Čitanje pošiljatelja i headera

Modul 3: Prepoznavanje phishinga · Vrijeme čitanja: 13 minuta

Cilj učenja: Nakon ove lekcije moći ćete procijeniti pošiljatelja e-poruke na temelju prikaznog imena, From adrese, Reply-To, Return-Path, Received redaka i rezultata SPF, DKIM i DMARC provjere u Authentication-Results.
Ključni pojmovi: prikazno ime, From, Reply-To, Return-Path, Received, Authentication-Results, SPF/DKIM/DMARC rezultat, usklađenost

Što vidite i što stvarno piše

Program za e-poštu Vam obično pokaže samo mali dio podataka o pošiljatelju: ime, ponekad adresu. Iza toga stoji blok tehničkih redaka koje ne vidite, takozvani headeri. U njima piše tko tvrdi da je pošiljatelj, kamo želi da stignu odgovori, preko kojih je poslužitelja poruka prošla i što je Vaš poslužitelj e-pošte provjerio.

Ne morate biti tehnička osoba da biste ih čitali. Trebate poznavati šest njih:

U prva tri polja pošiljatelj može napisati što god želi. Tek kod zadnja tri postoji stvarna provjera.

Prikazno ime ne govori ništa

Prikazno ime je obični tekst. Svatko može kao ime koristiti "Mijnbank Klantenservice" ili ime Vašeg direktora. Mnogi programi za e-poštu, posebno na telefonu, prikazuju samo to ime. Poznati trik je adresa unutar imena:

From: "info@mijnbank.example" <noreply@aanvaller.example>

Vidite info@mijnbank.example, ali prava adresa stoji između šiljastih zagrada. Zato uvijek dodirnite ili kliknite na ime kako biste vidjeli punu adresu.

I sama From adresa može se lažirati: u protokolu za e-poštu poslužitelj smije navesti bilo koju From adresu. Hoće li to proći a da poruka ne završi u mapi neželjene pošte, ovisi o SPF, DKIM i DMARC postavkama domene koja se oponaša. O tome govori ostatak ove lekcije.

Reply-To: odgovor nekom drugom

Pomoću Reply-To poruka kaže: "ne odgovarajte meni, nego na ovu adresu". Newsletteri i web obrasci to normalno koriste. Prevaranti to koriste da preuzmu razgovor. Poruka dolazi s prave ili naoko prave adrese, ali Vaš odgovor, s traženim podacima ili potvrdom plaćanja, ide napadaču.

From: Leverancier Meel <administratie@leverancier.example>
Reply-To: <administratie@leverancier-betalingen.example>

Kod zahtjeva za novcem ili podacima uvijek pogledajte adresu u prozoru za odgovor, prije nego što kliknete Pošalji.

Return-Path, Received i ruta

Return-Path je adresa na koju idu obavijesti o pogreškama. Naziva se i envelope pošiljatelj: adresa na vanjskoj strani omotnice, dok From stoji na samom pismu. Upravo tu domenu provjerava SPF. Kod newslettera i računa iz knjigovodstvenog programa Return-Path je često domena usluge za slanje. To je normalno.

Svaki poslužitelj koji proslijedi poruku dodaje Received redak na vrh. Čitate ih dakle odozdo prema gore: donji redak je početak rute, gornji je zadnja postaja (Vaš vlastiti poslužitelj e-pošte). Pazite: samo gornjim redcima, koje je dodao Vaš vlastiti davatelj usluge, možete vjerovati. Ispod toga pošiljatelj može dodati izmišljene redke.

Authentication-Results: rezultat provjere

Vaš vlastiti poslužitelj e-pošte pri dolasku poruke provjerava tri stvari (više objašnjenja u modulu 4 i DNS tečaju):

• SPF: je li ovaj poslužitelj smio slati poštu za domenu navedenu u Return-Path?
• DKIM: je li digitalni potpis ispravan i kojoj domeni pripada (d= ili header.d=)?
• DMARC: pripada li barem jedna od tih dviju uspješnih provjera domeni u From? To se zove usklađenost. "Pripada" znači: ista registrabilna domena (lekcija 3.2). mail.mijnbank.example usklađen je s mijnbank.example (ista registrabilna domena).

Rezultat stoji u Authentication-Results. Vjerujte samo retku koji na početku ima ime Vašeg vlastitog poslužitelja e-pošte; pošiljatelj može i sam dodati takav redak.

Najvažnija pouka: dmarc=pass znači samo "ova poruka stvarno dolazi od domene navedene u From". Ne govori ništa o tome je li ta domena pouzdana. Napadač sa svojom lookalike domenom može imati sve uredno na pass.

U praksi: tako to izgleda

Tri simulirana bloka headera, skraćena na retke koji su bitni. Primatelj je Bakkerij Example; vlastiti poslužitelj e-pošte zove se mx1.example.com.

Primjer 1: pravo.

