Doorgestuurde mail: bron te achterhalen?

[Tjolk]

Vanmiddag heb ik van iemand als "bewijs" dat hij ook contact heeft gehad met een derde een mail doorgestuurd gekregen. Die derde zegt echter van niets te weten. En van degene van wie ik het dorgestuurd heb ik, op zijn zachtst gezegd, geen hoge pet op.

Kan ik van de doorgestuurde mail op de een of andere wijze achterhalen waar het origineel vandaan kwam? Ik heb namelijk enorm het gevoel belazerd te worden maar heb graag iets waarmee ik hem om de oren kan slaan. Als ik aan kan tonen dat de mail helemaal niet is doorgestuurd maar hij het zelf heeft geschreven dan zou dat natuurlijk een mooi bewijs zijn.

Het gaat trouwens niet om zomaar een simpel ruzietje, het gaat om een handelaar die van alles claimt en beloofd maar ondertussen slechts heel weinig hard kan maken. Er zijn al diversen door gedupeerd en ik hoop nu iets aan te kunnen tonen om zo meer schade te voorkomen.

[GlowMouse]

Aan alleen de tekst heb je niets. Is hij als .eml-file doorgestuurd? In dat geval zitten er misschien headers bij (open de eml-file in kladblok). Slechts aan de hand van de headers kun je met redelijkheid vaststellen of iemand de mail echt verstuurd heeft, al zijn die ook nog wel redelijk echt na te maken (maar kost veel moeite).

SFB schreef op zaterdag 23 juni 2007 @ 20:31:
Het gaat trouwens niet om zomaar een simpel ruzietje, het gaat om een handelaar die van alles claimt en beloofdt maar ondertussen slechts heel weinig hard kan maken.

[Anoniem: 112308]

Je kan het 'pad' dat is doorlopen van de mail achterhalen via de headers in de mail. In Outlook via 'View > Options' (als je het bericht eenmaal hebt geopend).

[GlowMouse]

Anoniem: 112308 schreef op zaterdag 23 juni 2007 @ 20:34:
Je kan het 'pad' dat is doorlopen van de mail achterhalen via de headers in de mail. In Outlook via 'View > Options' (als je het bericht eenmaal hebt geopend).

De headers hebben alleen betrekking op de laatst verstuurde mail in een conversatie. Bij een doorgestuurde mail kun je dus niet zomaar de headers zien van de oorspronkelijke mail.

[Anoniem: 112308]

GlowMouse schreef op zaterdag 23 juni 2007 @ 20:35:
[...]

De headers hebben alleen betrekking op de laatst verstuurde mail in een conversatie. Bij een doorgestuurde mail kun je dus niet zomaar de headers zien van de oorspronkelijke mail.

Ik was er eigenlijk iets te snel vanuit gegaan dat hij was doorgestuurd als een '.msg-bijlage' (wat mss ook zo is). Anders gaat het idd niet op.

[Henk007]

Een geforwarde mail bevat niet meer de headers van het oorspronkelijke bericht, dus het heeft geen enkele waarde.

[Tjolk]

Helaas, het is gewoon een kwestie geweest van klikken op doorsturen of zelfs de tekst eronder plakken (dat idee heb ik nu eigenlijk). I zie wel dingen als "From:", "To:", "Date:" enzo, maar ook dat is gewoon keihard te faken natuurlijk.

Toch bedankt!

[Anoniem: 169271]

Bovendien, is smtp (nooit?) niet beveiligd, dus dat kan je altijd faken.
Als je het protocol kent, kan je een mailtje sturen van (from:) billgates @microsoft.com, als je wilt.

Mails zijn sowieso niet erg betrouwbaar.

Correct me if i'm wrong.

[GlowMouse]

Anoniem: 169271 schreef op zondag 24 juni 2007 @ 12:54:
Bovendien, is smtp (nooit?) niet beveiligd, dus dat kan je altijd faken.
Als je het protocol kent, kan je een mailtje sturen van (from:) billgates @microsoft.com, als je wilt.

Mails zijn sowieso niet erg betrouwbaar.

Correct me if i'm wrong.

De mailheaders zullen dan wel laten zien dat de mail vanaf een computer uit Nederland is verstuurd.

[Tjolk]

GlowMouse schreef op zondag 24 juni 2007 @ 13:52:
[...]

De mailheaders zullen dan wel laten zien dat de mail vanaf een computer uit Nederland is verstuurd.

Daar zeg je wat interessants. De derde in kwestie (van wie de mail doorgestuurd is) komt uit de US, degene die het aan mij doorgestuurd heeft komt uit NL. Begrijp ik dat er dan toch nog een kans is?

[Xander]

SFB schreef op zondag 24 juni 2007 @ 17:58:
[...]

Daar zeg je wat interessants. De derde in kwestie (van wie de mail doorgestuurd is) komt uit de US, degene die het aan mij doorgestuurd heeft komt uit NL. Begrijp ik dat er dan toch nog een kans is?

Een kans dat je aan kunt tonen dat degene die het aan jou doorstuurde dat inderdaad vanuit Nederland gedaan heeft ja.

Zoals al gezegd: De headers van het originele mailtje heb je niet meer, dus daar kun je ook niets aan afleiden.

[Anoniem: 112308]

En ook dat zegt niet alles, want je moet maar net weten waar die mailserver staat (in welk land). Zoiezo zul je hier weinig mee kunnen bewijzen in ieder geval.

[Tjolk]

Damn. Toch bedankt voor de info!

