Weryfikacja nadawcy to potwierdzenie jego uprawnień do wysyłki, oparte na mechanizmach uwierzytelniania domeny.
Co dokładnie oznacza weryfikacja nadawcy
Weryfikacja nadawcy wiadomości e-mail polega na sprawdzeniu, czy serwer wysyłający ma prawo korzystać z danej domeny oraz czy treść wiadomości nie została zmieniona po jej podpisaniu. Nie jest to potwierdzenie tożsamości konkretnej osoby siedzącej przed komputerem. Mechanizmy pocztowe oceniają przede wszystkim domenę wskazaną w adresie nadawcy, serwer wysyłający oraz zgodność wybranych elementów wiadomości z informacjami zapisanymi w systemie DNS.
Podczas dostarczania poczty występują co najmniej dwa istotne adresy. Jeden znajduje się w kopercie SMTP, w polu MAIL FROM, i służy między innymi do obsługi zwrotek. Drugi jest widoczny dla użytkownika w nagłówku From:. Te adresy mogą się różnić, dlatego samo wyświetlenie znanego adresu w programie pocztowym nie dowodzi, że wiadomość rzeczywiście pochodzi od właściciela tej domeny. Weryfikacja nadawcy porównuje te informacje z wynikami uwierzytelniania.
SPF sprawdza uprawnienia serwera wysyłającego
SPF, czyli Sender Policy Framework, jest mechanizmem opisanym w RFC 7208. Właściciel domeny publikuje w DNS rekord TXT zawierający listę dozwolonych adresów IP, zakresów sieci lub innych mechanizmów wskazujących serwery uprawnione do wysyłania poczty. Serwer odbiorczy odczytuje rekord SPF dla domeny z koperty SMTP, zwykle związanej z wartością MAIL FROM, a następnie porównuje ją z adresem IP połączenia wysyłającego.
Wynik kontroli SPF może mieć między innymi wartość pass, fail, softfail, neutral, none albo temperror. Rekord kończący się mechanizmem -all wyraża ścisłą deklarację, że inne serwery nie są uprawnione do wysyłki. Zapis ~all oznacza łagodniejsze oznaczenie wiadomości niespełniających reguły. SPF nie podpisuje treści wiadomości i nie chroni bezpośrednio nagłówka From:, dlatego jego pozytywny wynik nie zawsze wystarcza do rozpoznania próby podszycia się pod konkretną domenę.
DKIM i DMARC łączą podpis z widocznym adresem
DKIM, opisany w RFC 6376, dodaje do wiadomości podpis kryptograficzny w nagłówku DKIM-Signature. Nadawca tworzy podpis przy użyciu klucza prywatnego, a serwer odbiorczy pobiera odpowiadający mu klucz publiczny z rekordu DNS TXT pod nazwą zawierającą selektor oraz domenę podpisującą. Weryfikacja obejmuje wybrane nagłówki i część treści wiadomości. Jeżeli podpis jest prawidłowy, odbiorca może stwierdzić, że podpisująca domena miała dostęp do właściwego klucza, a objęte podpisem elementy nie zostały zmienione.
DMARC, opisany w RFC 7489, wykorzystuje wyniki SPF i DKIM oraz sprawdza ich zgodność z domeną widoczną w nagłówku From:. Taka zgodność jest nazywana alignment. Polityka DMARC jest publikowana w rekordzie TXT pod nazwą _dmarc i może określać działanie dla wiadomości niespełniających wymagań: p=none służy do obserwacji, p=quarantine sugeruje skierowanie wiadomości do kwarantanny, a p=reject zaleca odrzucenie. DMARC może również wskazywać adresy do odbierania raportów o wynikach kontroli, ale sama obecność rekordu nie gwarantuje, że każda wiadomość od tej domeny zostanie bezwarunkowo odrzucona przez wszystkie systemy.
Jak rozpoznać wynik kontroli w nagłówkach wiadomości
Najbardziej użytecznych informacji należy szukać w pełnych nagłówkach, a nie wyłącznie w nazwie wyświetlanej przy wiadomości. Wpis Authentication-Results może zawierać wyniki SPF, DKIM i DMARC, na przykład spf=pass, dkim=pass lub dmarc=fail. Przy DKIM warto sprawdzić także domenę d= oraz selektor s=. Przy SPF istotna jest domena użyta podczas sprawdzania, ponieważ może być inna niż domena widoczna w polu From:.
Wynik pass nie oznacza automatycznie, że wiadomość jest bezpieczna, a wynik fail nie musi oznaczać awarii programu pocztowego. Wiadomość może zostać wysłana przez legalny system z błędną konfiguracją SPF, utracić podpis DKIM po modyfikacji przez pośredni filtr albo przejść SPF dla domeny technicznej, lecz nie spełnić wymogu zgodności DMARC z adresem widocznym dla odbiorcy. Przy diagnostyce trzeba więc zestawić pełne nagłówki, rekordy DNS, trasę serwerów w nagłówkach Received: oraz sposób konfiguracji konta w używanym programie pocztowym.
Na komputerze lokalnym można również sprawdzić, czy problem dotyczy pojedynczej aplikacji, czy całej skrzynki. Warto porównać wiadomości wysłane z przeglądarki i z programu pocztowego, zweryfikować poprawność adresu nadawcy oraz wykluczyć zmianę konfiguracji po aktualizacji klienta. Warszawskie Pogotowie Komputerowe zajmuje się profesjonalną naprawą laptopów, komputerów PC i ich podzespołów, dlatego w przypadku problemów z aplikacją pocztową działającą na komputerze można rozpocząć od diagnostyki urządzenia i lokalnego środowiska systemowego.