Return-Path: <bounce-7731@mail.mijnbank.example>
Received: from out3.mail.mijnbank.example (out3.mail.mijnbank.example [198.51.100.40])
	by mx1.example.com with ESMTPS; Sun, 08 Nov 2026 09:14:06 +0100
Authentication-Results: mx1.example.com;
	spf=pass smtp.mailfrom=mail.mijnbank.example;
	dkim=pass header.d=mijnbank.example header.s=sel2026;
	dmarc=pass (p=reject) header.from=mijnbank.example
From: Mijnbank <info@mijnbank.example>
To: info@example.com
Subject: Je jaaroverzicht 2026 staat klaar

From domena je mijnbank.example, DKIM je potpisan od strane mijnbank.example, a Return-Path pripada istoj domeni: obje usklađene, DMARC uspijeva. Poruka stvarno dolazi od te domene. Za godišnji pregled ipak idite na banku preko vlastite oznake (bookmarka).

Primjer 2: lažirani pošiljatelj.

Return-Path: <x7@mailer.aanvaller.example>
Received: from mailer.aanvaller.example (mailer.aanvaller.example [203.0.113.66])
	by mx1.example.com with ESMTP; Sun, 08 Nov 2026 10:02:41 +0100
Authentication-Results: mx1.example.com;
	spf=pass smtp.mailfrom=mailer.aanvaller.example;
	dkim=none;
	dmarc=fail (p=none) header.from=leverancier.example
From: Leverancier Meel <administratie@leverancier.example>
Reply-To: <administratie@leverancier-betalingen.example>
Subject: Nieuw rekeningnummer

SPF uspijeva, ali za aanvaller.example, ne za From domenu. Nema potpisa. DMARC stoga ne uspijeva. Budući da dobavljač ima postavljeno p=none, poruka je ipak dostavljena. Uz p=reject bila bi odbijena. Tome se pridodaje i Reply-To prema drugoj domeni. Lažno.

Primjer 3: lookalike sa svime na pass.

Return-Path: <service@mijnbank-veilig.example>
Received: from smtp.mijnbank-veilig.example (smtp.mijnbank-veilig.example [192.0.2.77])
	by mx1.example.com with ESMTPS; Sun, 08 Nov 2026 11:20:13 +0100
Authentication-Results: mx1.example.com;
	spf=pass smtp.mailfrom=mijnbank-veilig.example;
	dkim=pass header.d=mijnbank-veilig.example header.s=k1;
	dmarc=pass (p=reject) header.from=mijnbank-veilig.example
From: Mijnbank Klantenservice <service@mijnbank-veilig.example>
Subject: Potvrdite svoje podatke za novu platnu karticu

Sve uspijeva, jer je napadač za svoju vlastitu domenu sve ispravno postavio. Ali mijnbank-veilig.example nije mijnbank.example prave banke. Lažno.

Sami otvoriti headere. U webmailu temeljenom na Roundcube (kao kod WebOké) otvorite poruku i u izborniku More (tri točkice) odaberite Source (ili: Izvor). Drugi programi to nazivaju na primjer "Prikaži original" ili "Izvorni kod poruke". U tekstu potražite Authentication-Results. Na telefonu to često nije moguće; pregledajte poruku u webmailu na računalu.

Sažetak

• Prikazno ime, From i Reply-To pošiljatelj sam upisuje. Uvijek pogledajte pravu adresu i Reply-To prije nego što odgovorite.
• Return-Path je envelope adresa koju provjerava SPF. Received redke čitate odozdo prema gore; vjerujte samo onima od Vašeg vlastitog davatelja usluge.
• Authentication-Results daje rezultat SPF, DKIM i DMARC provjere. DMARC provjerava je li SPF ili DKIM usklađen s From domenom.
• dmarc=fail kod poznate domene jak je signal lažiranja.
• dmarc=pass dokazuje samo da poruka dolazi od From domene. Uvijek provjerite je li ta domena prava.

Kviz

Zadatak

Zadatak A3.3: Čitanje zaglavlja (headera). Dobivate tri bloka headera. Za svaki blok upišite: domenu u Return-Path, domenu DKIM potpisa (d=), DMARC rezultat te je li poruka prava ili lažna. Program provjerava odgovore i kod pogreške upućuje na redak gdje se nalazi odgovor.

Dodatno štivo

Koraci u WebOké člancima vrijede za okruženje WebOké; kod drugih davatelja usluga postupak je sličan.

• Što je DMARC? Objašnjenje jednostavnim jezikom
• Vaš e-mail ne stiže ili završava u neželjenoj pošti: evo kako to možete provjeriti
• Javna provjera e-pošte (SPF, DMARC, MX) za domenu: https://www.weboke.hr/provjera-e-poste, te test e-pošte na internet.nl: https://internet.nl
• DNS tečaj, lekcije 4.3 SPF, 4.4 DKIM i 4.5 DMARC: https://www.weboke.hr/dns-cursus
• RFC 8601, Authentication-Results: https://www.rfc-editor.org/rfc/rfc8601