[paella]

Toegang tot de mailserver waar het vandaan zou komen kan wat licht op de zaak werpen. Een meewerkende postmaster is dan handig.

[Anoniem: 199639]

Voor internetgebruikers die willen weten uit welk land ontvangen e-mailberichten afkomstig zijn, heeft Izecom beveiligingsonderzoeker Martijn Brinkers een "e-mail tracking tool" ontwikkeld. De tool maakt de "e-mail flow" inzichtelijk, en geeft via Google Maps de route weer die door de mail is afgelegd.

"Je moet je e-mail headers pasten in de exit box en dan laat "show" je ongeveer zien hoe de e-mail flow eruit ziet, natuurlijk zijn de headers niet echt te vertrouwen maar het geeft wel een leuk inzicht," aldus Brinkers. De tool is te vinden via deze pagina.

Op de vraag wat er met ingevulde gegevens gebeurt laat Brinkers weten: "Ik bewaar niks. Als iemand bang is om teveel informatie vrij te geven kan hij/zij ook alleen de "received" headers pasten (wel oppassen met mail folding). Dat zijn de enige headers die gebruikt worden."

bron : http://www.security.nl/article/16254/1

[Anoniem: 199639]

ja deze pagina = http://www.mitm.nl/

spacietje

[Zpottr]

Kijk, als persoon b (de handelaar) er bij gebaat is aan persoon a (jij) te bewijzen dat persoon c (weer iemand anders) hem iets heeft gestuurd, dan kan a best aan b vragen het originele bericht met alle headers door te sturen.

Als b nu geen weet heeft van bv. het ip-adres van c is dat voor hem niet zomaar te faken. Als b wel ooit mail heeft gehad van c wordt het lastiger voor a want dan weet b hoe hij een mailtje van c moet vervalsen. Dus

[Zpottr]

Oh, en a moet ook mail hebben gehad van c om te kunnen zien of e.e.a. klopt natuurlijk... en uitgaande van statische ip-adressen en dat soort vervelende details...

[ Voor 29% gewijzigd door Zpottr op 26-06-2007 00:49 ]

[Tjolk]

A heeft mail van C. B heeft ook gemaild met C, dat bevestigd C ook. C zegt echter dat de inhoud heel anders was.

Als ik het zo goed begrijp kan B heel eenvoudig de inhoud van de mails die hij van C gehad heeft wijzigen en het dan met de originele headers naar mij doormailen. Het blijft dus het woord van B tegen C.

[Zpottr]

SFB schreef op dinsdag 26 juni 2007 @ 22:21:
A heeft mail van C. B heeft ook gemaild met C, dat bevestigd C ook. C zegt echter dat de inhoud heel anders was.

Als ik het zo goed begrijp kan B heel eenvoudig de inhoud van de mails die hij van C gehad heeft wijzigen en het dan met de originele headers naar mij doormailen. Het blijft dus het woord van B tegen C.

Yep. Als C dit in het vervolg wil voorkomen moet hij zijn mails gaan signen. Dan kan B nooit de inhoud ongemerkt veranderen (geen encryptie dus, maar 'ondertekenen').

[Mad Marty]

Anoniem: 199639 schreef op dinsdag 26 juni 2007 @ 00:37:
Voor internetgebruikers die willen weten uit welk land ontvangen e-mailberichten afkomstig zijn, heeft Izecom beveiligingsonderzoeker Martijn Brinkers een "e-mail tracking tool" ontwikkeld. De tool maakt de "e-mail flow" inzichtelijk, en geeft via Google Maps de route weer die door de mail is afgelegd.

"Je moet je e-mail headers pasten in de exit box en dan laat "show" je ongeveer zien hoe de e-mail flow eruit ziet, natuurlijk zijn de headers niet echt te vertrouwen maar het geeft wel een leuk inzicht," aldus Brinkers. De tool is te vinden via deze pagina.

Op de vraag wat er met ingevulde gegevens gebeurt laat Brinkers weten: "Ik bewaar niks. Als iemand bang is om teveel informatie vrij te geven kan hij/zij ook alleen de "received" headers pasten (wel oppassen met mail folding). Dat zijn de enige headers die gebruikt worden."

bron : http://www.security.nl/article/16254/1

Daar heb je natuurlijk niets aan als je de headers van de oorspronkelijke mail niet hebt

[Trasos]

Ik zit met hetzelfde probleem als de topicstarter.
Alleen heeft degene die mail heeft gemaild wel een lijst met headers.
Waaraan kan ik dan zien van wie het originele mailtje afkomt?
Er staat idd wel een ander mailadres in, wat voor ons een opvallend adres is.
Staat dat onder het kopje References?

Dit heb ik gevonden onder reference:

References: De References:-header komt zelden voor, behalve in kopijen van nieuwsgroepbijdragen. Het nut van deze header is om "upstream" artikelen te identificeren in nieuwsgroepen in relatie tot het origineel waarop het nieuwe bericht een antwoord is. Als deze header in een email voorkomt, betreft het meestal een gewone kopij van een header uit een nieuwsgroep. Deze header kan ook voorkomen in antwoorden via email, waarbij de Message-Id van de originele post wordt meegestuurd als referentie.

Als er achter reference het volgende staat:[e-mail]

kan ik er dan vanuit gaan dat het originele bericht vanaf iemand met tweakers.net adres is gestuurd?

[ Voor 55% gewijzigd door Trasos op 12-07-2007 15:33 ]