En e-mail fra en adresse, der kommer fra internetdomænet politi.dk, kan i princippet være sendt af hvem som helst, der udgiver sig for at være fra det danske politi. Politiet benytter nemlig ingen af de tekniske foranstaltninger, der kan forhindre forfalskning af e-mailadresser.
Det er blevet udnyttet i en konkret phishing-kampagne, hvor en eksisterende e-mailadresse fra dansk politi er blevet sat på som afsender. Det har sikkerhedsfirmaet CSIS dokumenteret.
»E-mailen er spoofet, så den ser ud til at være sendt med politi.dk som afsender og som svaradresse,« siger sikkerhedskonsulent Peter Kruse fra CSIS til Version2.
Modtageren kan ikke umiddelbart se forskel på, om mailen rent faktisk er sendt fra politiet, eller om det er en spammer, der gemmer sig bag mailen.
Sender Policy Framework (SPF) benytter DNS til at udgive en liste over de servere, der er godkendt som til at sende mails fra det pågældende domæne. Modtagerens mailserver kan dermed kontrollere via DNS, om en mail er sendt fra én af disse servere, der er registreret. Uden SPF indebærer e-mailprotokollen SMTP, at afsenderen kan angive en vilkårlig mailadresse som afsender og sende den fra en vilkårlig server. Med SPF er det muligt at tjekke, om afsender og server passer sammen. DomainKeys Identified Mail (DKIM) kan verificere afsenderen ved hjælp af en digital signatur. En offentlig nøgle knyttes til domænet i DNS. Både e-mailens indhold og header bruges til at generere kryptografiske hash-værdier, som signeres af afsenderens mailsystem. På den måde er det muligt at validere, at den pågældende mail er blevet signeret af det rigtige mailsystem. Modtageren kan validere den digitale signatur ved hjælp af den offentlig nøgle, der er udgivet via DNS.Sender Policy Framework
DomainKeys Identified Mail
Det har været et velkendt problem i mange år for e-mails, at det er muligt at forfalske afsenderadressen. Derfor er der også inden for det sidste årti dukket flere teknologier op, som gør det sværere at udgive sig for at være en anden via e-mail.
De to mest udbredte teknologier er SPF og DKIM, men for begge gælder det, at afsenderen skal implementere dem, før modtageren kan drage fordel af dem.
Dansk politi har foreløbig ikke implementeret nogen af disse, men det ligger i planerne, oplyser Rigspolitiet til Version2.
»Vi holder løbende øje med trusselsbilledet og vurderer teknologier og løsninger til iværksættelse. Dette bruger vi til at prioritere indsatsen i infrastrukturen, hvor modtræk til afsenderforfalskning af mails allerede er på vores liste over tiltag. Vi har dog hidtil kun haft et fåtal af afsenderforfalskninger fra vores maildomæne og ingen rapporteringer om kompromitterede data,« skriver Rigspolitiet i et e-mailsvar til Version2.
(Redaktionen er bevidst om det ironiske i et e-mailsvar i en sag om e-mail-spoofing)
Forfalskede emails sendes til ledere
Problemet med spoofing af en e-mailafsender er, at det er muligt at få en mail til at se ud som om den kommer fra en afsender, modtageren har tillid til.
I det konkrete tilfælde er den spoofede mail fra politi.dk en forholdsvis generisk spamkampagne, men den samme teknik kan bruges til målrettet phishing, der eksempelvis kendes som CEO-fraud.
Her bruges forfalskede mails til ledende personer i virksomheder, hvor det kan gælde om at betale en faktura eller overføre penge på ordre fra direktøren.
I disse tilfælde lukrerer svindlerne på den troværdighed og autoritet, der ligger i afsenderen, og noget tilsvarende kunne ske med forfalskede mails fra politi.dk.
Derfor undrer Peter Kruse fra CSIS sig over, at politiet ikke har implementeret de gængse metoder til at vanskeliggøre spoofing.
»Det er efterhånden noget, de fleste mellemstore og større virksomheder bruger i dag, og i betragtning af, hvor meget der står på spil, så er det lidt mærkeligt,« siger Peter Kruse.
That's a good one: #Kelihos #botnet spam with #moneymule offer successfully spoofed to come from #Politi.dk (Police). No #SPF, No #DKIM pic.twitter.com/9OA4VpIRJH
...men det er dyrt at lave god journalistik. Derfor beder vi dig overveje at tegne abonnement på Version2.
Digitaliseringen buldrer derudaf, og it-folkene tegner fremtidens Danmark. Derfor er det vigtigere end nogensinde med et kvalificeret bud på, hvordan it bedst kan være med til at udvikle det danske samfund og erhvervsliv.
Og der har aldrig været mere akut brug for en kritisk vagthund, der råber op, når der tages forkerte it-beslutninger.
Den rolle har Version2 indtaget siden 2006 - og det bliver vi ved med.
