Saatja ja päiste lugemine

Moodul 3: Andmepüügi äratundmine · Lugemisaeg: 13 minutit

Õpieesmärk: pärast seda õppetundi oskad hinnata kirja saatjat kuvatava nime, From-aadressi, Reply-To, Return-Path, Received-ridade ja Authentication-Results väljas oleva SPF, DKIM ning DMARC tulemuse põhjal.
Põhimõisted: kuvatav nimi, From, Reply-To, Return-Path, Received, Authentication-Results, SPF/DKIM/DMARC tulemus, joondus

Mida sa näed ja mis tegelikult seal kirjas on

Meiliprogramm näitab sulle tavaliselt vaid väikest osa saatja andmetest: nime, mõnikord aadressi. Selle taga on plokk tehnilisi ridu, mida sa ei näe: päised. Neis on kirjas, kelleks kiri end väidab olevat, kuhu vastused peaksid minema, milliste serverite kaudu kiri on liikunud ja mida sinu meiliserver on kontrollinud.

Sa ei pea olema tehnik, et neid lugeda. Sul läheb vaja kuut asja:

Esimesed kolm võib saatja ise vabalt kirja panna. Alles viimase kolme puhul toimub tegelik kontroll.

Kuvatav nimi ei ütle midagi

Kuvatav nimi on lihtsalt tekst. Igaüks võib nimeks panna "Mijnbank Klantenservice" või su juhi nime. Paljud meiliprogrammid, eriti telefonis, näitavadki ainult seda nime. Tuntud trikk on aadress nime sees:

From: "info@mijnbank.example" <noreply@aanvaller.example>

Sa näed info@mijnbank.example, aga tegelik aadress on nurksulgudes. Puuduta või klõpsa nimel alati, et näha kogu aadress.

Ka From-aadressi ennast saab võltsida: meiliprotokoll lubab serveril märkida ükskõik millise From-aadressi. Kas see õnnestub ilma rämpspostikaustas lõpetamata, sõltub selle domeeni SPF-ist, DKIM-ist ja DMARC-ist, mida järele aetakse. Sellest räägib ülejäänud õppetund.

Reply-To: vastus läheb kellelegi teisele

Reply-To ütleb kirjas: "ära vasta mulle, vaid sellele aadressile". Uudiskirjad ja veebivormid kasutavad seda tavapäraselt. Petturid kasutavad seda vestluse ülevõtmiseks. Kiri tuleb reaalselt olemasolevalt või reaalsena näivalt aadressilt, kuid sinu vastus koos küsitud andmete või makse kinnitusega läheb ründajale.

From: Leverancier Meel <administratie@leverancier.example>
Reply-To: <administratie@leverancier-betalingen.example>

Raha või andmete küsimise korral kontrolli alati vastuaknas olevat aadressi, enne kui vajutad "Saada".

Return-Path, Received ja teekond

Return-Path on aadress, kuhu lähevad veateated. Seda nimetatakse ka ümbriku saatjaks: aadress ümbriku väliskülljel, samas kui From seisab kirja enda peal. Selle domeeni peal kontrollib SPF. Uudiskirjade ja raamatupidamisprogrammist saadetud arvete puhul on Return-Path tihti saatmisteenuse domeen. See on tavapärane.

Iga server, mis kirja edasi saadab, lisab oma Received-rea ülaossa. Neid loed seega alt üles: alumine rida on teekonna algus, ülemine viimane jaam (sinu enda meiliserver). Pane tähele: usaldada saad ainult ülemisi ridu, mille lisas sinu enda teenusepakkuja. Allpool olevaid ridu võib saatja ise ise lisada.

Authentication-Results: kontrolli tulemus

Sinu enda meiliserver kontrollib kirja saabumisel kolme asja (täpsem selgitus moodulis 4 ja DNS-kursusel):

• SPF: kas sellel serveril oli luba saata kirju selle domeeni nimel, mis on Return-Pathis?
• DKIM: kas digitaalallkiri klapib ja mis domeenist see pärit on (d= või header.d=)?
• DMARC: kas vähemalt üks neist kahest õnnestunud kontrollist kuulub domeeni juurde, mis on From väljas? Seda nimetatakse joonduseks. "Kuulub juurde" tähendab: sama registreeritavat domeeni (õppetund 3.2). mail.mijnbank.example on joondatud domeeniga mijnbank.example (sama registreeritav domeen).

Tulemus seisab väljas Authentication-Results. Usalda ainult rida, mille ees seisab sinu enda meiliserveri nimi; ka saatja ise saab sellise rea kaasa saata.

Kõige tähtsam õppetund: dmarc=pass tähendab ainult seda, et "see kiri tuleb tõesti From väljas olevast domeenist". See ei ütle midagi selle kohta, kas see domeen on usaldusväärne. Ründaja, kellel on oma lookalike-domeen, võib saada kõik korrektselt tulemusele pass.

Praktikas: nii see välja näeb

Kolm järeleaetud päiseplokki, lühendatud ainult oluliste ridadeni. Saaja on Bakkerij Example; oma meiliserveri nimi on mx1.example.com.

Näide 1: ehtne.

