Siuntėjo ir antraščių skaitymas

3 modulis: Sukčiavimo (phishing) atpažinimas · Skaitymo trukmė: 13 min.

Mokymosi tikslas: Po šios pamokos galėsite įvertinti laiško siuntėją pagal rodomą vardą, From adresą, Reply-To, Return-Path, Received eilutes ir SPF, DKIM bei DMARC rezultatus laukelyje Authentication-Results.
Pagrindinės sąvokos: rodomas vardas, From, Reply-To, Return-Path, Received, Authentication-Results, SPF/DKIM/DMARC rezultatas, suderinamumas (alignment)

Ką matote ir kas iš tikrųjų parašyta

Pašto programa paprastai parodo tik nedidelę siuntėjo informacijos dalį: vardą, kartais adresą. Už to slypi techninių eilučių blokas, kurio nematote, vadinamas antraštėmis (headers). Jame nurodyta, kas, anot jo paties, yra siuntėjas, kur jis nori gauti atsakymus, per kokius serverius laiškas keliavo ir ką patikrino Jūsų pašto serveris.

Nebūtina būti technikos specialistu, kad galėtumėte jas perskaityti. Reikia žinoti šešis dalykus:

Pirmas tris gali parašyti pats siuntėjas, ką tik nori. Tik paskutinės trys yra realiai tikrinamos.

Rodomas vardas nieko neįrodo

Rodomas vardas yra tiesiog tekstas. Bet kas gali kaip vardą nurodyti „Mijnbank klientų aptarnavimas“ arba Jūsų direktoriaus vardą. Daugelis pašto programų, ypač telefone, rodo tik šį vardą. Žinoma gudrybė yra adresas varde:

From: "info@mijnbank.example" <noreply@aanvaller.example>

Matote info@mijnbank.example, bet tikrasis adresas yra tarp kampinių skliaustų. Todėl visada paspauskite arba bakstelėkite vardą, kad pamatytumėte pilną adresą.

Taip pat ir pats From adresas gali būti suklastotas: pašto protokole bet kuris serveris gali nurodyti bet kokį From adresą. Ar tai pavyks nepapuolant į šlamšto aplanką, priklauso nuo imituojamo domeno SPF, DKIM ir DMARC nustatymų. Būtent apie tai kalbama likusioje šios pamokos dalyje.

Reply-To: atsakymas kitam gavėjui

Naudodamas Reply-To, laiškas sako: „neatsakykite man, atsakykite šiuo adresu“. Naujienlaiškiai ir interneto formos tai naudoja įprastai. Sukčiai tai naudoja, kad perimtų pokalbį. Laiškas ateina iš tikro ar tikru atrodančio adreso, bet Jūsų atsakymas su prašomais duomenimis ar mokėjimo patvirtinimu keliauja pas užpuoliką.

From: Leverancier Meel <administratie@leverancier.example>
Reply-To: <administratie@leverancier-betalingen.example>

Prašant pinigų ar duomenų, visada atkreipkite dėmesį į adresą atsakymo lange, prieš paspausdami Siųsti.

Return-Path, Received ir maršrutas

Return-Path yra adresas, į kurį siunčiami klaidų pranešimai. Jis dar vadinamas voko siuntėju (envelope sender): adresas ant voko išorės, o From yra ant paties laiško. Būtent šį domeną tikrina SPF. Naujienlaiškiuose ir sąskaitose iš apskaitos programos Return-Path dažnai būna siuntimo paslaugos domenas. Tai yra normalu.

Kiekvienas serveris, perduodantis laišką, prideda Received eilutę viršuje. Todėl jas skaitote iš apačios į viršų: apatinė eilutė yra maršruto pradžia, viršutinė, paskutinė stotelė (Jūsų paties pašto serveris). Atkreipkite dėmesį: pasitikėti galima tik viršutinėmis eilutėmis, kurias pridėjo Jūsų paties paslaugų teikėjas. Žemiau esančias eilutes siuntėjas gali būti sugalvojęs pats.

Authentication-Results: patikros rezultatas

Gavus laišką, Jūsų pašto serveris patikrina tris dalykus (daugiau paaiškinimų 4 modulyje ir DNS kurse):

• SPF: ar šiam serveriui buvo leista siųsti laiškus domeno, nurodyto Return-Path, vardu?
• DKIM: ar skaitmeninis parašas teisingas ir kokio domeno jis yra (d= arba header.d=)?
• DMARC: ar bent viena iš šių dviejų sėkmingų patikrų priklauso domenui, nurodytam From? Tai vadinama suderinamumu (alignment). „Priklauso“ reiškia: tą patį registruojamą domeną (3.2 pamoka). mail.mijnbank.example yra suderintas su mijnbank.example (tas pats registruojamas domenas).

Rezultatas nurodomas laukelyje Authentication-Results. Pasitikėkite tik ta eilute, kurios priekyje nurodytas Jūsų paties pašto serverio vardas; siuntėjas gali pats pridėti panašią eilutę.

Svarbiausia pamoka: dmarc=pass reiškia tik tai, kad „šis laiškas tikrai yra iš domeno, nurodyto From“. Tai nieko nepasako apie tai, ar tuo domenu galima pasitikėti. Užpuolikas, naudodamas savo paties į tikrą panašų (lookalike) domeną, gali turėti viską tvarkingai su pass.

Praktikoje: taip tai atrodo

Trys imituoti antraščių blokai, sutrumpinti iki esminių eilučių. Gavėjas, Bakkerij Example; pačios pašto serverio pavadinimas, mx1.example.com.

