Zámek, kterým se všichni chlubí, visí na otevřených dveřích

Zhruba devět z deseti domén, které publikují DMARC záznam, má nastaveno p=none — režim, který řekne světu přesně, kdo vás vydává za svého, a pak mu to dovolí. Analýza společnosti Red Sift za poslední dekádu ukazuje, že skutinné vynucování DMARC bylo roky jen v jednotkách procent, a i optimistické číslice od prodejců stále umisťují valnou většinu záznamů na none.

Tady je vtip skrytý v tom slově. DMARC — vysvětleno v RFC 7489 — je věc, která rozhoduje, co by měl přijímající poštovní server udělat, když zpráva tvrdící, že pochází z vaší domény, selže v základních kontrolách. Ty kontroly jsou SPF (je tomuto serveru dovoleno posílat za vás?) a DKIM (je tato zpráva kryptograficky podepsána vámi?). DMARC sedí na vrchu a vydá rozsudek. p=none je rozsudek, který není rozsudkem. Říká: všimni si podvodu, zaznamenej podvod, pošli mi zprávu o podvodu — a doruč ji stejně.

Detektor kouře s vytaženou baterií stále visí na stropě. Vypadá jako ochrana. Na fotografiích vypadá jako ochrana. Prostě se neozve, když je kuchyň v plamenech.

Dvě nastavení, která skutečně fungují, jsou p=quarantine, které posílá selhávající zprávy do spamu, a p=reject, které příjemci říká, aby je vrátil dřív, než dorazí. To je celá hra. Podvodník, který falšuje billing@yourbank.example, narazí na zeď jen pokud ta banka publikovala reject. Pokud banka publikovala none — a většina to udělala — falzifikát projde do doručené pošty, která vypadá přesně jako věc, která je skutečná, kompletní s logem převzatým přímo z přesné webové stránky.

Proč všichni stagnují na none? Protože none je bezpečný první krok, a bezpečné první kroky se mají tendenci stávat trvalou adresou. Měli byste tam začít, přečíst zprávy, najít každou legitimní službu, která posílá jménem vás — prodejce mezd, marketingovou platformu, nástroj pro prodej lístků, který nikdo nedokumentoval — dostat je všechny správně podepisované, a pak utáhnout na reject. Ten poslední tah je ten děsivý. Přepněte na reject s nějakou nevyřešenou neověřenou odesílatelem stále na světě a vyřadíte vlastní faktury do černé díry. Takže týmy publikují záznam, řeknou auditorovi, že je to vyřešeno, a nikdy se nevrátí, aby skončily. E-maily se zprávami se hromadí neodečtené. Baterie zůstává venku.

Obětí jste vy, osoba čtoucí zprávu. Když značka, které věříte, nechá DMARC na none, „to přišlo z jejich skutečné domény" přestane znamenat cokoliv, protože falzifikát zločince projde stejným testem na pohled. To je přesně mezera, kterou sledujeme na přijímající straně v xmail: zpráva může selhat v ověřování bez servítku a stále dorazí oblečená jako vaše utility company, protože utility company nikdy neřekla internetu, aby zamítla falzifikáty.

Tady je test, který můžete spustit asi za patnáct sekund. Vezměte si jakoukoliv značku, která vás vystrašila e-mailem o „podezřelé aktivitě" — otevřete veřejné vyhledávání DMARC a vložte jejich doménu. Pokud se zásada čte p=none, ta společnost žádá příjemce, aby si všimli vydávání se za cizího a neudělali s tím nic. Miliony domén tuto žádost každý den tiše podávají.

Oprava není více technologie. Je to odvaha změnit jedno slovo z none na reject. Alarm už vidí kouř. Něco se musí rozhodnout vložit baterii zpátky.