Как работает подделка email адреса отправителя?

Question

[igoryusha22]

Сейчас просматриваю nodejs курс.
Там автор реализовывает отправку писем, посредством sendgrid.

В конфигурации отправки он указывает достаточно обычные данные (само письмо, адресс назначения) И адрес отправителя; В адресе отправителя он указывает совершенно случайный email отправителя, иии о чудо, письмо пользователю приходит с указанием отправителя от этого адреса.

Как это работает?
Это как же можно "обмануть" людей такими средствами...

Comments

[Антон]

всегда так было, например на php попробуйте

<?php
$to      = '[e-mail]';
$subject = 'the subject';
$message = 'hello';
$headers = 'From: [e-mail]' . "\r\n" .
    'Reply-To: [e-mail]' . "\r\n" .
    'X-Mailer: PHP/' . phpversion();

mail($to, $subject, $message, $headers);
?>

Потом придумали DomainKeys Identified Mail , DMARC, SPF и не только...

Что на практике значит, что письмо придет в спам и ему нет доверия

[Dimonchik]

эх молодежь

[wisgest]

Не подделка, а указание адреса. Не обязательно не имеющего отношения к данному письму, даже если SMTP-сервер находится в другом домене. И почтовый адрес и почтовый ящик — не одно и то же и между ними может не быть взаимно однозначного соответствия: одно может существовать без другого и, наоборот: в ящик могут попадать письма, отправленные на разные адреса, и с адреса могут отправляться письма с различных серверов, и адреса входящих и исходящих и/или пароли для получения и отправки могут не совпадать. И это не обязательно плохо и ещё не свидетельствует об обмане. Кроме заголовка From есть ещё Return-path и другие.

Answer 1

[galaxy]

SMTP - один из старейших интернет протоколов, доживший до наших дней почти без изменений, и до сих пор повсеместно используемый.

Защиты от подделки отправителя в нем исторически не предусмотрено вообще. Отсюда все мировые проблемы со email спамом.

На практике придумано несколько механизмов защиты, от стандартов IETF до негласных соглашений, которым тем не менее все плюс-минус следуют. С другой стороны, все эти меры без зазрения совести можно назвать костылями.
Так, есть система репутации серверов и доменов отправителей (известные спам-листы вроде spamhaus).
Есть механизмы SPF и DKIM, (нормально они работают только в свзяке с DMARC, иначе много оговорок).
Есть определенные и нигде толком не стандартизированные правила, которые практически все используют (начиная со SpamAssassin): проверка существования домена-отправителя и MX записи, проверка обратной зоны адреса отправителя, проверка домена в EHLO и их разные комбинации. Механизм грейлистинга. И т.д.

Плюс бесконечные эвристики на основе содержания писем, истории переписки, статистики жалоб и пр.

Все это позволяет сейчас крупным почтовикам вроде Gmail весьма успешно фильтровать спам ( в т.ч. письма с поддельным адресом отправителя).

С другой стороны, если владелец домена-отправителя не озаботился никакой защитой, а злоумышленник умеет правильно настраивать почтовый агент, то привет.
То же самое, если получатель не настроил принимающий почтовый сервер.

Answer 2

[CityCat4]

Это как же можно "обмануть" людей такими средствами...

Лохов и хомячков - да. Как и тыщей других способов. Откройте исходный текст своего сообщения и посмотрите заголовки.
И удивитесь.

Answer 3

[d-stream]

Можно. И обманывают. Точнее обманывали, сейчас существуют кучи методов-костылей для борьбы с таким архитектурным просчетом протоколов отправки почты.

Comments

[wisgest]

Вопрос: «Как?»
Ответ: «Да»