Bạn Có Thể Học Được Gì Từ Tiêu Đề Email (Metadata)?

Bạn có bao giờ nhận email và tự hỏi nó từ đâu, hoặc ai thực sự gửi nó? Bất ngờ, nhiều thông tin đó có thể lấy được từ metadata trong tiêu đề email (email header).

Tiêu đề là phần của mỗi email mà hầu hết mọi người chưa bao giờ thấy. Nó chứa ton dữ liệu trông như tiếng babel đối với người dùng trung bình. Bên cạnh đó, hầu hết ứng dụng email ẩn metadata, thường làm cho nó khó truy cập.

Vì có nhiều ứng dụng email, cả máy tính để bàn và web, trình bày cách lấy tiêu đề email có thể thành cuốn sách nhỏ. Do đó, chúng tôi sẽ tập trung vào cách xem tiêu đề email trong Gmail, và những gì bạn có thể học từ nó.

Tiêu Đề Email (Email Header) Là Gì?

Tiêu đề email là tập hợp metadata ghi lại đường đi email đến tay bạn. Bạn có thể tìm thấy rất nhiều thông tin trong tiêu đề hoặc chỉ những điều cơ bản.

Có tiêu chuẩn về thông tin nên có trong tiêu đề, nhưng không thực sự có giới hạn về thông tin máy chủ email có thể đặt vào tiêu đề.

Nếu bạn tò mò tiêu chuẩn giao thức email trông như thế nào, xem RFC 5321 - Giao thức Chuyển Thư Đơn Giản (Simple Mail Transfer Protocol). Nó hơi khó hiểu, đặc biệt nếu bạn không cần biết những thứ này.

Cách Xem Tiêu Đề Email Trên Gmail

Khi bạn đã mở tin nhắn email trong Gmail, nhấp vào biểu tượng ba chấm (three-dot icon) ở góc trên bên phải tin nhắn để mở rộng menu Thêm (More). Nhấp vào Hiển thị bản gốc (Show original) để xem tin nhắn email thô với toàn bộ nội dung và tiêu đề.

Một cửa sổ hoặc tab mới sẽ mở, và bạn sẽ thấy phiên bản văn bản thuần túy của email với tiêu đề ở đầu, tất nhiên. Nội dung tiêu đề sẽ trông giống như sau:

Đó là tốt, nhưng nó có nghĩa gì?

Tiêu Đề Email Được Tạo Như Thế Nào?

Bằng cách biết tiêu đề được tạo như thế nào dọc theo đường đi email, bạn sẽ phát triển洞察力 (insight) sắc bén hơn vào ý nghĩa dữ liệu tiêu đề. Hãy nhìn các phần khi chúng được thêm, và ý nghĩa của các phần quan trọng nhất.

Trên Máy Tính Của Người Gửi

Phần của tiêu đề được tạo khi người gửi soạn email để gửi cho người nhận. Điều này bao gồm thông tin như khi email được soạn, ai soạn nó, dòng chủ đề, và người nhận email.

Đây là phần tiêu đề bạn quen thấy nhất như các dòng Date:, From:, To:, và Subject: ở đầu email của bạn.

Trên Dịch Vụ Email Của Người Gửi

Thêm thông tin được thêm vào tiêu đề khi email thực sự được gửi. Điều này do dịch vụ email người gửi cung cấp. Trong trường hợp này, người gửi dùng dịch vụ email lưu trữ (hosted), nên địa chỉ IP hiển thị là địa chỉ nội bộ của mạng nhà cung cấp dịch vụ.

Thực hiện tra cứu WHOIS trên nó sẽ không cung cấp thông tin hữu ích. Chúng ta có thể tìm kiếm Google tên máy chủ, trong trường hợp này là tilos.inmoo.net. Với chút đào bới, chúng ta tìm thấy cả tên máy chủ và địa chỉ IP trên bgp.tools.

Kiểm tra sâu hơn địa chỉ IP tiết lộ người gửi dùng LeaseWeb, công ty điện toán đám mây và dịch vụ web Hà Lan.

Ngoài địa chỉ IP người gửi, tiêu đề email cũng tiết lộ thời gian email được gửi bởi dịch vụ email người gửi (Thứ 5, 10 Thg 2 2022 14:58:13 -0800 (PST)), và Message-ID cho tin nhắn cụ thể đó do dịch vụ email thêm.

Trên Đường Đến Dịch Vụ Email Của Người Nhận

Từ đó, email có thể đi bất kỳ số tuyến đường nào để kết thúc tại dịch vụ email người nhận. Điều này có thể thêm vào tiêu đề để显示 "nhảy" (hops) email phải làm để đến bạn.

Các nhảy này bắt đầu từ máy chủ gần đây nhất xử lý email và quay lại máy chủ ban đầu xử lý nó, theo thứ tự thời gian ngược. Trong ví dụ, nhảy đầu tiên đưa email từ người gửi đến Google, từ đó cần hai nhảy nữa đến đích cuối.

