Lukko, josta kaikki kehuivat, roikkuu avoimen oven varassa

Noin yhdeksän kymmenestä verkkotunnuksesta, jotka julkaisevat DMARC-tietueen, on se asetettu p=none-tilaan — tilaan, joka kertoo maailmalle täsmälleen, kuka jäljittelee sinua, ja sitten päästää heidät vaan läpi. Red Siftin analyysi viime vuosikymmenestä osoittaa, että todellinen DMARC-toteutus on olleet yksittäisissä prosenteissa vuosia, ja jopa optimistiset toimittajan luvut sijoittavat valtaosan tietueista silti none-tilaan.

Tässä on juoni, joka piiloutuu tuohon sanaan. DMARC — RFC 7489:ssä määritelty — on se, joka päättää, mitä vastaanottavan postipalvelimen pitäisi tehdä, kun viesti, jonka väitetään olevan sinun verkkotunnuksestasi, epäonnistuu taustalla olevissa tarkistuksissa. Nuo tarkistukset ovat SPF (onko tämä palvelin sallittu lähettämään puolestasi?) ja DKIM (onko tämä viesti kryptografisesti allekirjoitettu sinulla?). DMARC istuu päällä ja antaa tuomion. p=none on tuomio, joka ei ole tuomio. Se sanoo: huomaa petos, kirjaa petos, lähetä minulle raportti petoksesta — ja toimita se silti.

Savunilaisin, jonka akku on irrotettu, roikkuu edelleen katossa. Se näyttää suojaukselta. Se valokuvautuu kuin suojaus. Se vain ei lähde hälyttämään, kun keittiö on palamassa.

Kaksi asetusta, joilla on todellinen vaikutus, ovat p=quarantine, joka työntää epäonnistuneen postin roskapostiin, ja p=reject, joka käskee vastaanottajaa hylätä se ennen kuin se saapuu. Se on koko peli. Huijari, joka jäljittelee billing@yourbank.example, törmää seinään vain jos pankki julkaisi reject-asetuksen. Jos pankki julkaisi none — kuten useimmat tekivät — jäljitelmä lentää postilaatikkoon näyttäen täsmälleen todellisen viestin kaltaiselta, täydellinen todellisen logon kera, joka on kopioitu suoraan todelliselta verkkosivulta.

Miksi kaikki pysähtyvät none-asetukseen? Koska none on turvallinen ensimmäinen askel, ja turvalliset ensimmäiset askeleet muuttuvat tavalla tai toisella pysyväksi osoitteeksi. Sinun oletetaan aloittavan siellä, lukea raportit, löytää jokainen legitiimi palvelu, joka lähettää puolestasi — palkanlaskennan toimittaja, markkinointialusta, lipunmyyntityökalu, jota kukaan ei dokumentoinut — saada ne kaikki allekirjoittamaan oikein, ja sitten kiristää reject-asetukseen. Tuo viimeinen siirto on se pelottava. Vaihda reject-asetukseen sillä välin, kun autentikoimaton lähettäjä on edelleen jäljellä, ja putotat omat laskusi mustaan reikään. Joten tiimit julkaisevat tietueen, kertovat auditalle, että se on hoidettu, eikä palaa koskaan viimeistelemään. Raportin sähköpostit kasaantuvat lukemattomiksi. Akku pysyy ulkona.

Kärsijä olet sinä, ihminen, joka lukee viestiä. Kun brändi, johon luotat, jättää DMARC:in none-tilaan, "se tuli heidän todelliselta verkkotunnukselta" ei enää tarkoita mitään, koska rikollis jäljitelmä läpäisee saman silmien testin. Tämä on täsmälleen aukko, jota seuraamme vastaanottavalla puolella xmailissa: viesti voi epäonnistua autentikoinissa täysin ja silti saapua pukeutuneena sähköyhtiöksesi näköisenä, koska sähköyhtiö ei koskaan kertonut internetille hylätä väärennöksiä.

Tässä on testi, jonka voit suorittaa noin viidessätoista sekunnissa. Ota mikä tahansa brändi, joka pelotti sinut "epäilyttävän toiminnan" sähköpostilla — avaa julkinen DMARC-hakupalvelu ja liitä sen verkkotunnus. Jos käytäntö lukee p=none, kyseinen yritys pyytää vastaanottajia huomaamaan personointi ja tekemään siitä mitään. Miljoonat verkkotunnukset tekevät tätä pyyntöä hiljaa joka päivä.

Ratkaisu ei ole enemmän teknologiaa. Se on rohkeus vaihtaa yksi sana none-tilasta reject-tilaan. Hälytys näkee savun jo. Jollekulle täytyy vaan laittaa akku takaisin.