Fejlécek (Headers) — Az elemzés értelmezése

ARC -- Authenticated Received Chain

Az ARC (Authenticated Received Chain) egy viszonylag új protokoll (RFC 8617), amely megőrzi az e-mail hitelesítési eredményeit akkor is, ha a levél közvetítő szervereken (levelezőlista, továbbítás, alias) megy keresztül.

A probléma, amit az ARC megold: ha egy levelet továbbítanak, a DKIM aláírás érvénytelenné válhat (mert a tartalom módosulhat), és az SPF is elbukhat (mert a továbbító szerver IP-je nem szerepel az eredeti SPF rekordban). Az ARC a közvetítő szerveren rögzíti az eredeti hitelesítési eredményt, így a fogadó szerver tudja, hogy a levél eredetileg megfelelt az ellenőrzésen.

A modul a következőket ellenőrzi:

• ARC fejlécek jelenléte: Van-e ARC-Authentication-Results, ARC-Message-Signature és ARC-Seal fejléc.
• SPF/DKIM/DMARC pass státusz: Az ARC láncolatban rögzített hitelesítési eredmények átmentek-e.
• Láncolat integritása: Az ARC pecsétek (seals) szekvenciálisan érvényesek-e.

Miért fontos a fejléc hitelesítés?

Az e-mail fejlécek a levél "útlevele" -- technikai metaadatokat hordoznak, amelyeket a fogadó szerver az üzenet hitelességének és megbízhatóságának megítéléséhez használ. A fejlécek hitelesítése kulcsfontosságú a modern e-mail ökoszisztémában, több okból is.

A fejlécek hitelesítési metaadatokat hordoznak

Minden e-mail fejléce tartalmazza a hitelesítési eredményeket: az Authentication-Results fejléc rögzíti, hogy az SPF, DKIM és DMARC ellenőrzés sikeres volt-e. A Received fejlécek sorozata pedig nyomon követi a levél útját a küldő szervertől a fogadóig. Ezek az adatok alapvetőek ahhoz, hogy a fogadó szerver eldöntse: megbízhat-e a levélben.

Hamisított fejlécek kijátszhatják a spam-szűrőket

A rosszindulatú feladók megpróbálhatják manipulálni vagy hamisítani a fejléceket, hogy a levelük legitimnek tűnjön. Például hamisított From fejléccel más domain nevében küldhetnek levelet (spoofing), vagy módosíthatják a Received fejléceket, hogy elrejtsék a tényleges küldő szerver kilétét. A fejlécek hitelesítési láncolatának vizsgálata segít kiszűrni ezeket a manipulációkat.

Az ARC szerepe a modern e-mail továbbítási láncban

A modern e-mail forgalomban rendkívül gyakori, hogy egy levél nem közvetlenül a feladótól érkezik a címzetthez. Számos közvetítő mechanizmus létezik:

• Levelezőlisták (mailing lists): A lista szervere fogadja a levelet, majd továbbküldi az összes feliratkozónak. Eközben gyakran módosítja a fejléceket (pl. hozzáadja a lista nevét a tárgyhoz) vagy a törzset (láblécet fűz hozzá), ami érvényteleníti az eredeti DKIM aláírást.
• E-mail aliasok: Ha a info@ceg.hu cím valójában egy alias, amely a kollegak@gmail.com címre továbbít, az SPF ellenőrzés elbukik, mert a továbbító szerver IP-je nem szerepel az eredeti küldő SPF rekordjában.
• Automatikus továbbítás: Sok felhasználó beállít automatikus továbbítást az egyik postafiókjából a másikba. Az ilyen továbbítás szintén megtöri az SPF-et, és a tartalom-módosítás (pl. a továbbító szerver által hozzáadott fejlécek) a DKIM-et is érvénytelenítheti.

Az ARC protokoll pont erre a problémára nyújt megoldást: minden közvetítő szerver rögzíti az aktuális hitelesítési állapotot egy ARC láncolatban, mielőtt bármit módosítana. Így a végső fogadó szerver visszakövetheti, hogy a levél eredetileg megfelelt-e az SPF, DKIM és DMARC ellenőrzésen, még akkor is, ha a közvetítő szerverek időközben módosították a levelet.

Gyakorlati példa: továbbított levél

Vegyünk egy konkrét esetet: Anna a peldaceg.hu domainről küld egy levelet Bélának a bela@masikdomain.hu címre. Béla beállított egy automatikus továbbítást a bela@gmail.com Gmail fiókjába. A levél útja:

1. Anna szervere aláírja a levelet DKIM-mel, az SPF rekord engedélyezi a küldő IP-t.
2. A masikdomain.hu szervere fogadja a levelet. Az SPF és DKIM ellenőrzés sikeres. A szerver rögzíti az eredményt egy ARC láncolatban (ARC-Authentication-Results, ARC-Message-Signature, ARC-Seal), majd továbbítja a levelet a Gmail-re.
3. A Gmail szervere fogadja a levelet. Az SPF ellenőrzés elbukik, mert a masikdomain.hu szervere nem szerepel a peldaceg.hu SPF rekordjában. A DKIM aláírás is érvénytelenné válhat, ha a masikdomain.hu szervere módosított bármit. De az ARC láncolat megőrizte az eredeti hitelesítési eredményt, és a Gmail -- mint megbízható ARC-értékelő -- elfogadja a levelet.

Kapcsolódó kategóriák

Az e-mail elemzés összesen öt kategóriát vizsgál. Az alábbiakban megtalálod a többi kategória részletes értelmezését:

• Hitelesítés (Authentication) -- 25% súly -- az SPF, DKIM és DMARC hitelesítési protokollok vizsgálata.
• Tartalom (Content) -- 20% súly -- a levél szövegének, HTML struktúrájának és spam-jellemzőinek elemzése.
• Megfelelőség (Compliance) -- 20% súly -- jogi és szabályozási megfelelés (CAN-SPAM, GDPR).
• Infrastruktúra (Infrastructure) -- 20% súly -- a küldő szerver és domain technikai állapota.