Nhảy Cuối (Final Hop):

Received: from tilos.inmoo.net (tilos.inmoo.net. [81.171.26.235])
 by mx.google.com with ESMTPS id nc18si9066695ejc.964.2022.02.10.14.58.13
 for 
 (version=TLS1_3 cipher=TLS_AES_256_GCM_SHA384 bits=256/256);
 Thu, 10 Feb 2022 14:58:13 -0800 (PST)
Received-SPF: pass (google.com: domain of news@lastbacker.com designates 81.171.26.235 as permitted sender) client-ip=81.171.26.235;
Authentication-Results: mx.google.com;
 dkim=pass header.i=@lastbacker.com header.s=ms header.b=frJ635H2;
 spf=pass (google.com: domain of news@lastbacker.com designates 81.171.26.235 as permitted sender) smtp.mailfrom=news@lastbacker.com

Đây là nhảy đưa từ máy chủ LeaseWeb đến máy chủ email người nhận. Chúng ta biết nó được nhận bởi mx.google.com, nên người nhận dùng dịch vụ email Google.

Điều tốt cần lưu ý là dòng Received-SPF: SPF, hay Khung Chính Sách Người Gửi (Sender Policy Framework), là tiêu chuẩn mà máy chủ email người gửi khai báo mình là người gửi hợp pháp của email.

Trong trường hợp này, điều kiện (qualifier) là pass, nghĩa là địa chỉ IP được ủy quyền gửi từ tên miền. Nếu là fail, nó sẽ bị từ chối bởi máy chủ Gmail. Nếu là softfail, Gmail sẽ chấp nhận nhưng gắn cờ là có thể không phải từ người nó nói.

Các Nhảy Trước (Previous Hops):

Nhảy cuối có thể có một hoặc nhiều nhảy trước đó. Dấu thời gian từng cái tiết lộ mỗi máy chủ mất bao lâu để chuyển tin nhắn. Điều này không nói nhiều, trừ khi bạn kỹ sư mạng.

Về lý thuyết, bạn có thể tính toán khoảng cách xấp xỉ giữa hai máy chủ.

Tại Máy Chủ Email Của Người Nhận

Khi đến dịch vụ email người nhận, thêm thông tin được thêm vào tiêu đề. Điều này có thể bao gồm máy chủ dịch vụ email người nhận nhận nó và khi nào, máy chủ email tin nhắn được nhận từ, địa chỉ email người nhận dự định, và địa chỉ email "trả lời cho" (reply to) do người gửi khai báo.

Quay lại Nhảy Cuối, chúng ta thấy dịch vụ email người nhận là Google. Quan trọng nhất, chúng ta có thể biết qua Return-Path: xem email trả lời và email người gửi có giống nhau không. Nếu giống, cũng cho thấy khả năng lớn email này hợp pháp.

Thông Tin Khác Từ Các Tiêu Đề Khác

Tiêu đề email cụ thể này hạn chế thông tin vì dùng dịch vụ email lưu trữ. Nếu người gửi dùng máy chủ email riêng, chúng ta có thể thu được thêm thông tin.

Chúng ta có thể xác định chính xác ứng dụng thư (mail client) họ dùng. Hoặc có thể tra WHOIS trên IP người gửi và lấy vị trí xấp xỉ người gửi.

Chúng ta cũng có thể tìm web đơn giản trên tên miền người gửi và xem có trang web cho họ không. Dựa trên trang web đó, chúng ta có thể tìm thêm thông tin về người gửi.

Bạn có thể tìm web trên địa chỉ email, tìm người trực tuyến, và bắt đầu doxing (tìm thông tin cá nhân). Tuy nhiên, chúng tôi không khuyên bạn làm điều đó.

Giải Mã Tiêu Đề Email Và Metadata

Việc giải mã tiêu đề email chỉ dựa trên dữ liệu thô có thể choáng ngợp. May mắn thay, bạn có thể nhờ công cụ trực tuyến làm phần nặng. Và Gmail làm dễ dàng sao chép toàn bộ tiêu đề bằng một cú nhấp. Khi bạn xem bản gốc (xem trên) với tất cả metadata, nhấp nút Sao chép vào clipboard (Copy to Clipboard), sau đó đi đến một trong các trang dưới.

Google Admin Toolbox Messageheader: Trang này phân tích cơ bản và đường đi email từ người gửi đến người nhận.
MX Toolbox: Phân tích tiêu đề chi tiết hơn, tiết lộ độ trễ, vấn đề xác thực, và mỗi nhảy email làm.
WhatIsMyIP: Nếu bạn tò mò email từ đâu trên thế giới, vào đây. Dịch vụ này thực hiện tra cứu WHOIS.
Mail Header: Trên Mail Header, bạn nhận được phân tích Agent Chuyển Thư (MTA) chi tiết, biểu diễn trực quan tuyến đường email quanh thế giới, hoàn chỉnh với chi tiết nhảy và điểm rác (spam scoring).

Tất Cả Có Thể Học Từ Tiêu Đề Email

Mọi giao tiếp điện tử đều để lại dấu chân. Một số lớn và dễ theo dõi. Một số bị che khuất bởi bộ lọc web và proxy. Dù sao, những gì còn lại cho chúng ta biết điều gì về người tạo ra chúng.

Từ metadata đó, chúng ta có thể điều tra thêm để tìm hiểu thêm về người liên quan. Họ có giấu gì bằng VPN không? Họ thực sự từ doanh nghiệp hợp pháp với hiện diện web hợp pháp không? Có phải người tôi thực sự muốn hẹn hò không? Người bình thường có thể học được gì về tôi, chứ đừng nói đến NSA?

Hãy xem tiêu đề email của bạn và xem chúng nói gì về bạn. Nếu bạn thấy dòng tiêu đề nào không có ý nghĩa, hãy nhờ Google giúp giải mã.