কभी একটি অজানা ইমেল ঠিকানা থেকে স্প্যাম বা ফিশিং মেসেজ পেয়েছেন? হয়তো কেউ আপনাকে ফ্রি ট্রিপ অফার করল, হয়তো পারসোনাল ফটোর বিনিময়ে বিটকয়েন পাঠাতে বলল, বা শুধু একটি অনিচ্ছাকৃত মার্কেটিং ইমেল পাঠাল?
আপনি কী কখনো চিন্তা করেছেন সেই ইমেলগুলো কোথা থেকে আসে? একজন স্প্যামার আপনার ইমেল ঠিকানা স্পুফ করে কীভাবে করল তা জানতে কৌতূহলী हुए?
ইমেল স্পুফিং, বা একটি ইমেলকে এমন দেখানো যেন সেটি একটি ভিন্ন ঠিকানা থেকে আসছে (উদাহরণস্বরূপ একটি ইমেল যা whitehouse.gov থেকে আসছে বলে দেখাচ্ছে, কিন্তু আসলে একটি স্ক্যামারের কাছ থেকে) অনিয়ম্যভাবে সহজ।
কোর ইমেল প্রোটোকলগুলোর কোনো অথেনটিকেশন মেথড নেই, অর্থাৎ 'from' অ্যাড্রেস মূলত শুধু একটি ফিল-ইন-দ-ব্লাঙ্ক।
সাধারণত আপনি একটি ইমেল পাওয়ার সময়, সেটি এরকম দেখায়:
From: Name <name@gmail.com> Date: Tuesday, July 16, 2019 at 10:02 AM To: Me <Me@freecodecamp.com>তার নিচে থাকে সাবজেক্ট এবং মেসেজ।
কিন্তু আপনি কীভাবে জানবেন যে ইমেলটি আসলে কোথা থেকে এসেছে? কী অতিরিক্ত ডেটা আছে যা বিশ্লেষণ করা যায়?
আমরা যা খুঁজছি সেটি হলো ফুল ইমেল হেডার — উপরে যা দেখাচ্ছি সেটি শুধু একটি পারশিয়াল হেডার। এই ডেটা আমাদের কিছু অতিরিক্ত ইনফরমেশন দেবে ইমেলটি কোথা থেকে এসেছে এবং কীভাবে আপনার ইনবক্সে পৌঁছেছে।
আপনি যদি নিজের ইমেল হেডার দেখতে চান, তবে আউटलুক এবং জিমেইলে কীভাবে এক্সেস করবেন সেটি এখানে দেওয়া হলো। অধিকাংশ মেইল প্রোগ্রাম একইভাবে অপারেট করে, এবং একটি সিম্পল গুগল সার্চ আপনাকে বता দেবে альтернаেটিভ মেইল সার্ভিসগুলোর হেডার কীভাবে দেখবেন।
এই আর্টিকেলে আমরা একটি রিয়েল হেডার সেট দেখব (যদিও সেগুলো hevily রিড্যাক্টেড — আমি হোস্টনেম, টাইমস্ট্যাম্প, এবং IP ঠিকানা পরিবর্তন করেছি)।
আমরা হেডারগুলো টপ থেকে বটম পড়ব, কিন্তু এই बातে সতর্ক থাকুন যে প্রতিটি নতুন সার্ভার তাদের হেডার ইমেল বডির টপে যোগ করে। এর মানে আমরা ফাইনাল Message Transfer Agent (MTA) থেকে হেডারগুলো পড়ব এবং প্রথম MTA-তে যাব যেটি মেসেজটি এক্সেপ্ট করেছিল।
ইন্টারনাল ট্রান্সফার
Received: from REDACTED.outlook.com (IPv6 Address) by REDACTED.outlook.com with HTTPS via REDACTED.OUTLOOK.COM; Fri, 25 Oct 2019 20:16:39 +0000এই ফাস্ট হপটি একটি HTTPS লাইন দেখাচ্ছে, যার মানে সার্ভারটি স্ট্যান্ডার্ড SMTP-এর মাধ্যমে মেসেজ রিসিভ করেনি এবং বরং একটি ওয়েব অ্যাপ্লিকেশন থেকে প্রাপ্ত ইনপুট থেকে মেসেজটি তৈরি করল।
