Atsūtītāja un galveņu lasīšana

3. modulis: Pikšķerēšanas atpazīšana · Lasīšanas laiks: 13 minūtes

Mērķis: Pēc šīs nodarbības Jūs varēsiet izvērtēt e-pasta sūtītāju, pamatojoties uz attēloto vārdu, From adresi, Reply-To, Return-Path, Received rindām un SPF, DKIM un DMARC rezultātu Authentication-Results laukā.
Pamatjēdzieni: attēlotais vārds, From, Reply-To, Return-Path, Received, Authentication-Results, SPF/DKIM/DMARC rezultāts, saskaņošana (alignment)

Ko Jūs redzat un kas tur patiesībā ir

Pasta programma parasti rāda tikai nelielu daļu no sūtītāja informācijas: vārdu, dažreiz adresi. Aiz tā slēpjas tehnisku rindu bloks, ko Jūs neredzat, galvenes (headers). Tajās ir norādīts, par ko vēstule uzdodas, uz kurieni jānosūta atbilde, caur kādiem serveriem tā ir gājusi un ko Jūsu pasta serveris ir pārbaudījis.

Jums nav jābūt tehniskam speciālistam, lai tās lasītu. Jums ir vajadzīgas sešas galvenes:

Pirmās trīs sūtītājs var aizpildīt pēc saviem ieskatiem. Pārbaude sākas tikai pie pēdējām trim.

Attēlotais vārds neko neapliecina

Attēlotais vārds ir vienkārši teksts. Jebkurš var kā vārdu izmantot "Mijnbank Klientu serviss" vai Jūsu direktora vārdu. Daudzas pasta programmas, īpaši telefonā, rāda tikai šo vārdu. Zināms triks ir adrese ievietota pašā vārdā:

From: "info@mijnbank.example" <noreply@aanvaller.example>

Jūs redzat info@mijnbank.example, bet īstā adrese atrodas leņķa iekavās. Tāpēc vienmēr uzklikšķiniet vai pieskarieties vārdam, lai redzētu pilnu adresi.

Arī pašu From adresi var viltot: pasta protokols pieļauj, ka serveris norāda jebkuru From adresi. Vai tas izdodas, nenonākot surogātpasta mapē, ir atkarīgs no imitētā domēna SPF, DKIM un DMARC iestatījumiem. Par to ir atlikusī šīs nodarbības daļa.

Reply-To: atbilde kādam citam

Ar Reply-To vēstule saka: "neatbildiet man, bet gan uz šo adresi". To parasti izmanto jaunumu vēstules un tīmekļa veidlapas. Krāpnieki to izmanto, lai pārņemtu saraksti. Vēstule nāk no īstas vai šķietami īstas adreses, bet Jūsu atbilde, ar pieprasītajiem datiem vai maksājuma apstiprinājumu, nonāk pie uzbrucēja.

From: Leverancier Meel <administratie@leverancier.example>
Reply-To: <administratie@leverancier-betalingen.example>

Pirms naudas vai datu pieprasījuma izpildes vienmēr pārbaudiet adresi atbildes logā, pirms spiežat Sūtīt.

Return-Path, Received un maršruts

Return-Path ir adrese, uz kuru nonāk kļūdu paziņojumi. To sauc arī par aploksnes sūtītāju: adresi uz aploksnes ārpuses, kamēr From ir norādīts uz pašas vēstules. Šo domēnu pārbauda SPF. Jaunumu vēstulēm un rēķiniem no grāmatvedības programmas Return-Path bieži ir izsūtīšanas pakalpojuma domēns. Tas ir normāli.

Katrs serveris, kas pārsūta vēstuli, pievieno savu Received rindu augšpusē. Tāpēc tās lasāmas no apakšas uz augšu: apakšējā ir maršruta sākums, augšējā pēdējā pietura (Jūsu paša pasta serveris). Ņemiet vērā: uzticēties var tikai augšējām rindām, ko pievienojis Jūsu pats pakalpojumu sniedzējs. Zemāk sūtītājs var būt pievienojis izdomātas rindas.

Authentication-Results: pārbaudes rezultāts

Jūsu pats pasta serveris, saņemot vēstuli, pārbauda trīs lietas (sīkāk modulī 4 un DNS kursā):

• SPF: vai šim serverim bija atļauts sūtīt pastu Return-Path domēna vārdā?
• DKIM: vai digitālais paraksts ir pareizs un kuram domēnam tas pieder (d= vai header.d=)?
• DMARC: vai vismaz viena no šīm veiksmīgajām pārbaudēm attiecas uz domēnu, kas norādīts From laukā? To sauc par saskaņošanu (alignment). "Attiecas uz" nozīmē: tas pats reģistrējamais domēns (nodarbība 3.2). mail.mijnbank.example ir saskaņots ar mijnbank.example (tas pats reģistrējamais domēns).

Rezultāts ir norādīts Authentication-Results laukā. Uzticieties tikai rindai, kuras sākumā ir Jūsu paša pasta servera nosaukums; arī sūtītājs var pats pievienot šādu rindu.

Svarīgākā atziņa: dmarc=pass nozīmē vienīgi to, ka "šī vēstule patiešām nāk no domēna, kas norādīts From laukā". Tas neko nepasaka par to, vai šim domēnam var uzticēties. Uzbrucējs ar savu paša līdzīgi izskatošos domēnu var visu kārtīgi iestatīt uz pass.

Praksē: šādi tas izskatās

Trīs imitēti galveņu bloki, saīsināti līdz būtiskajām rindām. Saņēmējs ir Bakkerij Example; pašu pasta serveris saucas mx1.example.com.

