สิ่งแรกที่คุณทำเมื่อได้ยินเสียงแจ้งเตือนอีเมลคือ เช็คผู้ส่ง ไหม? เป็นวิธีเร็วที่สุดในการ 알아ว่าใครส่งมา และเนื้อหาน่าจะเป็นอย่างไร
แต่คุณรู้ไหมว่าแต่ละอีเมลมาพร้อมข้อมูลมากกว่าที่ปรากฏในไคลเอนต์อีเมลส่วนใหญ่? มีข้อมูลเกี่ยวกับผู้ส่งจำนวนมากอยู่ใน email header—ข้อมูลที่คุณสามารถใช้ trace อีเมลย้อนกลับไปที่ต้นทาง
นี่คือวิธี trace อีเมลกลับไปที่มันมาจาก และทำไมคุณอาจอยากทำ
ทำไมต้อง Trace ที่อยู่อีเมล?
ก่อนเรียนวิธี trace ที่อยู่อีเมล มาพิจารณาว่าทำไมคุณต้องทำมัน
ในยุคนี้ อีเมลอันตราย (malicious) ทั้งหลาย มากเกินไป สแปม สแปม แมลแวร์ และอีเมลฟิชชิง (phishing) เป็นมألوفในกล่องจดหมาย หากคุณ trace อีเมลกลับไปที่ต้นทาง คุณมีโอกาสเล็กน้อยที่จะค้นพบว่าใคร (หรือที่ไหน!) ส่งอีเมลมา
ในกรณีอื่น คุณสามารถ trace ต้นทางอีเมลเพื่อบล็อกแหล่งสแปมหรือเนื้อหาทัณฑนัยที่ต่อเนื่อง ลบมันออกจากกล่องจดหมายถาวร ผู้ดูแลเซิร์ฟเวอร์ trace อีเมลเพื่อเหตุผลเดียวกัน
(หากคุณต้องการป้องกันไม่ให้ข้อมูลอีเมลของตัวเองถูกเปิดเผย เรียนรู้วิธีส่งอีเมลแบบไม่ระบุตัวตนสมบูรณ์)
วิธี Trace ที่อยู่อีเมล
คุณสามารถ trace ที่อยู่อีเมลไปยังผู้ส่งโดยดู full email header (ส่วนหัวอีเมลเต็มรูปแบบ) Email header มีข้อมูลการเส้นทาง (routing information) และข้อมูลเมตาของอีเมล (email metadata)—ข้อมูลที่คุณปกติไม่สนใจ แต่ข้อมูลนี้สำคัญต่อการ trace ต้นทางอีเมล
ไคลเอนต์อีเมลส่วนใหญ่ไม่แสดง full email header เป็นค่าเริ่มต้น เพราะมันเต็มไปด้วยข้อมูลทางเทคนิคและค่อนข้างไร้ประโยชน์สำหรับตาที่ไม่ได้ฝึกฝน อย่างไรก็ตาม ไคลเอนต์อีเมลส่วนใหญ่เสนอวิธีดู full email header คุณแค่ต้องรู้ว่าจะมองที่ไหน และมองว่าอะไร
- Gmail Full Email Header: เปิด Gmail แล้วเปิดอีเมลที่ต้องการ trace เลือกเมนูดรอปดาวน์มุมขวาบน แล้ว Show original จากเมนู
- Outlook Full Email Header: ดับเบิลคลิกอีเมลที่ต้องการ trace ไปที่ File > Properties ข้อมูลปรากฏใน internet headers
- Apple Mail Full Email Header: เปิดอีเมลที่ต้องการ trace ไปที่ View > Message > Raw Source
แน่นอน มีไคลเอนต์อีเมลนับไม่ถ้วน การค้นหาเว็บไว้จะเปิดเผยวิธีหา full email header ในไคลเอนต์ที่คุณเลือก เมื่อคุณมี full email header เปิดอยู่ คุณจะเข้าใจว่าทำไมผมบอกว่า "เต็มไปด้วยข้อมูลทางเทคนิค"
เข้าใจข้อมูลใน Full Email Header
ดูเหมือนข้อมูลเยอะมาก แต่พิจารณาดังนี้: คุณอ่าน email header ตามลำดับเวลา (chronologically) จากล่างขึ้นบน (คือ ข้อมูลเก่าสุดอยู่ล่าง) และแต่ละเซิร์ฟเวอร์ใหม่ที่อีเมลเดินทางผ่าน จะเพิ่ม Received เข้าไปใน header
ดูตัวอย่าง email header จากบัญชี Gmail MakeUseOf ของผม:
บรรทัด Gmail Email Header
มีข้อมูลเยอะ มาแยกวิเคราะห์กัน แรก เข้าใจว่าแต่ละบรรทัดหมายถึงอะไร (อ่านจาก ล่าง ขึ้น บน)
- Reply-To: ที่อยู่อีเมลที่คุณส่งการตอบกลับไป
- From: แสดงผู้ส่งข้อความ ฝังง่าย (easy to forge)
- Content-type: บอกเบราว์เซอร์หรือไคลเอนต์อีเมลวิธีตีความเนื้อหาอีเมล ชุดตัวอักษรทั่วไปคือ UTF-8 (เห็นในตัวอย่าง) และ ISO-8859-1
- MIME-Version: ประกาศมาตรฐานรูปแบบอีเมลที่ใช้ MIME-Version ปกติคือ "1.0"
- Subject: เรื่องของเนื้อหาอีเมล
- To: ผู้รับที่ตั้งใจไว้ อาจแสดงที่อยู่อื่น
- DKIM-Signature: DomainKeys Identified Mail ยืนยันโดเมนที่ส่งอีเมล และ ควร ป้องกันการปลอมอีเมล (spoofing) และการฉ้อโกงผู้ส่ง