Received: from REDACTED.outlook.com (IPv6Address) by REDACTED.outlook.com (IPv6Address) with Microsoft SMTP Server (version=TLS1_2, cipher=TLS_ECDHE_RSA_WITH_AES_256_GCM_SHA384) id 15.1.1358.20; Fri, 25 Oct 2019 20:16:38 +0000 Received: from REDACTED.outlook.com (IPv6Address) by REDACTED.outlook.office365.com (IPv6Address) with Microsoft SMTP Server (version=TLS1_2, cipher=TLS_ECDHE_RSA_WITH_AES_256_CBC_SHA384) id 15.20.2385.20 via Frontend Transport; Fri, 25 Oct 2019 20:16:37 +0000 Authentication-Results: spf=softfail (sender IP is REDACTEDIP)smtp.mailfrom=gmail.com; privatedomain.com; dkim=pass (signature was verified)header.d=gmail.com;privatedomain.com; dmarc=pass action=noneheader.from=gmail.com;compauth=pass reason=100Received-SPF: SoftFail (REDACTED.outlook.com: domain of transitioning gmail.com discourages use of IPAddress as permitted sender)এই প্রথম দুটি হেডার ব্লক ইন্টারন্যাল মেইল ট্রান্সফার। আপনি বুঝতে পারবেন এগুলো Office365 সার্ভারগুলো (outlook.com) দ্বারা রিসিভ করা হয়েছে, এবং ইন্টারন্যালি সঠিক রিসিপিয়েন্টের কাছে রুট করা হয়েছে।
আপনি এছাড়া বুঝতে পারবেন যে মেসেজটি এনক্রিপ্টেড SMTP-এ পাঠানো হয়েছে। আপনি এটাকে জানেন কারণ হেডারটি লিস্ট করে "with Microsoft SMTP Server" এবং তারপর TLS ভার্সন নির্দিষ্ট করে, সেইসাথে স্পেসিফিক সিফার।
তৃতীয় হেডার ব্লকটি একটি লোকাল মেইল সার্ভার থেকে একটি মেইল ফিল্টারিং সার্ভিসে ট্রানজিশন চিহ্নিত করে। আপনি এটাকে জানেন কারণ এটি "via Frontend Transport" দিয়ে গেলো যা একটি Microsoft-Exchange স্পেসিফিক প্রোটোকল (এবং তাই এটি স্ট্রিক্টলি SMTP নয়)।
এই ব্লকটিও কিছু ইমেল চেক অন্তর্ভুক্ত করে। Outlook.com-এর হেডার এখানে তাদের SPF/DKIM/DMARC রেজাল্ট ডিটেইল করছে। একটি SPF softfail মানে এই IP ঠিকানা gmail.com-এর ওপরে ইমেল পাঠাতে অনুমোদিত নয়।
"dkim=pass" মানে ইমেল তার PURPORTED সেন্ডার থেকে আসছে এবং (সর্বোচ্চ সম্ভাবনা) ট্রানজিট-এ আল্টার করা হয়নি।
DMARC হলো নিয়মের একটি সেট যা মেইল সার্ভারকে বলে SPF এবং DKIM রেজাল্ট কীভাবে ইন্টারপ্রেট করতে হবে। Pass সম্ভবত মানে ইমেল তার গন্তব্যের দিকে চালিয়ে যাচ্ছে।
SPF, DKIM, এবং DMARC-র ওপর আরও জানতে এই আর্টিকেল চেক আউট করুন।
ইন্টারন্যাল/এক্সটার্ন্যাল ট্রানজিশন
Received: from Redacted.localdomain.com (IP address) byredacted.outlook.com (IP address) with Microsoft SMTPServer (version=TLS1_2, cipher=TLS_ECDHE_RSA_WITH_AES_256_CBC_SHA384) id15.20.2305.15 via Frontend Transport; Fri, 25 Oct 2019 20:16:37 +0000 Received-SPF: None (Redacted.localdomain.com: no senderauthenticity information available from domain ofsender@gmail.com) identity=xxx; client-ip=IPaddress;receiver=Redacted.localdomain.com;envelope-from="sender@gmail.com";x-sender="sender@gmail.com"; x-conformance=sidf_compatible Received-SPF: Pass (Redacted.localdomain.com: domain ofsender@gmail.com designates sending IP as