เคยได้อีเมลและสงสัยว่ามาจากไหน หรือใครส่งจริงๆ? อย่างน่าประหลาดใจ ข้อมูลเยอะมากสามารถได้จาก metadata ใน email header
Header เป็นส่วนหนึ่งของทุกอีเมลที่คนส่วนใหญ่ไม่เคยเห็น มันมีข้อมูลมหาศาลที่ดูเหมือน gobbledygook (ข้อความสับสน) ให้ผู้ใช้ทั่วไป นอกจากนี้ email clients ส่วนใหญ่ซ่อน metadata ทำให้ยากเข้าถึง
เนื่องจากมี email clients เยอะมาก ทั้ง desktop และ web-based การแสดงวิธีดู email headers อาจกลายเป็นหนังสือเล่มเล็ก ดังนั้นเราจะโฟกัสที่วิธีดู email header ใน Gmail และสิ่งที่เรียนรู้ได้จากมัน
Email Header คืออะไร?
Email header คือ การรวบรวม metadata ที่บันทึก path (เส้นทาง) ที่อีเมลเดินทางมาถึงคุณ อาจพบข้อมูลเยอะมากใน header หรือแค่พื้นฐาน
มี standard (มาตรฐาน) ว่าควรมีข้อมูลอะไรใน header บ้าง แต่ไม่มี limit (ขีดจำกัด) จริงๆ ว่า email server อาจใส่อะไรเข้าไปใน header ได้บ้าง
หากสนใจ standard ของ email protocol ดู RFC 5321 - Simple Mail Transfer Protocol มันค่อนข้าง hard on the head (ยากต่อการเข้าใจ) โดยเฉพาะหากไม่ต้องรู้สิ่งเหล่านี้
วิธีดู Email Header ใน Gmail
เมื่อเปิดข้อความอีเมลใน Gmail คลิกที่ three-dot icon (ไอคอนสามจุด) มุมขวาบนของข้อความ เพื่อขยายเมนู More คลิก Show original เพื่อดู raw email message พร้อม full contents และ header ที่เปิดเผย
หน้าต่างหรือแท็บใหม่จะเปิด และคุณจะเห็น plain text version ของอีเมลพร้อม header ด้านบน เนื้อหาของ header จะดูประมาณนี้:
ดูดี แตมันหมายถึงอะไร?
Email Header ถูกสร้างอย่างไร?
ด้วยการรู้ว่า header ถูกสร้างตามเส้นทางที่อีเมลเดินทาง คุณจะได้ insight (ข้อมูลเชิงลึก) ที่ลึกซึ้งยิ่งขึ้นว่าข้อมูลของ header หมายถึงอะไร มาดูส่วนต่างๆ เมื่อถูกเพิ่ม และความหมายของส่วนสำคัญที่สุด
บนคอมพิวเตอร์ของผู้ส่ง
ส่วนหนึ่งของ header ถูกสร้างเมื่อผู้ส่งสร้างอีเมลเพื่อส่งให้ผู้รับ จะรวมข้อมูลอย่าง: เวลาที่ compose (เขียน), ใคร compose, subject line, และ recipient (ผู้รับ) ของอีเมล
นี่คือส่วนของ header ที่คุณคุ้นเคยมากที่สุดในรูปของบรรทัด Date:, From:, To:, และ Subject: บนส่วนบนของอีเมล
บน Email Service ของผู้ส่ง
ข้อมูลเพิ่มเติมถูกเพิ่มเข้า header เมื่ออีเมลถูกส่งจริง มาจาก email service ที่ผู้ส่งใช้ ในกรณีนี้ ผู้ส่งใช้ hosted email service ดังนั้น IP address ที่แสดงคือ address ภายใน network ของ service provider
การ WHOIS search บนมันจะไม่ให้ข้อมูลมีประโยชน์ สิ่งที่ทำได้คือ Google search server name ในกรณีนี้คือ tilos.inmoo.net ด้วยการขุดค้นเล็กน้อย เราหา server name และ IP address ได้ที่ bgp.tools
