Реплика: проверка отправителя электронной почты

20. June 2013, 1:15 Безопасность, Новостное

Кстати, по теме обсуждающегося электронного письма, которое растиражировали в РИА “Новости”. Есть ряд хорошо известных методов аутентификации, пригодных для того, чтобы убедиться, что отправитель – настоящий.

Можно подписывать само сообщение, используя сертификаты, выданные тем или иным удостоверяющим центром (в том числе, специальным удостоверяющим центром). Проверять подобные подписи умеют современные почтовые клиенты. Можно использовать DKIM – технологию, добавляющую подпись в технический конверт сообщения электронной почты. Данная подпись, при помощи DNS, привязывает письмо к домену отправителя, позволяя проверить, что письмо действительно отправлено тем, у кого есть соответствующий ключ. Проверять DKIM умеют даже почтовые серверы. Подпись добавляется автоматически, тоже на стороне сервера. (Например, я давно использую DKIM для своей личной почты. Дополнительных проблем там нет, а задача – решается. Верификация DKIM и отображение соответствующего значка, кстати, есть в веб-интерфейсе “Яндекс.Почты”, и не только там, да.)

Технологии давно существуют, хорошо известны специалистам, но для важных сообщений их всё равно не используют (вопрос квалификации, наверное). И тут, вероятно, ничего уж не поделать.

Адрес записки: https://dxdt.ru/2013/06/20/5941/

Похожие записки:



Далее - мнения и дискуссии

(Сообщения ниже добавляются читателями сайта, через форму, расположенную в конце страницы.)

Комментарии читателей блога: 9

  • 1. 20th June 2013, 14:31 // Читатель jno написал:

    ну, “експерты интернета” (в лице Антона Носсика, если кто не понял) однозначно заявляют, что “взломать можно всё” и “отправить можно от любого имени”…

    а всяких гоблинов с непонятными “DKIM”, “DNS” и прочим “SMIME” никто слушать не будет :)

  • 2. 22nd June 2013, 00:43 // Читатель Jeff Zanooda написал:

    Спам нонче рассылают ботнеты, а им несложно делать это от имени хозяина компьютера. Там же не важно, от кого именно будет письмо, главное чтоб не от хозяина ботнета (или его клиента).

    Ну а если надо от имени конкретного человека подписанную почту послать, то для этого есть spearphishing.

  • 3. 22nd June 2013, 01:23 // Александр Венедюхин:

    При чём здесь ботнет? В DKIM ключи устанавливаются в почтовый сервер и публикуются в DNS. Соответственно, чтобы отправить корректно подписанное письмо нужен не ботнет, а секретный ключ и/или доступ к почтовому серверу. В принципе, доступ есть у клиентов на конкретных компьютерах, но нужно именно их взломать. Достаточно взломать один, да. Задача совершенно другого рода, по сравнению с отправкой поддельного письма с любого “левого” сервера.

    Личная почта подписывается ключом отправителя (PGP, сертификат или что-то подобное – не важно). Тут тоже ботнет не поможет, нужен ключ. (Схема со взломом клиента – тоже работает, но, опять же, это вообще другая история.)

  • 4. 24th June 2013, 05:20 // Читатель Jeff Zanooda написал:

    Ботнет тут при том, что он состоит из компрометированных машин ничего не подозревающих людей. Каким-то образом эти люди почту посылают. Ботнет может точно таким же образом посылать почту с компрометированных машин. То есть взлом клиента, только не конкретного, но зато многих сразу.

  • 5. 24th June 2013, 10:10 // Александр Венедюхин:

    Jeff, там в исходном сообщении – письмо от конкретного отправителя. Ботнет тут ни при чём. Нужно было бы поломать конкретную машину.

    Кстати, ботнет, в силу случайного выбора попадающих в него машин, как раз столкнётся с дополнительными проблемами, если все почтовые отправления будут подписываться даже только на стороне сервера (DKIM).

  • 6. 24th June 2013, 18:37 // Читатель Jeff Zanooda написал:

    Так я и про конкретного отправителя тоже говорил – против него атака требует индивидуального подхода, но тоже делается (spear phishing называется). Теоретически можно отделить почту от всего остального (поставить почтового клиента на отдельную машину с какой-нибудь OpenBSD за отдельным сетевым экраном со своим VPN и больше на ней ничего не делать), но это ж неудобно.

  • 7. 24th June 2013, 23:44 // Александр Венедюхин:

    Что-то я уже не очень улавливаю, о чём разговор. Этот самый spear phishing – это, как я понимаю, отправка письма от имени некой известной персоны, когда адрес отправителя подспуфлен. Подписи на сообщениях эту проблему решают достаточно радикально, для всякого адреса отправителя. А DKIM – решает её для конкретного домена и конкретного почтового сервера (не решает для случая, когда злонамеренный отправитель пользуется тем же сервером, с уровнем доступа, позволяющим воспользоваться ключам от домена).

  • 8. 25th June 2013, 01:30 // Читатель Jeff Zanooda написал:

    Там идея в том, что письмо в случае spear phishing подготавливается для конкретной жертвы. В случае с известным взломом RSA (компании, не алгоритма) оно выглядело как письмо от отдела кадров, причём было сделано достаточно убедительно для того, чтобы по крайней мере два сотрудника купились и открыли прицепленную экселевскую таблицу. А внутри экселя была ссылка на флеш с использованием уязвимости флеша и далее по тексту. Как только атакующий получил возможность выполнять произвольный код на машине жертвы, криптография перестаёт быть полезной.

    Такой сценарий предотвратить крайне сложно. Даже если полностью перейти на подписанную почту, всё равно людям приходится открывать документы, пришедшие извне. А закрыть все дыры во всех приложениях нереально.

  • 9. 25th June 2013, 16:28 // Читатель jno написал:

    корпоративную почту можно засунуть в лотуснотус (живущий своей жизнью в отдельной VPN), где “сторонее” письмо буквально в глаза бросается.
    рекомендую, хе-хе… :)