raporty DMARC powinny być traktowane jako materiał diagnostyczny, a nie jako jedyny dowód bezpieczeństwa. Warto grupować wyniki według domen, adresów źródłowych i rezultatów kontroli. Pozwala to zauważyć nieznane systemy wysyłające pocztę, nagłe zwiększenie liczby niezgodnych wiadomości albo błędy pojawiające się po aktualizacji konfiguracji. Hasła, klucze prywatne i dane logowania nie powinny być przekazywane podczas takiej analizy.

Po stronie użytkownika przydatne pozostaje sprawdzanie rzeczywistego celu odsyłacza, ostrożność wobec próśb o pilne działanie oraz niezależne potwierdzanie nietypowych poleceń. Nawet doskonale skonfigurowane uwierzytelnianie nadawcy nie zastąpi rozsądnej oceny treści wiadomości. W przypadku problemów ze sprzętem używanym do odbioru poczty można skorzystać z pomocy firmy Warszawskie Pogotowie Komputerowe 24/7, gdzie dostępna jest darmowa diagnoza laptopa.

Kiedy uwierzytelnianie nadawcy wymaga konsultacji

Wsparcie techniczne może być potrzebne, gdy wiadomości regularnie trafiają do spamu, są odrzucane przez wybrane domeny albo po zmianie ustawień znikają z części skrzynek. Konsultacja bywa zasadna również wtedy, gdy raporty DMARC wskazują nieznane źródła wysyłki, podpis DKIM przestaje się zgadzać lub SPF raz przechodzi, a raz kończy się błędem. Takie objawy mogą wynikać z konfiguracji DNS, ale czasem wskazują także na nieaktualne oprogramowanie, nieprawidłową pracę aplikacji pocztowej albo problem z bezpieczeństwem konta.

Przed zgłoszeniem warto przygotować przykładową wiadomość z pełnymi nagłówkami, przybliżony czas wystąpienia problemu, nazwę używanej domeny oraz informację, czy trudność dotyczy wysyłania, odbierania, przekazywania czy tylko wybranych odbiorców. Nie powinno się dołączać haseł ani prywatnych kluczy. Tak przygotowane dane ułatwiają rozdzielenie problemu z uwierzytelnianiem nadawcy od problemu z urządzeniem, programem pocztowym lub samą skrzynką.

Jeżeli kłopot pojawia się na laptopie albo komputerze stacjonarnym, można zgłosić urządzenie do serwisu komputerowego w Warszawie i poprosić o sprawdzenie konfiguracji, aplikacji pocztowej oraz podstawowych oznak naruszenia bezpieczeństwa. Analiza powinna obejmować zarówno warstwę sprzętową, jak i ustawienia systemu oraz programu używanego do obsługi poczty. Dzięki temu łatwiej ustalić, czy przyczyną jest błędna konfiguracja domeny, lokalna awaria, nieaktualne komponenty czy niepożądana ingerencja w konto.