ตรวจสอบ IP address เพิ่มเติม พบว่าผู้ส่งใช้ LeaseWeb บริษัท cloud computing และ web services ของ Dutch
นอกจาก IP address ของผู้ส่ง Email header ยังเปิดเผยเวลาที่อีเมลถูกส่งโดย email service ของผู้ส่ง (Thu, 10 Feb 2022 14:58:13 -0800 (PST)) และ Message-ID สำหรับข้อความนั้นๆ ที่เพิ่มโดย email service
ระหว่างทางไปยัง Email Service ของผู้รับ
จากนั้น อีเมลอาจเดินทางผ่าน route (เส้นทาง) หลายอย่าง เพื่อจบที่ email service ของผู้รับ สิ่งนี้ถูกเพิ่มใน header เพื่อแสดง "hops" (การกระโดด/ผ่านเซิร์ฟเวอร์) ที่อีเมลต้องทำเพื่อมาถึงคุณ
Hops เริ่มจาก server ที่จัดการอีเมลล่าสุด และย้อนกลับไป server ที่จัดการต้นทาง ใน reverse chronological order (ลำดับเวลาย้อนกลับ) ในตัวอย่างของเรา hop แรกนำอีเมลจากผู้ส่งไป Google จากนั้นอีก 2 hops จนถึงปลายทาง
Final Hop (Hop สุดท้าย):
Received: from tilos.inmoo.net (tilos.inmoo.net. [81.171.26.235])
by mx.google.com with ESMTPS id nc18si9066695ejc.964.2022.02.10.14.58.13
for <xxx@gmail.com>
(version=TLS1_3 cipher=TLS_AES_256_GCM_SHA384 bits=256/256);
Thu, 10 Feb 2022 14:58:13 -0800 (PST)
Received-SPF: pass (google.com: domain of news@lastbacker.com designates 81.171.26.235 as permitted sender) client-ip=81.171.26.235;
Authentication-Results: mx.google.com;
dkim=pass header.i=@lastbacker.com header.s=ms header.b=frJ635H2;
spf=pass (google.com: domain of news@lastbacker.com designates 81.171.26.235 as permitted sender) smtp.mailfrom=news@lastbacker.com
นี่คือ hop ที่นำจากเซิร์ฟเวอร์ LeaseWeb ไปยัง email server ของผู้รับ เราบอกได้ว่า received โดย mx.google.com ดังนั้นผู้รับใช้ email service กับ Google
สังเกตบรรทัด Received-SPF: SPF (Sender Policy Framework) เป็นมาตรฐานที่ email server ของผู้ส่งประกาศตัวเป็น legitimate sender (ผู้ส่งที่ถูกต้อง) ของอีเมล
ในกรณีนี้ qualifier (คุณสมบัติ) คือ pass หมายความว่า IP address ได้รับอนุญาตส่งจาก domain หากเป็น fail จะถูกปฏิเสธโดยเซิร์ฟเวอร์ Gmail หากเป็น softfail Gmail จะรับแต flag (ทำเครื่องหมาย) ว่าอาจไม่ใช่จากผู้ที่ระบุ
Previous Hops (Hops ก่อนหน้า):
Final hop อาจมี hops ก่อนหน้าหนึ่งหรือหลาย hop timestamps ของแต่ละอัน เปิดเผยว่าแต่ละเซิร์ฟเวอร์ใช้เวลานานแค่ไหนในการส่งต่อข้อความ นี่ไม่บอกอะไรมาก เว้นแต่คุณเป็น network engineer
ทฤษฎีแล้ว คุณคำนวณประมาณได้ว่าเซิร์ฟเวอร์ทั้งสองห่างกันเท่าไหร่
ที่ Email Server ของผู้รับ
