Jak działa spoofing poczty elektronicznej

Podstawowy protokół poczty e-mail, SMTP, zaprojektowano na początku lat 80. XX wieku z myślą o małej, zaufanej sieci naukowców. Nie ma on wbudowanego uwierzytelniania nadawcy.

To pierwotne założenie zaufania sprawia, że obecnie tak łatwo jest podszyć się pod nadawcę wiadomości e-mail. Każdy, kto może komunikować się z serwerem pocztowym za pomocą SMTP, może podać się za dowolną osobę, chyba że zastosowano dodatkowe zabezpieczenia (SPF, DKIM, DMARC).

Ważne jest zrozumienie, że wiadomość e-mail ma w rzeczywistości dwa zestawy adresów, które nie muszą być takie same.

• Koperta (MAIL FROM) — służy serwerom pocztowym do kierowania wiadomości i obsługi zwrotek; użytkownik jej nie widzi
• Nagłówek From — wiersz „From:” wyświetlany w kliencie poczty

Podszywanie się wykorzystuje tę różnicę: widoczny nagłówek From może zawierać dowolną treść, niezależnie od tego, kto rzeczywiście wysłał wiadomość.

Ponieważ SMTP nie weryfikuje tożsamości, atakujący może po prostu ustawić nagłówek From na zaufany adres. Surowa sesja SMTP wygląda tak:

Podszywanie się pod nadawcę wiadomości e-mail stanowi podstawę wielu głównych kategorii ataków:

• Phishing — nakłanianie użytkowników do wprowadzenia danych uwierzytelniających
• Business Email Compromise (BEC) — podszywanie się pod osobę zarządzającą w celu autoryzowania fałszywych płatności
• Dostarczanie złośliwego oprogramowania — załączniki wyglądające tak, jakby pochodziły od współpracownika

Wiadomość, która wygląda na wysłaną przez dyrektora generalnego lub bank, ma znacznie większą szansę wzbudzić zaufanie i skłonić odbiorcę do działania.

Spoofing dokładnej domeny polega na sfałszowaniu nagłówka From tak, aby używał rzeczywistej domeny, na przykład ceo@yourcompany.com.

To najniebezpieczniejsza forma, ponieważ adres jest rzeczywiście poprawny i nie zawiera literówki, którą można byłoby zauważyć. Bez uwierzytelniania poczty serwer odbierający nie ma możliwości stwierdzenia, że wiadomość nie pochodzi z prawdziwej infrastruktury nadawcy.

SPF, DKIM i DMARC służą przede wszystkim do powstrzymywania spoofingu dokładnej domeny.

Gdy uwierzytelnianie blokuje spoofing dokładnej domeny, atakujący sięgają po domeny łudząco podobne, które faktycznie posiadają i kontrolują:

Nawet przy zastosowaniu wszystkich zabezpieczeń atakujący mogą wykorzystać nazwę wyświetlaną, czyli przyjazny tekst widoczny przed adresem.

Wiele klientów poczty, szczególnie na urządzeniach mobilnych, pokazuje tylko nazwę wyświetlaną i ukrywa rzeczywisty adres. Dlatego wiadomość od:

"Acme CEO" <random123@gmail.com>

może być wyświetlana po prostu jako Acme CEO. Adres jest prawidłowym adresem Gmaila, więc uwierzytelnianie przebiega pomyślnie, a mimo to użytkownik zostaje oszukany. Jest to problem po stronie człowieka, którego uwierzytelnianie nie może rozwiązać.

Aby zbadać podejrzaną wiadomość, należy przeanalizować jej pełne nagłówki. Zapisują one trasę, którą przebyła wiadomość, oraz wyniki uwierzytelniania.

Nagłówki Received tworzą łańcuch, który należy odczytywać od dołu do góry. Pokazuje on każdy serwer, przez który przeszła wiadomość.

Sygnały ostrzegawcze obejmują:

• serwer źródłowy, który nie należy do deklarowanego nadawcy
• niezgodność między domeną Return-Path a domeną From
• podejrzane lub nieoczekiwane geolokalizacje adresów IP

W połączeniu z wierszem Authentication-Results łańcuch nagłówków często szybko ujawnia fałszerstwo.

Trzy uzupełniające się standardy współdziałają, aby zwiększyć wiarygodność poczty e-mail. Każdy z nich rozwiązuje inny problem:

• SPF — określa, które serwery mogą wysyłać pocztę dla Państwa domeny (nadawca koperty)
• DKIM — podpisuje wiadomości kryptograficznie, dzięki czemu można wykryć ich modyfikację i fałszerstwo
• DMARC — wiąże SPF i DKIM z widocznym nagłówkiem From oraz informuje odbiorców, co zrobić w przypadku niepowodzenia

Każdy z tych standardów zostanie omówiony w trzech kolejnych lekcjach.

SPF, DKIM i DMARC powstrzymują spoofing dokładnej domeny w domenach, które Państwo kontrolują. Nie powstrzymują jednak:

• domen podobnych, które atakujący posiada i prawidłowo uwierzytelnia
• oszustw z nazwą wyświetlaną
• przejętych prawidłowych kont wysyłających rzeczywistą, uwierzytelnioną pocztę

Uwierzytelnianie poczty e-mail jest niezbędne, ale należy je połączyć ze szkoleniami uświadamiającymi dla użytkowników oraz filtrowaniem poczty przychodzącej. Także tutaj obowiązuje zasada ochrony warstwowej.

W tej lekcji dowiedzieli się Państwo, dlaczego pocztę e-mail tak łatwo sfałszować:

• SMTP nie ma wbudowanego uwierzytelniania nadawcy
• Nadawca koperty i widoczny nagłówek From nie muszą być takie same
• Spoofing umożliwia phishing, BEC i dostarczanie złośliwego oprogramowania za pomocą sztuczek z dokładną domeną, domenami podobnymi i nazwą wyświetlaną
• Nagłówki wiadomości e-mail i wiersz Authentication-Results pomagają badać fałszerstwa
• SPF, DKIM i DMARC wspólnie chronią przed spoofingiem dokładnej domeny, ale nie stanowią kompletnego rozwiązania

W następnej części dowiedzą się Państwo, jak SPF autoryzuje prawidłowe serwery wysyłające.