Mails mittels PHP faken - Wieso geht es?

Hallo,
manche von euch werden sich vielleicht auch schon einmal gefragt haben, ob man eine E-Mail faken kann. Und ich kann auch sagen, dass es tatsächlich möglich ist. Ich habe es zu wissenschaftlichen Zwecken getestet und es funktioniert mittels PHP. Ich habe dazu sogar ein Programm in Java geschrieben, um die Funktionalität zu testen. Da es nicht missbraucht werden soll, schreibe ich hier nicht, wie es genau funktikoniert. Die Mail landet dabei nicht einmal im Spamverdacht. Es wurde mit den Providern GMX, Googlemail und Web getestet.

Damit ist es möglich, mittels PHP z.B. eine Mail von Bill Gates von der E-Mail-Adresse gates@microsoft.com zu senden, auch wenn man eine ganz andere verwendet. Der Empfänger hat keine Möglichkeit, die andere E-Mail-Adresse zu sehen und erkennt auch nicht, dass es sich um ein Fake handelt, auch wenn dieses Beispiel gewiss nicht der Realität entsprechen wird. Ebenso lässt sich das Datum fälschen. So ist es möglich, Mails aus der Vergangenheit und der Zukunft zu senden, ohne dass es auffällt.

Dieses ganze beunruhigt mich, da ich nun weiß, dass jeder x-beliebige mir eine gefakte Mail senden kann und ich diese nicht als gefälschte Mail identifizieren kann. Was sagt ihr zu dieser Tatsache? Wieso ist so etwas möglich und welche Auswirkungen kann es haben, wenn Unbefugte dazu Zugriff haben?

Der Empfänger hat keine Möglichkeit, die andere E-Mail-Adresse zu sehen und erkennt auch nicht, dass es sich um ein Fake handelt

Wenn man sich den Quelltext der EMail ansieht, insbesondere den Header, sollte man als Empfänger einer solchen EMail eigentlich sehen können, dass der versendende Mailserver eben nicht *.microsoft.com ist.

Die relevanten Header-Zeilen dürften dabei diese sein (Daten anonymisiert):

Return-Path: <absender@domain.tld>
X-Original-To: empfaenger@domain.tld
Delivered-To: empfaenger@domain.tld
Received: from mailserver.domain.tld (mailserver.domain.tld [127.0.0.1])
by main.domain.tld (Postfix) with ESMTP id xxxxxxxx;
Tue, 5 Apr 2011 13:37:00 +0200 (CEST)
From: Arno Nyhm <absender@domain.tld>

Wie man hier sieht, gibt es verschiedene Einträge, die dem Mailprogramm wichtige Informationen über diese EMail liefern. Die Informationen, die beispielsweise bei Return-Path und From stehen, sind vom Absender frei wählbar und dienen zur Angabe der Absenderadresse; entsprechend kann an dieser Stelle auch gates@microsoft.com stehen, obwohl der eigentliche Absender eben nicht Bill Gates ist und er auch keinen Mail-Account bei Microsoft hat.

Viel aussagekräftiger ist vielmehr der Teil, der nach Received steht: Hier sollte der Mailserver stehen, der diese EMail angenommen (entweder von deinem PHP-Script oder von deinem Java-Programm) und an den entsprechenden Empfänger weitergeleitet hat. Hier kann man anhand des Hostnamens und der IP-Adresse erkennen, dass die EMail nicht von dem richtigen Server kommt.

Was sagt ihr zu dieser Tatsache? Wieso ist so etwas möglich und welche Auswirkungen kann es haben, wenn Unbefugte dazu Zugriff haben?

Das Problem ist leider technisch nicht zu verhindern, da ein SMTP-Server unabhängig von den tatsächlich existierenden Postfächern agieren können muss. Gerade im Bereich des Massenwebhostings wird ja nicht für jeden Kunden mit jeder Domain ein eigener Mailserver aufgesetzt.

Die Auswirkungen vom Mailversand mit gefälschten Absenderadressen sind heutzutage hauptsächlich Spam. Natürlich kann man mit solchen Methoden auch Freunde reinlegen; ich persönlich gucke mir aber, wenn mir eine EMail sehr suspekt vorkommt, grundsätzlich den Header an, um herauszufinden, ob der Absender wirklich der ist, der er zu sein vorgibt. (Spam landet natürlich unbesehen im Spam-Ordner.)

Ich bekomme immer wieder solche Emails, die angeblich von meinem Provider, Microsoft oder sogar Paypal kommen. Ich denke mal, dass so etwas möglich ist, da die Emails eben mit PHP versendet werden. Man kann einer PHP Funktion eine beliebige Emailadresse als Empfänger und auch als Absender übergeben.

Natürlich könnte man sich auch eine eigene Funktion schreiben, die so etwas vielleicht sogar noch besser könnte. Meines Wissens ist es aber nicht besonders schwer, den wirklichen Empfänger heraus zu finden. Ich benutze immer den Thunderbird von Mozilla. Hier muss ich mir eben nur den Quelltext der Email ansehen um heraus zu finden, von welcher Emailadresse, die Email tatsächlich gesendet wurde.