VRFY

VRFY to polecenie SMTP sprawdzające istnienie adresu na serwerze, dziś zwykle wyłączone ze względów bezpieczeństwa.

VRFY jako polecenie protokołu SMTP

VRFY jest poleceniem protokołu SMTP służącym do sprawdzenia, czy serwer pocztowy rozpoznaje wskazaną skrzynkę lub lokalnego użytkownika. Skrót pochodzi od angielskiego słowa „verify”, czyli „zweryfikuj”. Polecenie jest wysyłane po zestawieniu sesji SMTP, podobnie jak inne komendy sterujące transmisją wiadomości. Klient pocztowy albo narzędzie administracyjne przekazuje do serwera argument, którym zwykle jest lokalna część adresu, pełny adres pocztowy lub nazwa użytkownika.

Serwer odpowiada kodem statusu SMTP oraz tekstem opisowym. Odpowiedź z grupy 2xx może oznaczać, że serwer potrafi potwierdzić istnienie wskazanego odbiorcy. Odpowiedź 5xx wskazuje na trwałe odrzucenie żądania, natomiast odpowiedź 4xx oznacza problem tymczasowy albo brak możliwości wykonania operacji w danym momencie. Konkretna treść odpowiedzi zależy od implementacji serwera, jego konfiguracji oraz sposobu połączenia z lokalnym systemem obsługi skrzynek.

Przebieg sesji i odpowiedzi serwera

VRFY nie jest samodzielnym programem ani mechanizmem szyfrowania. Jest pojedynczą komendą używaną wewnątrz sesji SMTP. Przed jej wysłaniem klient musi nawiązać połączenie z serwerem i przeprowadzić podstawową część dialogu, obejmującą między innymi powitanie serwera oraz komendę identyfikującą klienta, taką jak EHLO. Serwer może następnie zaakceptować VRFY, odrzucić je albo odpowiedzieć, że tej funkcji nie udostępnia.

W typowej sesji odpowiedź może mieć postać kodu 250 z informacją o rozpoznanym użytkowniku, ale nie należy zakładać, że każdy serwer użyje dokładnie takiego formatu. Jeżeli serwer nie chce ujawniać informacji o kontach, może zwracać kod 252, informujący w praktyce, że nie potwierdza adresata, lecz przyjmie wiadomość i spróbuje ją dostarczyć. Może także odpowiadać kodem 502, 504 albo innym kodem wskazującym, że komenda nie jest obsługiwana, argument jest nieprawidłowy lub operacja została zablokowana.

Ważne jest rozróżnienie pomiędzy rozpoznaniem nazwy a rzeczywistą możliwością dostarczenia wiadomości. Pozytywna odpowiedź VRFY nie musi oznaczać, że skrzynka jest aktywna, że użytkownik może odebrać pocztę ani że wiadomość przejdzie przez wszystkie późniejsze filtry. Z kolei brak potwierdzenia nie zawsze dowodzi, że adres jest nieprawidłowy, ponieważ serwer może celowo ukrywać wynik weryfikacji albo stosować jednolitą odpowiedź dla istniejących i nieistniejących odbiorców.

Dlaczego VRFY bywa wyłączone

Jawna odpowiedź na VRFY może ujawniać listę prawidłowych nazw użytkowników lub adresów. Taka informacja może zostać wykorzystana do przygotowania kampanii spamowych, prób logowania, ataków słownikowych albo automatycznego rozpoznawania struktury organizacji. Z tego powodu administratorzy często wyłączają obsługę VRFY albo ograniczają ją do zaufanych klientów, sieci lokalnych i uwierzytelnionych sesji.

Wyłączenie VRFY nie jest błędem protokołu SMTP. Jest decyzją konfiguracyjną wynikającą z ograniczania ujawniania danych o odbiorcach. Serwer może również celowo udzielać odpowiedzi niejednoznacznych, aby utrudnić rozróżnienie istniejących i nieistniejących skrzynek. Współczesny system pocztowy może przyjmować wiadomość dla nieznanego odbiorcy, a dopiero później wygenerować komunikat o niedostarczeniu. Taki model ogranicza wartość zewnętrznej weryfikacji adresów.

Podczas analizy problemu z VRFY trzeba sprawdzić, z którym serwerem nawiązano połączenie, czy sesja została poprawnie rozpoczęta, jaki argument przesłano oraz jaki kod odpowiedzi zwrócono. Istotne są także ograniczenia sieciowe, wymagane uwierzytelnienie, reguły zapory i ustawienia antyspamowe. Sama komenda nie powinna być traktowana jako uniwersalny test poprawności adresu. Między innymi dlatego narzędzia diagnostyczne mogą pokazywać wynik „unsupported”, mimo że normalne wysyłanie wiadomości do prawidłowych odbiorców działa poprawnie.

Rozpoznawanie problemu VRFY w praktyce

Jeżeli narzędzie zgłasza błąd przy użyciu VRFY, najpierw należy ustalić, czy bada właściwy serwer SMTP oraz właściwy port. Serwer poczty wychodzącej, serwer odbiorczy dla domeny i lokalny serwer przekazujący wiadomości mogą mieć odmienne konfiguracje. Należy również uwzględnić fakt, że połączenie szyfrowane lub uwierzytelnione może udostępniać inny zakres komend niż połączenie anonimowe. Odpowiedź serwera powinna być oceniana razem z pełnym zapisem sesji SMTP, a nie na podstawie pojedynczego komunikatu aplikacji.

Diagnostyka komputera może obejmować sprawdzenie ustawień programu pocztowego, adresu serwera SMTP, numeru portu, sposobu szyfrowania i wymogu uwierzytelniania. Trzeba jednak oddzielić problem z komendą VRFY od problemu z wysyłaniem poczty. Jeżeli wiadomości są wysyłane prawidłowo, a jedynie test VRFY kończy się odmową, przyczyną może być zamierzone wyłączenie tej funkcji po stronie serwera. Jeżeli nie działa również wysyłanie, należy zbadać logowanie, certyfikat TLS, odrzucenie nadawcy, blokadę adresu IP i odpowiedzi zwracane po komendach MAIL FROM oraz RCPT TO.

W przypadku awarii komputera używanego do obsługi poczty przydatne jest zebranie dokładnego komunikatu błędu, informacji o systemie, nazwie programu pocztowego oraz aktualnej konfiguracji połączenia. Nie należy włączać VRFY tylko po to, aby uzyskać pozornie prosty test adresu, ponieważ decyzja o jego udostępnieniu należy do administratora danego serwera i powinna uwzględniać bezpieczeństwo całej usługi pocztowej. Naprawa laptopa lub komputera PC może przywrócić działanie programu, sieci albo lokalnych ustawień, lecz nie zmieni polityki zdalnego serwera SMTP ani jego odpowiedzi na polecenie VRFY.