Как работает подмена адреса электронной почты

Основной протокол электронной почты, SMTP, был разработан в начале 1980-х годов для небольшой доверенной сети исследователей. В нём нет встроенной аутентификации отправителя.

Именно это исходное допущение о доверии объясняет, почему сегодня так легко подделывать электронные письма. Любой, кто может установить соединение с почтовым сервером по SMTP, может выдать себя за кого угодно, если поверх протокола не используются дополнительные средства защиты (SPF, DKIM, DMARC).

Важно понимать: у электронного письма фактически есть два набора адресов, и они не обязаны совпадать.

• Конверт (MAIL FROM) — используется почтовыми серверами для маршрутизации сообщения и обработки недоставки; пользователь его не видит
• Заголовок «От кого» — строка «От кого:», отображаемая в почтовом клиенте

Подмена использует эту разницу: в видимом поле «От кого» можно указать что угодно, независимо от того, кто на самом деле отправил сообщение.

Поскольку SMTP не проверяет личность отправителя, атакующий может просто указать в заголовке «От кого» доверенный адрес. Необработанный диалог SMTP выглядит так:

Подделанные письма лежат в основе нескольких крупных категорий атак:

• Фишинг — обман пользователей с целью заставить их ввести учётные данные
• Компрометация деловой почты (BEC) — выдача себя за руководителя, чтобы санкционировать мошеннические платежи
• Доставка вредоносного ПО — вложения, которые выглядят так, будто пришли от коллеги

Сообщению, которое выглядит отправленным от Вашего CEO или банка, гораздо охотнее доверяют и выполняют его указания.

Подмена с использованием точного домена подделывает заголовок «От кого», указывая Ваш настоящий домен, например ceo@yourcompany.com.

Это наиболее опасная форма подмены: адрес действительно правильный, и в нём нет опечатки, которую можно заметить. Без аутентификации электронной почты принимающий сервер не может узнать, что сообщение поступило не из Вашей настоящей инфраструктуры.

SPF, DKIM и DMARC существуют прежде всего для предотвращения подмены с использованием точного домена.

Когда аутентификация блокирует подмену с использованием точного домена, атакующие переходят к доменам-двойникам, которыми они действительно владеют и управляют:

Даже при наличии всех средств защиты атакующие злоупотребляют отображаемым именем — понятным текстом, который показывается перед адресом.

Многие почтовые клиенты, особенно на мобильных устройствах, показывают только отображаемое имя и скрывают настоящий адрес. Поэтому письмо от:

"Acme CEO" <random123@gmail.com>

может отображаться просто как CEO Acme. Адрес действительно принадлежит почтовому сервису, поэтому аутентификация проходит успешно, однако пользователь оказывается обманут. Это человеческая проблема, которую аутентификация решить не может.

Чтобы исследовать подозрительное сообщение, изучите его заголовки целиком. В них записаны путь сообщения и результаты аутентификации.

Заголовки «Получено» образуют цепочку, которую следует читать снизу вверх: она показывает каждый сервер, через который прошло сообщение.

Тревожные признаки:

• исходный сервер, не принадлежащий заявленному отправителю
• несовпадение между обратным путём и доменом отправителя
• подозрительное или неожиданное географическое расположение IP-адресов

Вместе со строкой результатов аутентификации цепочка заголовков часто быстро разоблачает подделку.

Три взаимодополняющих стандарта работают вместе, делая электронную почту более надёжной. Каждый устраняет отдельный пробел в защите:

• SPF — определяет, каким серверам разрешено отправлять почту от имени Вашего домена (отправитель конверта)
• DKIM — криптографически подписывает сообщения, чтобы можно было обнаружить их изменение и подделку
• DMARC — связывает SPF и DKIM с видимым заголовком «От кого» и сообщает получателям, что делать при ошибке проверки

В следующих трёх уроках Вы изучите каждый из этих стандартов.

SPF, DKIM и DMARC предотвращают подмену с использованием точного домена доменов, которыми Вы управляете. Они не предотвращают:

• использование доменов-двойников, которыми владеет атакующий и которые он правильно аутентифицирует
• обман с отображаемым именем
• отправку настоящих аутентифицированных писем со скомпрометированных легитимных учётных записей

Аутентификация электронной почты необходима, но её следует сочетать с обучением пользователей распознавать угрозы и фильтрацией входящей почты. Здесь также действует принцип эшелонированной защиты.

Вы узнали, почему электронную почту легко подделать:

• В SMTP нет встроенной аутентификации отправителя
• Отправитель конверта и видимый заголовок «От кого» не обязаны совпадать
• Подмена позволяет осуществлять фишинг, BEC и доставку вредоносного ПО с помощью точного домена, доменов-двойников и обмана с отображаемым именем
• Заголовки электронной почты и строка результатов аутентификации помогают исследовать подделки
• SPF, DKIM и DMARC вместе защищают от подмены с использованием точного домена, но не являются полным решением

Далее Вы узнаете, как SPF разрешает отправку доверенным серверам.