read receipts
Le cadenas dont tout le monde se vante pend sur une porte grande ouverte
Votre banque a DMARC. Tout comme votre compagnie aérienne. Ça ne fait à peu près rien, et le paramètre qui le prouve ne fait qu'un mot.
Environ neuf domaines sur dix qui publient un enregistrement DMARC l'ont configuré sur p=none — le mode qui signale au monde entier exactement qui vous usurpe l'identité et les laisse passer sans obstacle. L'analyse de Red Sift de la dernière décennie montre que l'application réelle de DMARC se compte en pourcentages mineurs depuis des années, et même les chiffres les plus optimistes des fournisseurs placent toujours la grande majorité des enregistrements sur none.
Voilà la blague cachée dans ce mot. DMARC — décrit dans la RFC 7489 — est ce qui décide ce qu'un serveur de courrier récepteur devrait faire quand un message prétendant provenir de votre domaine échoue les vérifications sous-jacentes. Ces vérifications sont SPF (ce serveur est-il autorisé à envoyer pour vous ?) et DKIM (ce message est-il signé cryptographiquement par vous ?). DMARC se place au-dessus et émet un verdict. p=none est le verdict qui n'en est pas un. Il dit : remarquez la fraude, enregistrez la fraude, envoyez-moi un rapport sur la fraude — et livrez-la quand même.
Un détecteur de fumée avec la batterie retirée pend toujours au plafond. Il ressemble à une protection. Il se photographie comme une protection. Il ne se déclenche simplement pas quand la cuisine brûle.
Les deux paramètres qui fonctionnent vraiment sont p=quarantine, qui envoie les messages défaillants vers le spam, et p=reject, qui dit au récepteur de le rejeter avant qu'il n'arrive. C'est tout le jeu. Un escroc usurpant l'identité billing@yourbank.example se heurte à un mur seulement si cette banque a publié reject. Si la banque a publié none — et la plupart l'ont fait — l'usurpation arrive dans la boîte de réception exactement comme le vrai message, logo compris, tiré directement du vrai site web.
Pourquoi tout le monde s'arrête-t-il à none ? Parce que none est la première étape sûre, et les premières étapes sûres ont l'habitude de devenir l'adresse permanente. Vous êtes censé commencer là, lire les rapports, trouver chaque service légitime envoyant au nom de votre domaine — le fournisseur de paie, la plateforme marketing, l'outil de billetterie que personne n'a documenté — les faire tous signer correctement, et ensuite passer à reject. Ce dernier mouvement est le terrifiant. Passer à reject avec un émetteur non authentifié qui traîne encore et vous supprimez vos propres factures. Donc les équipes publient l'enregistrement, disent à l'auditeur que c'est réglé, et ne reviennent jamais pour terminer. Les e-mails de rapport s'accumulent sans être lus. La batterie reste dehors.
Le dommage collatéral, c'est vous, la personne qui lit le message. Quand une marque de confiance laisse DMARC sur none, « il provient de son vrai domaine » cesse de signifier quoi que ce soit, car l'usurpation d'un criminel passe le même test visuels. C'est précisément le fossé que nous observons du côté réception chez xmail : un message peut échouer l'authentification complètement et arriver quand même présenté comme votre compagnie d'électricité, parce que la compagnie d'électricité n'a jamais dit à internet de rejeter les faux.
Voici un test que vous pouvez exécuter en environ quinze secondes. Prenez n'importe quelle marque qui vous a effrayé avec un e-mail « activité suspecte » — cherchez une recherche DMARC publique et collez-y leur domaine. Si la politique lit p=none, cette entreprise demande aux récepteurs de remarquer l'usurpation et de ne rien faire à ce sujet. Des millions de domaines font tranquillement cette demande chaque jour.
Le correctif n'est pas plus de technologie. C'est le culot de changer un mot de none à reject. L'alarme voit déjà la fumée. Il suffit que quelqu'un remette la batterie.