Sådan fungerer email-spoofing

Fordi SMTP ikke bekræfter identiteten, kan en angriber ganske enkelt angive en adresse, der er tillid til, i From-headeren. En rå SMTP-samtale ser sådan ud:

Forfalskede e-mails er grundlaget for flere vigtige angrebskategorier:

• Phishing — at narre brugere til at indtaste legitimationsoplysninger
• Business Email Compromise (BEC) — at udgive sig for at være en leder for at godkende svigagtige betalinger
• Levering af malware — vedhæftede filer, der ser ud, som om de kommer fra en kollega

En besked, der ser ud til at komme fra din administrerende direktør eller din bank, har langt større sandsynlighed for at blive betroet og fulgt.

Forfalskning af det nøjagtige domæne ændrer From-headeren, så den bruger dit rigtige domæne, f.eks. ceo@yourcompany.com.

Dette er den farligste form, fordi adressen faktisk er korrekt, og der ikke er nogen tastefejl at opdage. Uden e-mailautentificering har en modtagende server ingen mulighed for at vide, at beskeden ikke kom fra din faktiske infrastruktur.

SPF, DKIM og DMARC findes primært for at stoppe forfalskning af det nøjagtige domæne.

Når autentificering blokerer forfalskning af det nøjagtige domæne, går angribere over til domæner, der ligner de ægte, og som de selv ejer og kontrollerer:

Selv når alle beskyttelser er på plads, misbruger angribere visningsnavnet, den venlige tekst, der vises før adressen.

Mange e-mailklienter, især på mobilen, viser kun visningsnavnet og skjuler den faktiske adresse. Derfor kan en e-mail fra:

"Acme CEO" <random123@gmail.com>

blot se ud som Acme CEO. Adressen er legitim for Gmail, så autentificeringen går igennem, men brugeren bliver narret. Det er et menneskeligt problem, som autentificering ikke kan løse.

Hvis du vil undersøge en mistænkelig besked, skal du se på de fulde headere. De registrerer den vej, beskeden har fulgt, og resultaterne af autentificeringen.

Received-headerne danner en kæde, der læses nedefra og op, og som viser hver server, beskeden passerede igennem.

Advarselstegn omfatter:

• En oprindelig server, der ikke tilhører den angivne afsender
• Uoverensstemmelse mellem Return-Path og From-domænet
• Mistænkelige eller uventede geografiske placeringer for IP-adresser

Sammen med linjen Authentication-Results afslører headerkæden ofte hurtigt en forfalskning.

Tre supplerende standarder arbejder sammen om at gøre e-mail pålidelig. Hver standard håndterer en forskellig mangel:

• SPF — autoriserer, hvilke servere der må sende e-mail for dit domæne (konvolutafsenderen)
• DKIM — signerer beskeder kryptografisk, så manipulation og forfalskning kan opdages
• DMARC — knytter SPF og DKIM til den synlige From-header og fortæller modtagerne, hvad de skal gøre ved en fejl

Du gennemgår hver af dem i de næste tre lektioner.

SPF, DKIM og DMARC stopper forfalskning af det nøjagtige domæne for domæner, du kontrollerer. De stopper ikke:

• Domæner, der ligner de ægte, og som angriberen ejer og autentificerer korrekt
• Bedrag med visningsnavne
• Kompromitterede legitime konti, der sender ægte, autentificeret e-mail

E-mailautentificering er afgørende, men den skal kombineres med oplæring af brugere i sikkerhedsbevidsthed og filtrering af indgående e-mail. Forsvar i dybden gælder også her.

Du har lært, hvorfor e-mails er nemme at forfalske:

• SMTP har ingen indbygget autentificering af afsenderen
• Afsenderen i konvolutten og den synlige Header From behøver ikke at stemme overens
• Forfalskning bruges til phishing, BEC og levering af malware gennem forfalskning af det nøjagtige domæne, lignende domæner og visningsnavne
• E-mailens headere og linjen Authentication-Results hjælper med at undersøge forfalskninger
• SPF, DKIM og DMARC beskytter tilsammen mod forfalskning af det nøjagtige domæne, men udgør ikke en komplet løsning

Dernæst skal du lære, hvordan SPF autoriserer legitime afsenderservere.