- Received: บรรทัด "Received" แสดงเซิร์ฟเวอร์แต่ละตัวที่อีเมลผ่านก่อนเข้ากล่องจดหมาย คุณอ่าน "Received" จากล่างขึ้นบน บรรทัดล่างสุดคือต้นทาง
- Authentication-Results: มีบันทึกการตรวจสอบการยืนยันตัวตน อาจมีหลายวิธี
- Received-SPF: Sender Policy Framework (SPF) เป็นส่วนหนึ่งของการยืนยันตัวตนอีเมลที่หยุดการปลอมที่อยู่ผู้ส่ง
- Return-Path: ตำแหน่งที่ข้อความไม่ส่งหรือ bounce จบลง
- ARC-Authentication-Results: Authenticated Receive Chain เป็นมาตรฐานยืนยันตัวตนอีกอย่าง ARC ยืนยันตัวตนของผู้กลางและเซิร์ฟเวอร์ที่ส่งต่อข้อความไปยังปลายทาง
- ARC-Message-Signature: ลายเซ็นถ่ายภาพข้อมูล header สำหรับการตรวจสอบ คล้าย DKIM
- ARC-Seal: "Seal" ผลลัพธ์การยืนยัน ARC และลายเซ็นข้อความ ยืนยันเนื้อหา คล้าย DKIM
- X-Received: ต่างจาก "Received" ในที่มันถูกมองว่า non-standard นั่นคือ อาจไม่ใช่ที่อยู่อยู่ถาวร เช่น mail transfer agent หรือ Gmail SMTP server (ดูด้านล่าง)
- X-Google-Smtp-Source: แสดงการถ่ายโอนอีเมลใช้ Gmail SMTP server
- Delivered-To: ผู้รับสุดท้ายของอีเมลใน header นี้
คุณไม่ต้องเข้าใจทุกอย่างเพื่อ trace อีเมล แตถ้าคุณเรียนรู้การมองผ่าน email header คุณสามารถเริ่ม trace ผู้ส่งอีเมลได้เร็ว
Trace ผู้ส่งต้นทางของอีเมล
เพื่อ trace IP address ของผู้ส่งอีเมลต้นทาง ไปที่ Received แรกใน full email header พร้อมกับ Received line แรกคือ IP address ของเซิร์ฟเวอร์ที่ส่งอีเมล บางครั้งปรากฏเป็น X-Originating-IP หรือ Original-IP
หา IP address แล้ว ไปที่ MX Toolbox ใส่ IP address ในกล่อง เปลี่ยนประเภทการค้นหาเป็น Reverse Lookup ด้วยเมนูดรอปดาวน์ แล้วกด Enter ผลลัพธ์จะแสดงข้อมูลหลากหลายเกี่ยวกับเซิร์ฟเวอร์ส่ง
เว้นแต่ IP address ต้นทางจะเป็นหนึ่งในล้านๆ private IP addresses ในกรณีนั้น คุณจะเจอข้อความต่อไปนี้:
ช่วง IP address ที่เป็น private:
- 0.0.0-10.255.255.255
- 16.00-172.31.255.255
- 168.0.0-192.168.255.255
- 0.0.0-239.255.255.255
IP address lookups สำหรับช่วงเหล่านี้จะไม่คืนผลลัพธ์ใดๆ
3 เครื่องมือฟรี Trace อีเมลและ IP Address
แน่นอน มีเครื่องมือที่นifty ออกแบบมา automate กระบวนการนี้ การเรียนรู้ full email headers และเนื้อหามีประโยชน์ แต่บางครั้งคุณต้องการข้อมูลเร็ว
ลองดู header analyzers ต่อไปนี้:
- GSuite Toolbox Messageheader
- MX Toolbox Email Header Analyzer
- IP-Address Email Header Trace (email header analyzer + IP address tracer)
ผลลัพธ์ไม่ได้ตรงกันเสมอไป ในตัวอย่างด้านล่าง ผมรู้ว่าผู้ส่ง ไม่อยู่ใกล้ ตำแหน่งที่ระบุ กลางอ่างเก็บน้ำใกล้ Wichita
ในนั้น ความสำเร็จในการ trace อีเมลจะแตกต่างกันไป ขึ้นอยู่กับผู้ให้บริการอีเมลของผู้ส่ง ตัวอย่าง หากคุณพยายาม trace อีเมลที่ส่งจากบัญชี Gmail คุณจะพบแค่ตำแหน่งของเซิร์ฟเวอร์ Google ล่าสุดที่ประมวลผลอีเมลของคุณ—ไม่ใช่ IP address ของผู้ส่งต้นทาง
Trace IP Address จากอีเมลได้จริงไหม?
มีกรณีที่ trace IP address ผ่าน email header มีประโยชน์ สแปมเมอร์ที่รำคาญใจเป็นพิเศษ หรือต้นทางของอีเมลฟิชชิงประจำ
อีเมลบางประเภทจะมาจากที่เฉพาะเท่านั้น อีเมล PayPal ของคุณไม่ได้มาจากจีน ตัวอย่างเช่น ในนั้น การ trace ต้นทางอีเมลไม่ใช่วิทยาศาสตร์ที่แม่นยำอย่างน้อยกับเครื่องมือเข้าถึงง่าย
