read receipts
Hængelåsen, alle skryder af, hænger på en åben dør
Din bank har DMARC. Det samme har dit flyselskab. Det gør stort set ingenting, og den indstilling, der beviser det, er ét ord langt.
Cirka ni ud af ti domæner, der udgiver en DMARC-record, har den sat til p=none — den tilstand, der fortæller verden præcis, hvem der udgiver sig for at være dig, og så lader dem passere. Red Sifts analyse af det seneste årti viser, at reel DMARC-håndhævelse er på et tal, og selv de optimistiske vendortals lander stadig langt størstedelen af records på none.
Her er vittigheden gemt i det ord. DMARC — stavet ud i RFC 7489 — er det, der afgør, hvad en modtagende mailserver skal gøre, når en besked, der påstår at være fra dit domæne, fejler de underliggende kontroller. Disse kontroller er SPF (er denne server tilladt at sende for dig?) og DKIM (er denne besked kryptografisk signeret af dig?). DMARC sidder oven på og afgiver en kendelse. p=none er den kendelse, der ikke er en. Den siger: bemærk bedrageriet, log bedrageriet, send mig en rapport om bedrageriet — og levér det alligevel.
En røgdetektor med batteriet taget ud hænger stadig på loftet. Den ser ud som beskyttelse. Den fotograferer som beskyttelse. Den udløses bare ikke, når køkkenet bryder i brand.
De to indstillinger, der faktisk virker, er p=quarantine, som sender fejlslagne mails til spam, og p=reject, som fortæller modtageren at afvise den, før den ankommer. Det er hele spillet. En svindler, der udgiver sig for billing@yourbank.example, løber ind i en mur, kun hvis den bank udgav reject. Hvis banken udgav none — og det gjorde de fleste — sejler forfalskelsen ind i indbakken og ser ud præcis som det rigtige, komplet med det rigtige logo trukket lige fra det rigtige websted.
Hvorfor stopper alle ved none? Fordi none er det sikre første skridt, og sikre første skridt har en måde at blive den permanente adresse på. Du skal begynde der, læse rapporterne, finde hver legitim tjeneste, der sender på dine vegne — lønningsfirmaet, marketingplatformen, billetteringsværktøjet som ingen dokumenterede — få dem alle til at signere korrekt, og derefter stramme op til reject. Det sidste skridt er det skræmmende. Skift til reject med en tilfældig uauthentificeret afsender stadig på farten, og du tilintetgør dine egne fakturaer. Så udgiver teams recorden, fortæller revisoren, at det er håndteret, og kommer aldrig tilbage for at færdiggøre det. Rapportmailene hober sig op ulæste. Batteriet bliver væk.
Offeret er dig, personen, der læser beskeden. Når et mærke, du stoler på, lader DMARC være på none, betyder "det kom fra deres rigtige domæne" ikke mere noget, fordi en kriminels forfalskelse består samme øjneblikskontrol. Dette er præcis det hul, vi ser på modtagersiden hos xmail: en besked kan fejle autentificering fuldstændigt og stadig ankomme klædt som dit forsyningsselskab, fordi forsyningsselskabet aldrig fortalte internettet at afvise falsifikationerne.
Så her er en test, du kan køre på omkring femten sekunder. Tag ethvert mærke, der skrammede dig med en "mistænkelig aktivitet"-mail — slå en offentlig DMARC-opslag op og indsæt deres domæne. Hvis politikken læser p=none, anmoder det pågældende firma modtagere om at bemærke personificering og ikke gøre noget ved det. Millioner af domæner fremsætter stiltiende den anmodning hver dag.
Løsningen er ikke mere teknologi. Det er modet til at ændre ét ord fra none til reject. Alarmen ser allerede røgen. Nogen skal bare putte batteriet tilbage i.