Verdachte headers – zie je aan de codes of e-mail phishing of nep is?

Het is vaak onduidelijk of een e-mail verdacht moet worden, is het een phishing mail of een nep mail van DHL of Mijn overheid die jouw gegevens, geld of identiteit probeert te ontfutselen? In een verdachte e-mail kunnen in de headers vreemde waarden staan, maar betekent dat ook dat het een valse mail is. Ze bevatten cryptische tekenreeksen die beginnen met iets als =?utf-8?B? en eindigen met ?=, met tussenin een hoop onnavolgbare tekens. Is dat gevaarlijk?

Waarschijnlijk zegt dat niet zoveel over de schadelijkheid van een potentiële nepmail. De tekenreeksen die je ziet is een zogenaamde ‘encoded word’-syntaxis zoals gespecificeerd in de Multipurpose Internet Mail Extensions (MIME) RFC 2047.

De syntaxis wordt gebruikt om verschillende tekensets (zoals UTF-8 of Unicode) te gebruiken, hoewel e-mailheaders eigenlijk alleen afdrukbare ASCII-tekens mogen bevatten.

Tussen de eerste twee vraagtekens staat de gecodeerde tekenset, en tussen het tweede en derde vraagteken het type codering ‘B’ voor Base64-gecodeerde gegevens en ‘Q’ voor een beter leesbare codering, vergelijkbaar met de Quoted Printable-standaard.

Dit wordt gevolgd door de gecodeerde tekens.

Waarvoor zo’n encoded word wordt gebruikt, hangt af van het specifieke geval en de header. Zij zijn bijvoorbeeld van belang voor het opstellen van mails met een anderstalig onderwerp, vooral in talen waarin geen Latijns schrift wordt gebruikt.

Ontvang gratis meer tips over beveiliging en computertaal!

Schrijf je in voor de nieuwsbrief:

Zo wordt bijvoorbeeld de tekst ‘你好 Test’ gecodeerd als

=?UTF-8?Q?=E4=BD=A0=E5=A5=BD?= Test

of =?UTF-8?B?5L2g5aW9IFRlc3Q=?=.

Emoji’s kunnen ook worden gebruikt als gecodeerde woorden in de onderwerpregel van e-mails.

De tekenreeksen zijn dus ongevaarlijk. Er blijft echter een klein risico bestaan – zoals zo vaak het geval is: Het parsen van ASCII-tekens is betrekkelijk eenvoudig, maar met de veel complexere Unicode kan veel meer misgaan.

Een foutieve parser kan waarschijnlijk op veel andere plaatsen worden uitgebuit, zoals in de eigenlijke inhoud van de mail. De stap terug naar pure ASCII-teksten zou daarentegen echter een zeer hoge prijs zijn en je kunt het gedrag in de meeste clients toch niet uitzetten.

Meer over beveiliging van e-mail in