Branje pošiljatelja in glav sporočila

Modul 3: Prepoznavanje lažnega predstavljanja (phishing) · Čas branja: 13 minut

Cilj učenja: Po tej lekciji boste znali presoditi pošiljatelja sporočila na podlagi prikaznega imena, naslova From, Reply-To, Return-Path, vrstic Received ter izida SPF, DKIM in DMARC v Authentication-Results.
Ključni pojmi: prikazno ime, From, Reply-To, Return-Path, Received, Authentication-Results, izid SPF/DKIM/DMARC, uskladitev (alignment)

Kaj vidite in kaj dejansko piše

Program za e-pošto Vam običajno pokaže le majhen del podatkov o pošiljatelju: ime, včasih naslov. Za tem se skriva sklop tehničnih vrstic, ki jih ne vidite, imenovan glave (headers). V njih piše, kdo naj bi bil pošiljatelj, kam želi prejeti odgovore, prek katerih strežnikov je sporočilo potovalo in kaj je Vaš poštni strežnik preveril.

Za branje ni treba biti tehnično podkovani. Potrebujete jih šest:

Prve tri lahko pošiljatelj zapiše poljubno. Šele pri zadnjih treh pride do dejanskega preverjanja.

Prikazno ime ne pove ničesar

Prikazno ime je zgolj besedilo. Vsakdo lahko kot ime uporabi "Mijnbank Klantenservice" ali ime Vašega direktorja. Veliko programov za e-pošto, zlasti na telefonu, prikaže samo to ime. Znan trik je naslov znotraj imena:

From: "info@mijnbank.example" <noreply@aanvaller.example>

Vidite info@mijnbank.example, toda pravi naslov se nahaja med oglatimi oklepaji. Zato vedno tapnite ali kliknite na ime, da vidite celoten naslov.

Tudi sam naslov From je mogoče ponarediti: v protokolu za e-pošto lahko strežnik navede poljuben naslov From. Ali to uspe, ne da bi sporočilo pristalo v mapi za neželeno pošto, je odvisno od nastavitev SPF, DKIM in DMARC domene, ki jo posnemajo. O tem govori preostanek te lekcije.

Reply-To: odgovor nekomu drugemu

Z glavo Reply-To sporočilo pove: "ne odgovarjajte meni, temveč na ta naslov". Novičniki in spletni obrazci to uporabljajo povsem običajno. Prevaranti to izkoristijo za prevzem pogovora. Sporočilo prispe z resničnega ali videti resničnega naslova, toda Vaš odgovor, z zahtevanimi podatki ali potrditvijo plačila, gre k napadalcu.

From: Leverancier Meel <administratie@leverancier.example>
Reply-To: <administratie@leverancier-betalingen.example>

Pri zahtevi po denarju ali podatkih vedno preverite naslov v oknu za odgovor, preden kliknete Pošlji.

Return-Path, Received in pot sporočila

Return-Path je naslov, na katerega gredo sporočila o napakah. Imenujemo ga tudi ovojni pošiljatelj (envelope sender): naslov na zunanji strani ovojnice, medtem ko je From zapisan na samem pismu. Na tej domeni preverja SPF. Pri novičnikih in računih iz računovodskega programa je Return-Path pogosto domena ponudnika za pošiljanje pošte. To je povsem običajno.

Vsak strežnik, ki sporočilo posreduje naprej, doda svojo vrstico Received na vrh. Berete jih torej od spodaj navzgor: spodnja vrstica je začetek poti, zgornja zadnja postaja (Vaš lastni poštni strežnik). Pozor: zaupate lahko samo zgornjim vrsticam, ki jih je dodal Vaš lastni ponudnik. Pod njimi lahko pošiljatelj doda izmišljene vrstice.

Authentication-Results: izid preverjanja

Vaš lastni poštni strežnik ob prejemu preveri tri stvari (več razlage v modulu 4 in tečaju o DNS):

• SPF: ali je ta strežnik smel pošiljati pošto za domeno v Return-Path?
• DKIM: ali se digitalni podpis ujema, in kateri domeni pripada (d= ali header.d=)?
• DMARC: ali vsaj eno od teh dveh uspešnih preverjanj pripada domeni v From? Temu pravimo uskladitev (alignment). "Pripada" pomeni: ista registrirljiva domena (lekcija 3.2). mail.mijnbank.example je usklajen z mijnbank.example (ista registrirljiva domena).

Izid je zapisan v Authentication-Results. Zaupajte samo vrstici, pred katero je ime Vašega lastnega poštnega strežnika; tudi pošiljatelj lahko sam doda takšno vrstico.

Najpomembnejši nasvet: dmarc=pass pomeni samo "to sporočilo res prihaja z domene v From". Ne pove ničesar o tem, ali je tej domeni mogoče zaupati. Napadalec z lastno videti podobno domeno (lookalike) lahko vse pravilno nastavi na pass.

V praksi: tako je videti

Trije posnemani sklopi glav, skrajšani na vrstice, ki so pomembne. Prejemnik je Bakkerij Example; lasten poštni strežnik se imenuje mx1.example.com.

Primer 1: pristno.