1 pavyzdys: tikras.

Return-Path: <bounce-7731@mail.mijnbank.example>
Received: from out3.mail.mijnbank.example (out3.mail.mijnbank.example [198.51.100.40])
	by mx1.example.com with ESMTPS; Sun, 08 Nov 2026 09:14:06 +0100
Authentication-Results: mx1.example.com;
	spf=pass smtp.mailfrom=mail.mijnbank.example;
	dkim=pass header.d=mijnbank.example header.s=sel2026;
	dmarc=pass (p=reject) header.from=mijnbank.example
From: Mijnbank <info@mijnbank.example>
To: info@example.com
Subject: Je jaaroverzicht 2026 staat klaar

From domenas yra mijnbank.example, DKIM pasirašytas domeno mijnbank.example, o Return-Path priklauso tam pačiam domenui: abu suderinti, DMARC patikra sėkminga. Laiškas tikrai iš to domeno. Metinei ataskaitai vis tiek eikite į banką per savo žymę (bookmark).

2 pavyzdys: suklastotas siuntėjas.

Return-Path: <x7@mailer.aanvaller.example>
Received: from mailer.aanvaller.example (mailer.aanvaller.example [203.0.113.66])
	by mx1.example.com with ESMTP; Sun, 08 Nov 2026 10:02:41 +0100
Authentication-Results: mx1.example.com;
	spf=pass smtp.mailfrom=mailer.aanvaller.example;
	dkim=none;
	dmarc=fail (p=none) header.from=leverancier.example
From: Leverancier Meel <administratie@leverancier.example>
Reply-To: <administratie@leverancier-betalingen.example>
Subject: Nieuw rekeningnummer

SPF patikra sėkminga, bet domenui aanvaller.example, ne From domenui. Parašo nėra. Todėl DMARC patikra nesėkminga. Kadangi tiekėjas nurodė p=none, laiškas vis tiek buvo pristatytas. Jei būtų buvę p=reject, jis būtų atmestas. Be to, Reply-To nukreipia į kitą domeną. Netikras.

3 pavyzdys: į tikrą panašus domenas su viskuo pass.

Return-Path: <service@mijnbank-veilig.example>
Received: from smtp.mijnbank-veilig.example (smtp.mijnbank-veilig.example [192.0.2.77])
	by mx1.example.com with ESMTPS; Sun, 08 Nov 2026 11:20:13 +0100
Authentication-Results: mx1.example.com;
	spf=pass smtp.mailfrom=mijnbank-veilig.example;
	dkim=pass header.d=mijnbank-veilig.example header.s=k1;
	dmarc=pass (p=reject) header.from=mijnbank-veilig.example
From: Mijnbank Klantenservice <service@mijnbank-veilig.example>
Subject: Patvirtinkite savo duomenis dėl naujos mokėjimo kortelės

Viskas sėkminga, nes užpuolikas savo paties domenui viską sutvarkė teisingai. Bet mijnbank-veilig.example nėra tikro banko domenas mijnbank.example. Netikras.

Antraščių peržiūra patiems. Žiniatinklio pašte, veikiančiame Roundcube pagrindu (kaip pas WebOké), atidarykite laišką ir meniu Daugiau (trys taškeliai) pasirinkite Rodyti šaltinį. Kitos programos tai gali vadinti, pavyzdžiui, „Rodyti originalą“ arba „Laiško šaltinis“. Tekste ieškokite Authentication-Results. Telefone tai dažnai neįmanoma, tokiu atveju peržiūrėkite laišką žiniatinklio pašte kompiuteryje.

Santrauka

• Rodomą vardą, From ir Reply-To parašo pats siuntėjas. Prieš atsakydami visada pažiūrėkite tikrą adresą ir Reply-To.
• Return-Path yra voko adresas, kurį tikrina SPF. Received eilutes skaitykite iš apačios į viršų; pasitikėkite tik tomis, kurias pridėjo Jūsų paties paslaugų teikėjas.
• Authentication-Results pateikia SPF, DKIM ir DMARC rezultatą. DMARC tikrina, ar SPF arba DKIM suderinti su From domenu.
• dmarc=fail prie žinomo domeno yra stiprus klastojimo požymis.
• dmarc=pass įrodo tik tai, kad laiškas yra iš From domeno. Visada patikrinkite, ar tas domenas yra tikras.

Testas (quiz)

Užduotis

Užduotis A3.3: Antraščių skaitymas. Jums pateikiami trys antraščių blokai. Kiekvienam blokui nurodykite: domeną laukelyje Return-Path, DKIM parašo domeną (d=), DMARC rezultatą ir ar laiškas tikras, ar netikras. Programa patikrina atsakymus ir klaidos atveju nurodo eilutę, kurioje yra atsakymas.

Skaitykite daugiau

WebOké straipsniuose aprašyti veiksmai galioja WebOké aplinkai; pas kitus paslaugų teikėjus tai veikia panašiai.

• Kas yra DMARC? Paaiškinimas paprasta kalba
• Mano el. laiškai nepasiekia adresato arba patenka į šlamštą: kaip tai išsiaiškinti
• Vieša domeno el. pašto patikra (SPF, DMARC, MX): https://www.weboke.lt/el-pasto-patikra, ir internet.nl pašto testas: https://internet.nl
• DNS kursas, 4.3 SPF, 4.4 DKIM ir 4.5 DMARC pamokos: https://www.weboke.lt/dns-cursus
• RFC 8601, Authentication-Results: https://www.rfc-editor.org/rfc/rfc8601