Jak (ne)může někdo odeslat mail, který se tváří, jako od poslance?

Asi už víte, že na mailové adresy poslanců přišel e-mail s nabídkou slevy, který se tvářil, jako by odešel z mailu Tomia Okamury. Jelikož mě IT živí už 8 let, chtěl bych se k tomu vyjádřit...

Začnu stručně. Pro ty, kteří nemají rádi dlouhé texty. Živím se jako IT admin a správa poštovních serverů patří už 8 let mezi můj denní chléb. To jen abyste si nemysleli, že vařím z vody. A proto, když jsem se dozvěděl, že e-mail byl údajně podvrh, okamžitě jsem začal kroutit hlavou. Teď už víme, že to podvrh byl a proto nám zbývají dvě možnosti:

1) Pan Okamura nechal poslat e-mail s falešnou hlavičkou, aby v případě selhání plánu A mohl přejít na plán B, kterým je trestní oznámení a distancování se od e-mailu. To mi přijde až příliš chytré, ale pokud tomu tak je, tak klobouk dolu.

2) Poslanecká sněmovna má bezpečnostní díru.

A nyní technicky. Když Vám dorazí e-mail, vidíte (logicky) od koho přišel. Zde ovšem narážíme na menší komplikaci. Text v poli "odesílatel" jde velmi snadno pozměnit. Pole odesílatele tam je, aby byla zpráva přehlednější. Pokud chcete vidět opravdového odesílatele, jak jej zpracoval poštovní server, museli byste se podívat do tzv. "hlavičky" mailu. Můžete to považovat za takový "rodný list" zprávy, která obsahuje mnoho informací, které jsou v drtivé většině pro běžného člověka nezajímavé a proto nejsou na první pohled vidět. Proto e-mail mohl vypadat, jako od Tomia Okamury, ale po rozkliknutí hlavičky byste viděli, že odesílatelem je někdo jiný.

"Takže mohou hackeři kdykoliv poslat e-mail, který se bude tvářit, jako by přišel od poslance?!"

Ne tak docela. E-mail tu není od minulého pátku, takže s jeho vývojem samozřejmě přišly i určité nástroje, jak zabezpečit, aby nedošlo ke zneužití. Jedním z nich je tzv. SPF (Sender Policy Framework). Je to jeden ze základních stavebních kamenů elektronické pošty a osobně si nedovedu představit, že by někdo používal poštovní server bez SPF. Ale protože ne všichni pracujeme v IT, rád Vám vysvětlím, jak SPF funguje. Je to totiž velmi jednoduché.

Řekněme, že mám poštovní server pro firmu Václav a.s. Doména mé firmy je vaclav.cz a mé poštovní schránky jsou tedy ve formátu [e-mail]. Pan Tomio Okamura se rozhodne mi poslat e-mail. Vytvoří ho na svém PC a odešle. V ten moment e-mail nejde přímo do mého PC, ale jde nejprve na poštovní server poslanecké sněmovny, pod který spadá jeho adresa. Poštovní server zprávu zpracuje a naváže spojení na můj poštovní server. V ten moment jsou tyto servery jako naši "mluvčí", nebo "pošťáci" (říkejte tomu jak chcete, prostě dělají práci za nás). Můj server dostane e-mail, který říká:

"Ahoj, jsem z adresy [e-mail]. Můžeš mě prosím doručit na [e-mail]?"

V dnešní době nemůžeme nikomu věřit. Proto si můj poštovní server zjistí adresu poštovního serveru psp.cz a zeptá se ho:

"Ahoj, mám tu e-mail, který tvrdí, že je od tebe. Můžeš mi prosím říci, z jakých IP adres posíláš e-maily?" (nemusí být pouze jedna)

V tento moment si můj server žádá o onen zmíněný SPF záznam. Záznam, který říká: "poštovní servery domény psp.cz jsou na těchto IP adresách ..." Můj server dostane seznam IP adres poštovních serverů domény psp.cz, slušně poděkuje a vrátí se k odeslanému mailu.

"No, takže ... ptal jsem se poštovního serveru psp.cz a ten mi dal IP adresy, ze kterých odesílá. Ty jsi ale přišel z IP adresy, která v tomto seznamu není. Takže promiň, ale máš smůlu."

Ale jak tedy mohl v případě Tomia Okamury e-mail projít? Díky článku na technetu vím, že psp.cz má SPF záznam. V první moment mě vyděsila představa, že by tam nebyl. A díky stejnému článku víme, že IT oddělení nastavilo poštovní server tak, že informaci o selhání ověření skrze SPF přidá do hlavičky. Do té hlavičky, kterou běžný člověk nikdy neotevře. Místo aby informaci přidal do předmětu zprávy, nebo dokonce zprávu přímo nedoručil. Odkaz na článek zde: https://technet.idnes.cz/podvrhnout-email-je-snadne-neverte-adrese-fgv-/sw_internet.aspx?c=A181120_132551_sw_internet_pka

Asi nic, za co by měly padat hlavy. Ale možná je k zamyšlení, že poslanci nepoužívají další metody, jak takovou mailovou komunikaci zabezpečit. Například digitální podpisy. Což jen umocňuje můj dlouhodobý dojem, že ve státní správě chybí kvalitní odborníci na IT. A pokud nejsou dobře chráněni ani ti nejvyšší, tak co se teprve může dít na úrovni běžných úředníků ...