uwierzytelnienie nadawcy

Uwierzytelnienie nadawcy to potwierdzenie, że wiadomość rzeczywiście pochodzi od deklarowanego adresu.

Na czym polega uwierzytelnienie nadawcy wiadomości

Uwierzytelnienie nadawcy polega na technicznym sprawdzeniu, czy wiadomość e-mail została wysłana z systemu uprawnionego do używania określonej domeny lub adresu. Sam tekst widoczny w polu „Od” nie stanowi wystarczającego dowodu. Nagłówek From: jest częścią danych wiadomości i może zostać zmieniony przez nadawcę, podobnie jak wyświetlana nazwa osoby lub firmy. Serwer odbiorcy analizuje więc dodatkowe informacje: domenę używaną podczas transmisji SMTP, rekordy DNS oraz podpis kryptograficzny dołączony do wiadomości.

W praktyce trzeba rozróżnić adres koperty SMTP od adresu prezentowanego odbiorcy. Adres koperty, nazywany adresem MAIL FROM lub adresem zwrotnym, służy między innymi do obsługi komunikatów o niedostarczeniu. Adres w nagłówku From: jest natomiast widoczny w programie pocztowym. Uwierzytelnienie nadawcy może potwierdzić, że wiadomość została wysłana przez uprawniony serwer albo podpisana kluczem należącym do danej domeny, ale samo w sobie nie dowodzi, że konkretny człowiek świadomie napisał tę wiadomość. Konto nadawcy może zostać przejęte, a uprawniony serwer może zostać niewłaściwie skonfigurowany.

SPF sprawdza serwer wysyłający

SPF, czyli Sender Policy Framework, wykorzystuje rekord TXT w systemie DNS domeny. Właściciel domeny publikuje w nim listę adresów IP, zakresów sieci lub nazw hostów uprawnionych do wysyłania poczty dla określonego adresu koperty SMTP. Przykładowa polityka może wskazywać serwer pocztowy za pomocą mechanizmu ip4 albo zewnętrznego dostawcy za pomocą mechanizmu include. Serwer odbiorcy porównuje adres IP nawiązującego połączenie SMTP z polityką domeny użytej w MAIL FROM.

Wynik SPF może przyjąć między innymi wartości pass, fail, softfail, neutral lub none. Rekord zakończony mechanizmem -all wyraża twardą deklarację, że inne źródła nie są uprawnione do wysyłania poczty, natomiast ~all oznacza deklarację mniej stanowczą. SPF nie podpisuje treści wiadomości i nie chroni jej przed zmianą po przejściu przez serwer. Nie weryfikuje też bezpośrednio wartości widocznej w nagłówku From:. Z tego powodu poprawny wynik SPF powinien być rozpatrywany razem z DKIM oraz DMARC.

DKIM i DMARC wiążą domenę z treścią wiadomości

DKIM, czyli DomainKeys Identified Mail, dodaje do wiadomości nagłówek DKIM-Signature:. Nadawczy serwer oblicza podpis na podstawie wybranych nagłówków oraz treści wiadomości, używając prywatnego klucza kryptograficznego. Odbiorca odczytuje z podpisu nazwę domeny podpisującej, oznaczoną parametrem d=, oraz selektor s=. Na podstawie tych wartości pobiera z DNS rekord TXT znajdujący się zwykle pod nazwą w rodzaju selektor._domainkey.example.com, a następnie sprawdza podpis kluczem publicznym.

Pozytywna weryfikacja DKIM oznacza, że wiadomość została podpisana przez system posiadający właściwy klucz prywatny oraz że podpisane elementy nie zmieniły się w sposób wykrywany przez algorytm. Podpis nie musi jednak pochodzić od domeny widocznej dla użytkownika. Wiadomość może mieć poprawny podpis dostawcy pośredniczącego, a jednocześnie prezentować inną domenę w polu From:. DMARC rozwiązuje ten problem przez sprawdzanie zgodności domeny uwierzytelnionej przez SPF lub DKIM z domeną z nagłówka From:. Polityka DMARC jest publikowana w rekordzie TXT pod nazwą _dmarc i może określać działanie dla wiadomości niespełniających wymagań: none, quarantine albo reject.

Co sprawdzić, gdy wiadomość budzi wątpliwości

Analizę należy rozpocząć od pełnych nagłówków wiadomości, a nie od samego widoku w skrzynce odbiorczej. W nagłówkach można znaleźć wyniki zapisane w polu Authentication-Results:, informacje o kolejnych serwerach w polach Received:, domenę używaną przez SPF oraz dane podpisu DKIM. Trzeba sprawdzić, czy wynik SPF lub DKIM ma wartość pass i czy domena jest zgodna z adresem w From: zgodnie z polityką DMARC. Wiadomość z wynikiem pass dla SPF, ale z inną domeną koperty niż domena prezentowana odbiorcy, może nie przejść kontroli DMARC.

Uwierzytelnienie nadawcy nie zastępuje ochrony antyspamowej ani analizy treści. Wiadomość wysłana z prawidłowo skonfigurowanego i uwierzytelnionego konta może zawierać złośliwy odsyłacz, fałszywą fakturę albo nakłaniać do podania hasła. W programie pocztowym warto zweryfikować domenę po znaku „@”, adres odsyłacza po najechaniu kursorem oraz zgodność komunikatu z oczekiwanym kontekstem. Warszawskie Pogotowie Komputerowe zajmuje się profesjonalną naprawą laptopów, komputerów PC i podzespołów, a przy diagnostyce problemów z pocztą można również sprawdzić konfigurację programu, konta oraz ustawienia sieciowe na urządzeniu użytkownika.