Weryfikacja tożsamości na podstawie nagłówków analizuje pola techniczne wiadomości w celu potwierdzenia jej pochodzenia.
Jak nagłówki opisują drogę wiadomości
Weryfikacja tożsamości na podstawie nagłówków polega na analizie technicznych pól dołączonych do wiadomości e-mail. Nagłówki nie są tym samym co temat, treść ani podpis widoczny dla odbiorcy. Zawierają między innymi adres nadawcy używany przez program pocztowy, adres koperty SMTP, informacje o serwerach pośredniczących, identyfikator wiadomości, datę, temat oraz dane dotyczące mechanizmów uwierzytelniania. Ich analiza może pomóc ustalić, z jakiego systemu wiadomość została wysłana i przez jakie serwery przechodziła, ale sama obecność określonego pola nie stanowi jeszcze dowodu autentyczności.
Najważniejszym elementem śledzenia trasy są pola Received. Serwer pocztowy dopisuje własny wpis po przyjęciu wiadomości, dlatego kolejne wpisy należy czytać od dołu do góry: najniższy zapis zwykle opisuje wcześniejszy etap, a najwyższy ostatni serwer obsługujący wiadomość. Wpis może zawierać nazwę hosta, adres IP, użyty protokół, identyfikator połączenia i znacznik czasu. Analizujący porównuje te informacje z konfiguracją domeny, strefą DNS oraz kolejnością zdarzeń. Niespójny czas, nieistniejąca nazwa hosta, prywatny adres IP w miejscu publicznego serwera albo nagły przeskok między odległymi etapami mogą wskazywać na nietypowe źródło, błędną konfigurację lub ręczną modyfikację nagłówków.
Pola From, Return-Path i Message-ID
Pole From określa adres prezentowany odbiorcy jako nadawca, lecz w protokole pocztowym nie jest ono samodzielnym mechanizmem uwierzytelniania. Nadawca może technicznie umieścić w nim dowolną domenę, jeżeli serwer odbiorcy nie zastosuje dodatkowych kontroli. Return-Path wskazuje adres koperty SMTP, na który kierowane są komunikaty o niedostarczeniu. Rozbieżność między From, Sender i Return-Path nie zawsze oznacza fałszerstwo, ponieważ występuje także przy legalnych systemach wysyłkowych, przekazywaniu wiadomości i automatycznych powiadomieniach. Jest jednak sygnałem, który należy zestawić z wynikami SPF, DKIM i DMARC.
Pole Message-ID jest identyfikatorem nadanym wiadomości przez program lub serwer pocztowy. Często zawiera nazwę domeny albo nazwę hosta, ale jego format nie jest wystarczającym potwierdzeniem pochodzenia. Identyfikator może być nieobecny, powielony, nietypowy albo wygenerowany przez urządzenie lokalne. Przydatne jest porównanie kilku wiadomości z tego samego konta: zgodność schematu identyfikatorów, nazw serwerów, stref czasowych i kolejności pól może ujawnić zmianę źródła. Nie wolno jednak uznawać podobnego formatu Message-ID za dowód, że wiadomość rzeczywiście wysłała wskazana osoba lub organizacja.
SPF, DKIM i DMARC jako kontrola pochodzenia
SPF, czyli Sender Policy Framework, pozwala domenie opublikować w DNS rekord TXT zawierający serwery uprawnione do wysyłania wiadomości dla określonej domeny koperty SMTP. Serwer odbiorcy porównuje adres IP połączenia z tą polityką i zapisuje wynik, na przykład pass, fail, softfail, neutral albo none. SPF dotyczy przede wszystkim domeny użytej w mechanizmie SMTP MAIL FROM, a niekoniecznie domeny widocznej w polu From. Przekazywanie poczty może powodować niepowodzenie SPF, nawet gdy wiadomość pochodzi z prawidłowego źródła.
DKIM, czyli DomainKeys Identified Mail, dodaje do wiadomości podpis kryptograficzny w polu DKIM-Signature. Odbiorca pobiera klucz publiczny z rekordu DNS wskazanego przez selektor i sprawdza, czy podpisane nagłówki oraz treść nie zostały zmienione. Istotne są między innymi parametry d, s, h i bh. Wynik dkim=pass potwierdza poprawność podpisu dla określonej domeny, ale nie oznacza automatycznie, że domena w podpisie jest zgodna z adresem widocznym w From. DMARC wykorzystuje wyniki SPF i DKIM oraz sprawdza zgodność domen. W nagłówku Authentication-Results można znaleźć podsumowanie kontroli wykonanych przez serwer odbiorcy. Ten wpis powinien być interpretowany jako wynik konkretnego serwera, a nie jako niezależne oświadczenie nadawcy.
Analiza nagłówków na urządzeniu użytkownika
Praktyczna diagnostyka zaczyna się od uzyskania pełnych nagłówków, a nie od skopiowania skróconego widoku wiadomości. Programy pocztowe i interfejsy webmail często ukrywają pola Received, Authentication-Results, ARC-Seal, ARC-Message-Signature oraz Return-Path. Do analizy potrzebny jest oryginalny zapis, najlepiej w formacie źródła wiadomości, bez ponownego przesyłania jej jako załącznika. Warto zachować także dokładny temat, datę odebrania i informację, z którego konta wiadomość została pobrana, ponieważ klient pocztowy może prezentować datę według lokalnej strefy czasowej.
Weryfikacja może ujawnić podszycie się pod adres, błędne rekordy DNS, nieprawidłową konfigurację klienta pocztowego, nietypowy serwer przekazujący albo problem z interpretacją podpisu po przekierowaniu wiadomości. Nie pozwala natomiast pewnie ustalić tożsamości człowieka siedzącego przy komputerze. Nagłówki opisują dane techniczne transportu i deklaracje systemów pocztowych; ich wiarygodność zależy od tego, które serwery je dodały i czy odbiorca zweryfikował podpisy. Warszawskie Pogotowie Komputerowe zajmuje się profesjonalną naprawą laptopów i komputerów PC, w tym diagnostyką problemów z oprogramowaniem pocztowym, połączeniem sieciowym oraz odczytem technicznych informacji potrzebnych do oceny źródła wiadomości.