permittedsender) identity=mailfrom; client-ip=IPaddress2;receiver=Redacted.localdomain.com;envelope-from="sender@gmail.com";x-sender="sender@gmail.com"; x-conformance=sidf_compatible;x-record-type="v=spf1"; x-record-text="v=spf1ip4:35.190.247.0/24 ip4:64.233.160.0/19 ip4:66.102.0.0/20ip4:66.249.80.0/20 ip4:72.14.192.0/18 ip4:74.125.0.0/16ip4:108.177.8.0/21 ip4:173.194.0.0/16 ip4:209.85.128.0/17ip4:216.58.192.0/19 ip4:216.239.32.0/19 ~all"এটি Google-এর SPF রেকর্ড — রিসিভিং সার্ভারকে বলে যে যে ইমেলটি দাবি করছে gmail.com থেকে আসছে, সেটি আসলে একটি Google-अনুমোদিত সার্ভার থেকে আসছে।
Received-SPF: None (redacted.localdomain.com: no senderauthenticity information available from domain ofpostmaster@redatedgoogle.com) identity=helo;client-ip=IPaddress; receiver=Redacted.localdomain.com;envelope-from="sender@gmail.com";x-sender="postmaster@.google.com";x-conformance=sidf_compatibleAuthentication-Results-Original: Redacted@localdomain.com; spf=Nonesmtp.pra=sender@gmail.com; spf=Pass smtp.mailfrom=sender@gmail.com;spf=None smtp.helo=postmaster@redacted.google.com; dkim=pass (signatureverified) header.i=@gmail.com; dmarc=pass (p=none dis=none) d=gmail.comIronPort-SDR: IronPort-PHdr: =X-IronPort-Anti-Spam-Filtered: trueX-IronPort-Anti-Spam-Result: =X-IronPort-AV: ;d="scan"X-Amp-Result: SKIPPED(no attachment in message)X-Amp-File-Uploaded: Falseএটি কিছু অতিরিক্ত SPF/DKIM/DMARC চেক, সেইসাথে একটি IronPort স্ক্যানের রেজাল্ট দেখাচ্ছে।
Ironport একটি জনপ্রিয় ইমেল ফিল্টার যা অনেক কর্পোরেশন স্প্যাম, ভাইরাস, এবং অন্যান্য ম্যালিশিয়াস ইমেল খুঁজে বের করতে ব্যবহার করে। এটি ইমেলের লিংক এবং আট্যাচমেন্ট স্ক্যান করে এবং নির্ধারণ করে ইমেলটি ম্যালিশিয়াস কিনা (এবং ড্রপ করা উচিত), সেটি সম্ভবত লেজিটিমেট এবং ডেলিভার করা উচিত, অথবা সাস্পিশিয়াস কিনা যা কেসে এটি বডির সাথে একটি হেডার আট্যাচ করতে পারে যা ইউজারকে সতর্ক করে ইমেলের প্রতি সাবধান থাকতে।
Received: from redacted.google.com ([IPAddress])by Redacted.localdomain.com with ESMTP/TLS/ECDHE-RSA-AES128-GCM-SHA256; Fri, 25 Oct 2019 16:16:36 -0400 Received: by redacted.google.com with SMTP idfor recipient@localdomain.com; Fri, 25 Oct 2019 13:16:35 -0700 (PDT) X-Received: by IPv6:: with SMTP id; Fri, 25 Oct 2019 13:16:35 -0700 (PDT) Return-Path: sender@gmail.com Received: from senderssmacbook.fios-router.home (pool-.nycmny.fios.verizon.net. [IP address redacted])by smtp.gmail.com with ESMTPSA id redacted IP(version=TLS1 cipher=ECDHE-RSA-AES128-SHA bits=128/128);Fri, 25 Oct 2019 13:16:34 -0700 (PDT) Received: from senderssmacbook.fios-router.home (pool-.nycmny.fios.verizon.net. [IP address redacted])by smtp.gmail.com with ESMTPSA id redacted IP(version=TLS1 cipher=ECDHE-RSA-AES128-SHA bits=128/128);Fri, 25 Oct 2019 13:16:34 -0700 (PDT)এই সেকশনটি সেন্ডারের ইনিশিয়াল ডিভাইস থেকে জিমেইলের রাউটিং সিস্টেম দিয়ে এবং রিসিপিয়েন্টের আউटलুক এনভায়রনমেন্টে ইমেলটি যে ইন্টারন্যাল হপগুলো নিয়ে গিয়েছে সেগুলো দেখাচ্ছে। এখান থেকে আমরা দেখতে পাচ্ছি যে ইনিশিয়াল সেন্ডারটি একটি Macbook থেকে, একটি হোম রাউটার ব্যবহার করে, Verizon Fios-এ, NYC-তে ছিল।
এটি সেন্ডার থেকে রিসিপিয়েন্টে ইমেল যাওয়ার রুট দেখানো হপগুলোর শেষ। এর পাশাপাশি, আপনি ইমেল বডিটি দেখবেন (এবং সাধারণত আপনি যে হেডারগুলো দেখেন "from:", "to:", ইত্যাদি), মিডিয়া টাইপ এবং ইমেল ক্লায়েন্টের ভিত্তিতে কিছু ফরম্যাটিংসহ (উদাহরণস্বরূপ MIME Version, content type, boundary, ইত্যাদি)। এটিতে কিছু user-agent ইনফরমেশনও থাকতে পারে, যা মেসেজ পাঠানো ডিভাইসের টাইপের ডিটেইলস।
এই কেসে আমরা ইতিমধ্যে জানি সেন্ডিং ডিভাইসটি একটি Macbook ছিল Apple-এর নেমিং কনভেনশনের কারণে, কিন্তু এটিতে CPU টাইপ, ভার্সন, এমনকি ব্রাউজার এবং ভার্সন যা ডিভাইসে ইনস্টলড ছিল সেগুলোর ডিটেইলসও থাকতে পারে।
কিছু কেসে, কিন্তু সব সময় না, এটিতে সেন্ডিং ডিভাইসের IP ঠিকানাও থাকতে পারে (যদিও অনেক প্রোভাইডার সাবপোনা ছাড়া সেই ইনফরমেশন হাইড করে রাখে)।
ইমেল হেডার আপনাকে কী বলতে পারে?
ইমেল হেডারগুলো চিনতে সাহায্য করতে পারে যখন ইমেলগুলো তাদের PURPORTED সেন্ডাররা থেকে পাঠানো হয়নি। সেগুলো সেন্ডার সম্পর্কে কিছু ইনফরমেশন দিতে পারে — যদিও এটা সাধারণত আসল সেন্ডারকে আইডেনটিফাই করার জন্য পর্যাপ্ত নয়।
ল إنফোর্সমেন্ট অথরিটি প্রায়ই এই ডেটা ব্যবহার করে সঠিক ISP থেকে সাবপোনা দিয়ে ইনফরমেশন বের করতে পারে, কিন্তু বাকি আমরা অধিকাংশই শুধু এটি ব্যবহার করতে পারি ইনভেস্টিগেশন ইনফর্ম করতে, সাধারণত ফিশিং-এ।
এই প্রসেসটি কঠিন হয়ে যায় এই ফ্যাক্টের কারণে যে হেডারগুলো ম্যালিশিয়াস সার্ভার বা হ্যাকাররা ফেক করতে পারে। প্রতিটি সার্ভারের মালিকের সাথে যোগাযোগ করে এবং ইনডিভিজুয়ালি ভেরিফাই করে যে আপনার ইমেলের হেডারগুলো তাদের SMTP লগের সাথে ম্যাচ করে কিনা, যা পেইনস্টেকিং এবং টাইম-কনসামিং, ছাড়া আপনি নিশ্চিত হবেন না যে হেডারগুলো একুরেট (আপনার নিজের মেইল সার্ভারগুলো দ্বারা আট্যাচ করা হেডারগুলো বাদে)।
প্রতিটি সার্ভারের মালিকের সাথে যোগাযোগ করে এবং ইনডিভিজুয়ালি ভেরিফাই করে যে আপনার ইমেলের হেডারগুলো তাদের SMTP লগের সাথে ম্যাচ করে কিনা, যা পেইনস্টেকিং এবং টাইম-কনসামিং, ছাড়া আপনি নিশ্চিত হবেন না যে সকল হেডারগুলো একুরেট।
DKIM, DMARC এবং SPF এই প্রসেসে সাহায্য করতে পারে, কিন্তু সেগুলো পারফেক্ট নয়, এবং তাদের ছাড়া কোনো ভেরিফিকেশনই নেই।
আপনার নিজের হেডার বিশ্লেষণ করতে চান না? এই সাইট আপনার জন্য করবে।