1. piemērs: īsta vēstule.

Return-Path: <bounce-7731@mail.mijnbank.example>
Received: from out3.mail.mijnbank.example (out3.mail.mijnbank.example [198.51.100.40])
	by mx1.example.com with ESMTPS; Sun, 08 Nov 2026 09:14:06 +0100
Authentication-Results: mx1.example.com;
	spf=pass smtp.mailfrom=mail.mijnbank.example;
	dkim=pass header.d=mijnbank.example header.s=sel2026;
	dmarc=pass (p=reject) header.from=mijnbank.example
From: Mijnbank <info@mijnbank.example>
To: info@example.com
Subject: Je jaaroverzicht 2026 staat klaar

From domēns ir mijnbank.example, DKIM ir parakstījis mijnbank.example, un Return-Path pieder tam pašam domēnam: abi saskaņoti, DMARC izdodas. Vēstule patiešām nāk no šī domēna. Tomēr gada pārskatu apskatiet, dodoties uz banku ar savu grāmatzīmi.

2. piemērs: viltots sūtītājs.

Return-Path: <x7@mailer.aanvaller.example>
Received: from mailer.aanvaller.example (mailer.aanvaller.example [203.0.113.66])
	by mx1.example.com with ESMTP; Sun, 08 Nov 2026 10:02:41 +0100
Authentication-Results: mx1.example.com;
	spf=pass smtp.mailfrom=mailer.aanvaller.example;
	dkim=none;
	dmarc=fail (p=none) header.from=leverancier.example
From: Leverancier Meel <administratie@leverancier.example>
Reply-To: <administratie@leverancier-betalingen.example>
Subject: Nieuw rekeningnummer

SPF izdodas, bet domēnam aanvaller.example, nevis From domēnam. Paraksta nav. Tāpēc DMARC neizdodas. Tā kā piegādātājam ir iestatīts p=none, vēstule tomēr tika piegādāta. Ar p=reject tā būtu noraidīta. Klāt nāk arī Reply-To, kas norāda uz citu domēnu. Viltojums.

3. piemērs: līdzīgi izskatošais domēns ar visu uz pass.

Return-Path: <service@mijnbank-veilig.example>
Received: from smtp.mijnbank-veilig.example (smtp.mijnbank-veilig.example [192.0.2.77])
	by mx1.example.com with ESMTPS; Sun, 08 Nov 2026 11:20:13 +0100
Authentication-Results: mx1.example.com;
	spf=pass smtp.mailfrom=mijnbank-veilig.example;
	dkim=pass header.d=mijnbank-veilig.example header.s=k1;
	dmarc=pass (p=reject) header.from=mijnbank-veilig.example
From: Mijnbank Klantu apkalpošanas dienests <service@mijnbank-veilig.example>
Subject: Apstipriniet savus datus jaunajai maksājumu kartei

Viss izdodas, jo uzbrucējs savam domēnam visu ir pareizi iestatījis. Taču mijnbank-veilig.example nav mijnbank.example, īstā banka. Viltojums.

Pašrocīgi atvērt galvenes. Tīmekļa pastā, kas balstīts uz Roundcube (tāpat kā WebOké), atveriet vēstuli un izvēlnē More (trīs punktiņi) izvēlieties Source. Citas programmas to sauc, piemēram, "Rādīt oriģinālu" vai "Vēstules pirmkods". Tekstā meklējiet Authentication-Results. Telefonā tas bieži nav iespējams; tādā gadījumā apskatiet vēstuli tīmekļa pastā datorā.

Kopsavilkums

• Attēloto vārdu, From un Reply-To aizpilda pats sūtītājs. Pirms atbildēšanas vienmēr apskatiet īsto adresi un Reply-To.
• Return-Path ir aploksnes adrese, pēc kuras pārbauda SPF. Received rindas lasiet no apakšas uz augšu; uzticieties tikai savam pakalpojumu sniedzējam.
• Authentication-Results sniedz SPF, DKIM un DMARC rezultātu. DMARC pārbauda, vai SPF vai DKIM ir saskaņots ar From domēnu.
• dmarc=fail zināmam domēnam ir spēcīga pazīme, kas liecina par viltojumu.
• dmarc=pass pierāda tikai to, ka vēstule nāk no From domēna. Vienmēr pārbaudiet, vai šis domēns ir īstais.

Tests

Uzdevums

Uzdevums A3.3: Galveņu lasīšana. Jūs saņemsiet trīs galveņu blokus. Katram blokam norādiet: Return-Path domēnu, DKIM paraksta domēnu (d=), DMARC rezultātu un vai vēstule ir īsta vai viltota. Programma pārbaudīs atbildes un kļūdas gadījumā norādīs rindu, kurā atrodama pareizā atbilde.

Vairāk lasīt

Soļi WebOké rakstos attiecas uz WebOké vidi; citiem pakalpojumu sniedzējiem process ir līdzīgs.

• Kas ir DMARC? Skaidrojums vienkāršā valodā
• Jūsu e-pasts nenonāk pie adresāta vai nonāk mēstuļu mapē: kā to noskaidrot
• Publiska domēna e-pasta pārbaude (SPF, DMARC, MX): https://www.weboke.lv/e-pasta-parbaude, un internet.nl pasta tests: https://internet.nl
• DNS kurss, nodarbības 4.3 SPF, 4.4 DKIM un 4.5 DMARC: https://www.weboke.lv/dns-cursus
• RFC 8601, Authentication-Results: https://www.rfc-editor.org/rfc/rfc8601