เมื่อถึง email service ของผู้รับ ข้อมูลเพิ่มเติมถูกเพิ่มเข้า header อาจรวมถึง: เซิร์ฟเวอร์ของผู้รับรับเมื่อไหร่, email server ที่ส่งมาหมายถึง, ที่อยู่อีเมลผู้รับที่ตั้งใจ, และที่อยู่อีเมล "reply to" ที่ผู้ส่งระบุ
กลับไปที่ Final Hop เราเห็นว่า email service ของผู้รับเป็น Google สำคัญที่สุด เราบอกได้จาก Return-Path: ว่าอีเมลตอบกลับ และอีเมลของผู้ส่ง เป็นคนเดียวกันหรือไม่ หากใช่ มันบอกเราว่ามีโอกาสดีที่อีเมลนี้ legitimate (ถูกต้อง/แท้)
ข้อมูลอื่นจาก Headers อื่นๆ
Email header นี้จำกัดข้อมูล เพราะใช้ hosted email service หากผู้ส่งใช้ email server ของตัวเอง เราอาจได้ข้อมูลมากขึ้นนิดหน่อย
อาจระบุได้ว่าใช้ mail client อะไรพอดี หรือ WHOIS IP ของผู้ส่ง หาตำแหน่งประมาณได้
ยังค้นหา domain ของผู้ส่งบนเว็บได้ ดูว่ามี website หรือไม่ จาก website นั้น อาจหาข้อมูลผู้ส่งเพิ่มได้อีก
อาจค้นหา email address เอง หาคนออนไลน์ และเริ่ม doxing (เก็บข้อมูลส่วนตัวเผยแพร่) แตเราไม่แนะนำให้ทำ
ถอดรหัส Email Headers และ Metadata
การถอดรหัส email headers จาก raw data เพียงอย่างเดียวอาจ overwhelming (ท่วมท้น) โชคดีที่มี online tools ทำ heavy lifting (งานหนัก) ให้ Gmail ทำให้ copy header ทั้งหมดง่ายด้วยการคลิกปุ่ม เมื่อดู original message (ดูข้างต้น) พร้อม metadata ทั้งหมด คลิกปุ่ม Copy to Clipboard แล้วไปที่หนึ่งในไซต์ด้านล่าง
- Google Admin Toolbox Messageheader: แยกพื้นฐานและ path ที่อีเมลเดินทางจากผู้ส่งไปผู้รับ
- MX Toolbox: แยก header รายละเอียดมากกว่า เปิดเผย delays, authentication issues, และแต่ละ hop
- WhatIsMyIP: หากสงสัยว่าอีเมลมาจากไหนในโลก มาเลย ที่นี่ทำ WHOIS lookup
- Mail Header: ได้ detailed MTA (Message Transfer Agent) analysis, visual representation (ภาพแทน) ของ route ทั่วโลก พร้อม hop และ spam scoring details
ทุกอย่างที่เรียนรู้จาก Email Header
การสื่อสารอิเล็กทรอนิกส์ทุกอย่างทิ้ง footprints (ร่องรอย) บางอย่างใหญ่และติดตามง่าย บางอย่างถูกบังโดย web filters และ proxy servers ไม่ว่าจะเป็นอย่างไร สิ่งที่เหลืออยู่ บอกเราบางอย่างเกี่ยวกับคนที่สร้างมัน
จาก metadata นั้น เราอาจสืบสวนต่อไปเรียนรู้เพิ่มเติมเกี่ยวกับคนที่เกี่ยวข้อง พวกเขาใช้ VPN ซ่อนบางอย่างไหม? พวกเขาจริงๆ มาจาก legitimate business ที่มี web presence จริงไหม? คนนี้คือคนที่อยากไป date จริงไหม? คนทั่วไปเรียนรู้เกี่ยวกับผมได้อะไร ไม่ถึง NSA?
ลองดู email headers ของตัวเอง ว่ามันบอกอะไรเกี่ยวกับคุณ หากพบบรรทัด header บางอย่างที่ไม่น่าจะมีความหมาย ให้ Google ช่วยถอดรหัสให้