Return-Path: <bounce-7731@mail.mijnbank.example>
Received: from out3.mail.mijnbank.example (out3.mail.mijnbank.example [198.51.100.40])
	by mx1.example.com with ESMTPS; Sun, 08 Nov 2026 09:14:06 +0100
Authentication-Results: mx1.example.com;
	spf=pass smtp.mailfrom=mail.mijnbank.example;
	dkim=pass header.d=mijnbank.example header.s=sel2026;
	dmarc=pass (p=reject) header.from=mijnbank.example
From: Mijnbank <info@mijnbank.example>
To: info@example.com
Subject: Je jaaroverzicht 2026 staat klaar

From-domeen on mijnbank.example ja DKIM on allkirjastanud mijnbank.example ning Return-Path kuulub selle alla: mõlemad joondatud, DMARC õnnestub. Kiri tuleb tõesti sellest domeenist. Mine aastaülevaate jaoks ikkagi oma enda järjehoidja kaudu panka.

Näide 2: võltsitud saatja.

Return-Path: <x7@mailer.aanvaller.example>
Received: from mailer.aanvaller.example (mailer.aanvaller.example [203.0.113.66])
	by mx1.example.com with ESMTP; Sun, 08 Nov 2026 10:02:41 +0100
Authentication-Results: mx1.example.com;
	spf=pass smtp.mailfrom=mailer.aanvaller.example;
	dkim=none;
	dmarc=fail (p=none) header.from=leverancier.example
From: Leverancier Meel <administratie@leverancier.example>
Reply-To: <administratie@leverancier-betalingen.example>
Subject: Nieuw rekeningnummer

SPF õnnestub, aga domeeni aanvaller.example jaoks, mitte From-domeeni jaoks. Allkirja ei ole. DMARC seega ebaõnnestub. Kuna tarnijal on seatud p=none, kiri siiski toimetati kohale. Kui oleks olnud p=reject, oleks kiri tagasi lükatud. Lisaks on Reply-To suunatud teise domeeni. Võltsing.

Näide 3: lookalike kõigi tulemustega pass.

Return-Path: <service@mijnbank-veilig.example>
Received: from smtp.mijnbank-veilig.example (smtp.mijnbank-veilig.example [192.0.2.77])
	by mx1.example.com with ESMTPS; Sun, 08 Nov 2026 11:20:13 +0100
Authentication-Results: mx1.example.com;
	spf=pass smtp.mailfrom=mijnbank-veilig.example;
	dkim=pass header.d=mijnbank-veilig.example header.s=k1;
	dmarc=pass (p=reject) header.from=mijnbank-veilig.example
From: Mijnbank Klantenservice <service@mijnbank-veilig.example>
Subject: Kinnita oma andmed uue maksekaardi jaoks

Kõik õnnestub, sest ründaja on oma domeeni jaoks kõik korrektselt seadistanud. Aga mijnbank-veilig.example ei ole mijnbank.example, mis kuulub päris pangale. Võltsing.

Ava päised ise. Roundcube'il põhinevas veebimeilis (nagu WebOké puhul) ava kiri ja vali menüüs More (kolm punkti) valik Allikas. Teistes programmides nimetatakse seda näiteks "Kuva originaal" või "Kirja lähtekood". Otsi tekstist Authentication-Results. Telefonis see sageli ei õnnestu; vaata sel juhul kirja veebimeilis arvutis.

Kokkuvõte

• Kuvatava nime, From ja Reply-To kirjutab saatja ise. Enne vastamist vaata alati tegelikku aadressi ja Reply-To välja.
• Return-Path on ümbriku aadress, mille peal SPF kontrollib. Received-ridu loed alt üles; usalda ainult oma teenusepakkuja oma.
• Authentication-Results annab SPF, DKIM ja DMARC tulemuse. DMARC vaatab, kas SPF või DKIM on joondatud From-domeeniga.
• dmarc=fail tuntud domeeni puhul on tugev märk võltsimisest.
• dmarc=pass tõestab ainult, et kiri tuleb From-domeenist. Kontrolli alati, kas see domeen on tõesti ehtne.

Test

Ülesanne

Ülesanne A3.3: Päiste lugemine. Sulle antakse kolm päiseplokki. Täida iga ploki kohta: domeen Return-Pathis, DKIM-allkirja domeen (d=), DMARC tulemus ja kas kiri on ehtne või võltsitud. Programm kontrollib vastused ja vea korral näitab, kus rida õiget vastust leidub.

Loe edasi

WebOké artiklites toodud sammud kehtivad WebOké keskkonnas; teiste pakkujate juures töötab see sarnaselt.

• Mis see on DMARC? Selgitus lihtsas keeles
• Minu e-kiri ei jõua kohale või satub rämpsposti: nii leiad põhjuse üles
• Domeeni avalik e-posti kontroll (SPF, DMARC, MX): https://www.weboke.ee/e-posti-kontroll, ja internet.nl meilitest: https://internet.nl
• DNS-kursus, õppetunnid 4.3 SPF, 4.4 DKIM ja 4.5 DMARC: https://www.weboke.ee/dns-cursus
• RFC 8601, Authentication-Results: https://www.rfc-editor.org/rfc/rfc8601