TRACE / TYPE EP 11を始める →

EP 11 / EPISODE BRIEF

なりすましメールのヘッダー

保存済みヘッダーと添付ハッシュを照合する

Northstar Labに保存されたmail-header.txtを読み、表示上のFromだけで判断せずReturn-Path、Received、SPF、DKIM、Message-IDを関連付けます。添付は開かず、既知ハッシュとの一致だけを確認します。

このエピソードで学ぶこと

ヘッダーは配送や認証に関する記録です。Fromは表示上の差出人、Return-Pathは配送時の返信先に関する欄です。grep -Eで必要な見出しを抽出します。

SPFとDKIMの結果は認証の手掛かりです。ヘッダーだけで添付の内容までは判断できません。

ミッション

  1. 保存済みヘッダーを読むヘッダー全体から観測対象と受信時刻を把握する
  2. FromとReturn-Pathを比較する表示上のFromと配送時のReturn-Pathを別々に記録する
  3. 経路と認証結果を読むReceivedの時刻・IPとSPF/DKIMの結果を関連付ける
  4. Message-IDを固定するMessage-IDとFrom・Return-Pathを同じレコードとして記録する
  5. 添付ハッシュを照合する添付を開かず、既知ハッシュリストとの一致結果を確認する

ブラウザラボでEP 11を始める →