Return-Path: <bounce-7731@mail.mijnbank.example>
Received: from out3.mail.mijnbank.example (out3.mail.mijnbank.example [198.51.100.40])
	by mx1.example.com with ESMTPS; Sun, 08 Nov 2026 09:14:06 +0100
Authentication-Results: mx1.example.com;
	spf=pass smtp.mailfrom=mail.mijnbank.example;
	dkim=pass header.d=mijnbank.example header.s=sel2026;
	dmarc=pass (p=reject) header.from=mijnbank.example
From: Mijnbank <info@mijnbank.example>
To: info@example.com
Subject: Je jaaroverzicht 2026 staat klaar

Domena From je mijnbank.example, DKIM je podpisan z mijnbank.example in Return-Path spada pod isto domeno: oboje je usklajeno, DMARC uspe. Sporočilo res prihaja s te domene. Za letni pregled kljub temu pojdite do banke prek svojega zaznamka (bookmark).

Primer 2: ponarejen pošiljatelj.

Return-Path: <x7@mailer.aanvaller.example>
Received: from mailer.aanvaller.example (mailer.aanvaller.example [203.0.113.66])
	by mx1.example.com with ESMTP; Sun, 08 Nov 2026 10:02:41 +0100
Authentication-Results: mx1.example.com;
	spf=pass smtp.mailfrom=mailer.aanvaller.example;
	dkim=none;
	dmarc=fail (p=none) header.from=leverancier.example
From: Leverancier Meel <administratie@leverancier.example>
Reply-To: <administratie@leverancier-betalingen.example>
Subject: Nieuw rekeningnummer

SPF uspe, toda za aanvaller.example, ne za domeno From. Podpisa ni. DMARC torej odpove. Ker ima dobavitelj nastavljeno p=none, je bilo sporočilo kljub temu dostavljeno. Pri p=reject bi bilo zavrnjeno. K temu se pridruži še Reply-To, ki kaže na drugo domeno. Lažno.

Primer 3: videti podobna domena (lookalike) z vsem na pass.

Return-Path: <service@mijnbank-veilig.example>
Received: from smtp.mijnbank-veilig.example (smtp.mijnbank-veilig.example [192.0.2.77])
	by mx1.example.com with ESMTPS; Sun, 08 Nov 2026 11:20:13 +0100
Authentication-Results: mx1.example.com;
	spf=pass smtp.mailfrom=mijnbank-veilig.example;
	dkim=pass header.d=mijnbank-veilig.example header.s=k1;
	dmarc=pass (p=reject) header.from=mijnbank-veilig.example
From: Mijnbank Klantenservice <service@mijnbank-veilig.example>
Subject: Potrdite svoje podatke za novo plačilno kartico

Vse uspe, saj je napadalec za svojo lastno domeno vse pravilno nastavil. Toda mijnbank-veilig.example ni mijnbank.example prave banke. Lažno.

Samostojno odpiranje glav. V spletni pošti, ki temelji na Roundcube (kot pri WebOké), odprete sporočilo in v meniju Več (tri pike) izberete Prikaži izvorno kodo. Drugi programi to poimenujejo na primer "Prikaži original" ali "Izvorna koda sporočila". V besedilu poiščite Authentication-Results. Na telefonu to pogosto ni mogoče; v tem primeru si sporočilo oglejte v spletni pošti na računalniku.

Povzetek

• Prikazno ime, From in Reply-To zapiše pošiljatelj sam. Pred odgovorom vedno preverite pravi naslov in Reply-To.
• Return-Path je ovojni naslov, na katerem preverja SPF. Vrstice Received berite od spodaj navzgor; zaupajte samo tistim od Vašega lastnega ponudnika.
• Authentication-Results prikazuje izid SPF, DKIM in DMARC. DMARC preveri, ali je SPF ali DKIM usklajen z domeno From.
• dmarc=fail pri znani domeni je močan znak ponarejanja.
• dmarc=pass dokazuje samo, da sporočilo prihaja z domene v From. Vedno preverite, ali je ta domena pristna.

Kviz

Naloga

Naloga A3.3: Branje glav sporočila. Prejmete tri sklope glav. Za vsak sklop vpišite: domeno v Return-Path, domeno DKIM-podpisa (d=), izid DMARC ter ali je sporočilo pristno ali lažno. Program preveri odgovore in pri napaki pokaže vrstico, kjer je odgovor zapisan.

Za dodatno branje

Koraki v člankih WebOké veljajo za okolje WebOké; pri drugih ponudnikih je postopek podoben.

• Kaj je DMARC? Razlaga v preprostem jeziku
• Moja e-pošta ne prispe ali konča v neželeni pošti: tako to ugotovite
• Javno preverjanje e-pošte (SPF, DMARC, MX) za domeno: https://www.weboke.si/preverjanje-e-poste, in test e-pošte na internet.nl: https://internet.nl
• Tečaj DNS, lekciji 4.3 SPF, 4.4 DKIM in 4.5 DMARC: https://www.weboke.si/dns-cursus
• RFC 8601, Authentication-Results: https://www.rfc-editor.org/rfc/rfc8601