web-dev-qa-db-ja.com

電子メールの「受信済み」フィールドを偽造することは可能ですか？

最近、奇妙なメールを受信しました。電子メールには、異なるFromおよびReply-Toフィールドがあります。また、ToがUndisclosed recipientsに設定されていますが、これは重要ではありません。

最初は偽物だと思っていましたが、Receivedフィールドを偽造できないことを述べた this の投稿を読みました。私が話している電子メールの場合、受信は適切であるようです：

Received: (wp-smtpd mx.tlen.pl 14490 invoked from network); 2 Oct 2018 07:19:36 +0200
Received: from mx.beniculturali.it ([194.242.241.200])
          (envelope-sender <[email protected]>)
          by mx.tlen.pl (WP-SMTPD) with ECDHE-RSA-AES256-GCM-SHA384 encrypted SMTP
          for <[email protected]>; 2 Oct 2018 07:19:36 +0200
Received: from sea2.mail.beniculturali.it (localhost.localdomain [127.0.0.1])
    by localhost (Email Security Appliance) with SMTP id 15EE31ECEEA_BB2FFE8B;
    Tue,  2 Oct 2018 05:19:36 +0000 (GMT)
Received: from MB2.mail.beniculturali.it (mb2.mail.beniculturali.it [192.168.123.122])
    (using TLSv1.2 with cipher ECDHE-RSA-AES256-SHA384 (256/256 bits))
    (Client CN "email.beniculturali.it", Issuer "Actalis Authentication CA G3" (not verified))
    by sea2.mail.beniculturali.it (Sophos Email Appliance) with ESMTPS id 1C9BD1E9E28_BB2FFE7F;
    Tue,  2 Oct 2018 05:19:35 +0000 (GMT)
Received: from MB2.mail.beniculturali.it (192.168.123.122) by
 MB2.mail.beniculturali.it (192.168.123.122) with Microsoft SMTP Server (TLS)
 id 15.0.1395.4; Tue, 2 Oct 2018 07:19:30 +0200
Received: from ca4.mail.beniculturali.it (192.168.123.144) by
 MB2.mail.beniculturali.it (192.168.123.122) with Microsoft SMTP Server (TLS)
 id 15.0.1395.4 via Frontend Transport; Tue, 2 Oct 2018 07:19:29 +0200
Received: from MDC.mail.beniculturali.it ([192.168.123.171]) by
 ca4.mail.beniculturali.it ([192.168.123.144]) with mapi; Tue, 2 Oct 2018
 07:19:29 +0200

おそらく、高度な手法を使用して、Receivedフィールドを偽装することは可能ですか？

emailemail-spoofing
31
Landeeyo

メールに任意のフィールドを追加することができ、これにはReceivedヘッダーが含まれます。ただし、適切なメールトランスポートサーバーは、メールの先頭に新しいReceivedヘッダーを追加します。つまり、正確な配信インフラストラクチャに応じて、攻撃者は最上位のReceivedヘッダーを除くすべてを完全に偽ることができます。特定の例では、上のReceivedヘッダーは内部サーバーのようであり、次のReceivedヘッダーは、外部からのメールを受け入れる境界のメールサーバーからのものです。他のすべてのReceivedヘッダーは偽造される可能性があります。

また、境界でサーバーによって追加されたReceivedヘッダーでさえ、偽の情報を含んでいる可能性があります。これには、EHLOまたはHELOコマンド内のSMTPクライアントによって要求されたホスト名が含まれるのが一般的です。したがって、具体的な例ではmx.beniculturali.itは、攻撃者によって([194.242.241.200])は、メールがどのソースIPから受信され、偽装できないかを示すために、受信メールサーバーによって追加されます。

57
Steffen Ullrich