القفل الذي يفتخر به الجميع معلّق على باب مفتوح

تقريباً تسعة من كل عشرة نطاقات تنشر سجل DMARC لديها مضبوطة على p=none — الوضع الذي يخبر العالم بالضبط من يقوم بانتحال هويتك ثم يسمح له بالمضي قدماً. تحليل Red Sift للعقد الماضي يضع تنفيذ DMARC الفعلي في الأرقام الفردية لسنوات، وحتى الأرقام الموالية للبائعين لا تزال تضع الغالبية العظمى من السجلات على none.

إليك المزحة المدفونة في تلك الكلمة. DMARC — كما هو موضح في RFC 7489 — هي الشيء الذي يقرر ما يجب على خادم البريد المستقبل أن يفعله عندما تفشل رسالة تدعي أنها من نطاقك في الفحوصات الأساسية. هذه الفحوصات هي SPF (هل يُسمح لهذا الخادم بالإرسال نيابة عنك؟) و DKIM (هل تم التوقيع على هذه الرسالة تشفيرياً من قبلك؟). DMARC تقف في الأعلى وتصدر حكماً. p=none هو الحكم الذي لا يكون حكماً. يقول: لاحظ الاحتيال، سجّل الاحتيال، أرسل لي تقريراً عن الاحتيال — وسلمها على أي حال.

كاشف الدخان مع البطارية المسحوبة لا يزال معلقاً على السقف. يبدو كحماية. يصور مثل الحماية. فقط لا يرن عندما تكون المطبخ في النار.

الإعدادات الاثنان اللذان يعضان بالفعل هما p=quarantine، الذي يدفع البريد الفاشل إلى البريد العشوائي، و p=reject، الذي يخبر المستقبل برفضه قبل وصوله. هذه هي اللعبة برمتها. محتال ينتحل هوية billing@yourbank.example يصطدم بجدار فقط إذا كان هذا البنك قد نشر reject. إذا كان البنك قد نشر none — وهو الحال مع معظمها — فإن الانتحال يدخل علبة الوارد بالضبط مثل الشيء الحقيقي، كاملاً مع الشعار الحقيقي المسحوب مباشرة من الموقع الحقيقي.

لماذا يتوقف الجميع عند none؟ لأن none هي الخطوة الأولى الآمنة، والخطوات الأولى الآمنة لها طريقة في أن تصبح العنوان الدائم. من المفترض أن تبدأ هناك، تقرأ التقارير، تجد كل خدمة شرعية تتحدث باسمك — بائع الرواتب، منصة التسويق، أداة التذاكر التي لم يوثقها أحد — احصل عليها جميعاً توقع بشكل صحيح، وثم شدد إلى reject. تلك الخطوة الأخيرة هي المخيفة. قم بالتبديل إلى reject مع مرسل غير مصرح به متوحش لا يزال في البرية وأنت تحجب فواتيرك الخاصة. لذا تنشر الفريقات السجل، تخبر المدقق أن الأمر محل رعاية، ولا تعود أبداً للانتهاء. رسائل التقرير تتراكم بدون قراءة. البطارية تبقى خارجة.

الضحية أنت، الشخص الذي يقرأ الرسالة. عندما تترك العلامة التجارية التي تثق بها DMARC على none، "جاءت من نطاقهم الحقيقي" توقف معنى أي شيء، لأن انتحال المجرم يمرر نفس اختبار العين. هذا بالضبط الثغرة التي نراقبها على الطرف المستقبل في xmail: رسالة قد تفشل المصادقة بشكل كامل وتظل تصل بزي شركة المرافق الخاصة بك، لأن شركة المرافق أخبرت الإنترنت أبداً برفض المزيفات.

إذاً إليك اختبار يمكنك تشغيله في حوالي خمسة عشر ثانية. خذ أي علامة تجارية أخافتك برسالة "نشاط مريب" — افتح بحث DMARC العام والصق النطاق الخاص بهم. إذا كانت السياسة تقرأ p=none، فإن هذه الشركة تطلب من المستقبلين ملاحظة الانتحال وعدم القيام بأي شيء بشأنه. ملايين النطاقات تقوم بهذا الطلب بصمت كل يوم.

الإصلاح ليس أكثر تكنولوجيا. إنها الجرأة لتغيير كلمة واحدة من none إلى reject. الإنذار يرى الدخان بالفعل. على شخص ما فقط أن يضع البطارية مرة أخرى.