Door Anoniem: Allemaal niet te fatsoenlijk te verifieëren, je kunt wel gaan graven in bedrijfshistorische domein namen, maar dat gaat veel te ver om praktisch te zijn. Als er geen S/MIME ondertekening is en de TLD van de hostnaam van laatste versturende MTA niet is geregistreerd bij het bedrijf dan is een e-mail niet verifieerbaar als 'legitiem'.
Goed opgemerkt! Geen van de getoonde e-mail adressen (From, Reply-To en "Return-Path") bewijst de identiteit van de feitelijke verzender (en opsteller).
Maar helaas, ook de host
naam van de laatste versturende MTA (Mail Transfer Agent = mail server) is eenvoudig te vervalsen, en de eventuele reverse DNS lookup die de wel door jou vertrouwde mailserver uitvoert, levert vaak niets of flauwe kul op.
Daar komt bij dat spammers vaak vervalste Received headers toevoegen in de hoop onervaren lezers (en anti-spam parsers) van die headers op een dwaalspoor te zetten.
Echt het
enige in een e-mail dat je kunt vertrouwen zijn headers die zijn toegevoegd door mailservers die jij vertrouwt (van jouw ISP bijvoorbeeld). En het enige in die headers dat iets te maken heeft met de afzender is 1 IP-adres; daar zul je het mee moeten doen. En als je niet weet wat "whois" is, ben je kansloos.
Door Anoniem: Bedrijven moeten hun mail gewoon digitaal gaan ondertekenen. Bedrijven kunnen niet van hun gebruikers verwachten dat deze alert zijn op phishing atempts en die correct herkennen terwijl tegelijkertijd hun eigen mail in niets te onderscheiden is van een goede phishing poging.
Het zou goed zijn als
alle mail digitaal ondertekend zou zijn. Helaas bestaan daar 2 standaarden voor (PGP/GnuPG en S/MIME), die allebei grote gebreken kennen (waardoor ze schijnveiligheid bieden) en bovendien niet door leken worden begrepen.
Daar komt bij dat de praktijk is dat bedrijven niet meer zelf mailen, maar dit aan een derde partij overlaten. Als zij het ondertekenen
ook aan die derde partij gaan overlaten, moet je je sterk afvragen wat de waarde is van een handtekening namens bedrijf A gezet door bedrijf X (hetzelfde geldt voor https certificaten van MitM bedrijven die we CDN's noemen, maar dat is een andere discussie).
En, zodra digitale handtekeningen meer worden gebruikt, zal bedrijf X, als deze ook voor bedrijven B, C etc. de mailings en handtekeningen verzorgt, een zeer interessant doelwit worden voor cybercriminelen.
Last but not least zijn doorsnee PC's veel te onveilig om de identiteit van de afzender van een belangrijke e-mail (plus de integriteit van de inhoud van die e-mail) te garanderen. Aanvallers van Diginotar en Adobe konden, zonder toegang tot de private key, resp. subcertificaten en code ondertekenen doordat ze toegang hadden verkregen tot het signing
proces. Op vergelijkbare wijze kan een backdoor in jouw mailprogramma (of XSS bij webmail) "door jou" gesigneerde mails versturen.
Als er een betrouwbare en begrijpelijke oplossing bestond zouden we die allang gebruiken.