"Форензика - компьютерная криминалистика. Часть 10"

Николай Федотов, компания INFOWATCHПринадлежность адреса электронной почтыСообщения электронной почты фигурируют во многих уголовных и гражданских делах. В некоторых они даже являются центральным доказательством. При помощи электронной почты заключаются сделки, происходит сговор о совершении преступления, совершается вымогательство, передаются существенные для дела сведения. Во всех подобных случаях встает вопрос: кому принадлежит или кем используется тот или иной адрес электронной почты.

Почтовый ящикВ большинстве случаев адрес электронной почты однозначно связан с почтовым ящиком. И все письма, адресованные на этот адрес, попадают в этот ящик, откуда потом пользователь может их забрать.Однако есть исключения:·         групповые или коллективные адреса, которые представляют собой адрес списка рассылки*; все поступающие на этот адрес письма рассылаются определенной группе адресатов; таковыми часто бывают ролевые адреса, например, info@company.ru или noc@provider.net;·         технические адреса, за которыми не стоит ни пользователь, ни почтовый ящик; все поступающие на такой адрес письма обрабатываются программой; например, иногда в качестве обратного адреса указывается нечто вроде noreply@domain.com – все, что поступает на такой адрес, отправляется почтовым сервером на устройство /dev/null;·         адреса для пересылки (forward) сообщений; все поступающие на такой адрес сообщения не складываются в почтовый ящик, а перенаправляются на другой, заранее заданный адрес.Передача сообщенийВ сообщении электронной почты адрес может быть указан в следующих полях. Адрес получателя – в полях «To», «Cc»и «Bcc». Адрес отправителя – в полях «From», «Reply-to» и «Return-path». Парадокс в том, что все эти поля могут не содержать истинного адреса. Все шесть адресов могут быть подложными, но, несмотря на это, сообщение дойдет по назначению. Чтобы пояснить, как такое может быть, рассмотрим процесс передачи сообщения электронной почты по протоколу SMTP.Ниже приводится образец трафика (снят командой «tcpdump -i rl0 -s 1024 -n -xX 'tcp and port 25'»), в котором зафиксирован процесс передачи одного сообщения.