जो पैडलॉक सब तारीफ करते हैं वह एक खुले दरवाज़े पर लटका है

मोटे तौर पर नौ में से नौ डोमेन जो DMARC रिकॉर्ड प्रकाशित करते हैं उसे p=none पर सेट किया गया है — वह मोड जो दुनिया को बिल्कुल बताता है कि आपको कौन स्पूफ़ कर रहा है और फिर उन्हें सीधे आगे बढ़ने देता है। Red Sift का पिछले दशक का विश्लेषण दिखाता है कि असली DMARC प्रवर्तन वर्षों से सिंगल डिजिट में है, और यहां तक कि आशावादी विक्रेता संख्या भी अधिकांश रिकॉर्ड को none पर ही रखती है।

यहां उस शब्द में दफन किया गया मजाक है। DMARC — RFC 7489 में स्पष्ट किया गया — वह चीज़ है जो तय करती है कि एक प्राप्त करने वाली मेल सर्वर को क्या करना चाहिए जब आपके डोमेन से होने का दावा करने वाला संदेश अंतर्निहित जांचों में विफल हो जाता है। ये जांचें SPF (क्या यह सर्वर आपके लिए भेजने के लिए अधिकृत है?) और DKIM (क्या यह संदेश आपके द्वारा क्रिप्टोग्राफ़िक रूप से हस्ताक्षरित है?) हैं। DMARC इसके ऊपर बैठता है और एक फैसला जारी करता है। p=none वह फैसला है जो कोई फैसला नहीं है। यह कहता है: धोखाधड़ी पर ध्यान दें, धोखाधड़ी को लॉग करें, मुझे धोखाधड़ी के बारे में एक रिपोर्ट भेजें — और फिर भी इसे वितरित करें।

बैटरी निकाली गई एक धुआं डिटेक्टर अभी भी छत पर लटका होता है। यह सुरक्षा की तरह दिखता है। यह सुरक्षा की तरह फोटो खींचता है। बस जब रसोई आग में है तो यह बंद नहीं होता।

दो सेटिंग जो वास्तव में काम करती हैं वे हैं p=quarantine, जो विफल हुई मेल को स्पैम में भेजती है, और p=reject, जो प्राप्तकर्ता को इसे आने से पहले वापस भेजने के लिए कहता है। यह पूरा खेल है। एक धोखेबाज़ billing@yourbank.example को जालसाज़ी करता है तो केवल तभी दीवार में टकराता है जब उस बैंक ने reject प्रकाशित किया हो। अगर बैंक ने none प्रकाशित किया — और अधिकांश ने किया — तो जालसाज़ी इनबॉक्स में ठीक असली चीज़ की तरह दिखता है, पूरे असली लोगो के साथ जो सीधे असली वेबसाइट से खींचा गया है।

सब लोग none पर क्यों रुक जाते हैं? क्योंकि none सुरक्षित पहला कदम है, और सुरक्षित पहले कदमों को स्थायी पता बनने का आदत होता है। आप वहां से शुरू करने वाले हैं, रिपोर्ट पढ़ने वाले हैं, हर वैध सेवा को खोजने वाले हैं जो आपकी ओर से भेज रही है — पेरोल विक्रेता, मार्केटिंग प्लेटफॉर्म, वह टिकटिंग टूल जिसे कोई डॉक्यूमेंट नहीं करता — उन सभी को सही तरीके से साइन करवाने वाले हैं, और फिर reject को कड़ा करने वाले हैं। वह आखिरी कदम डरावना है। reject में फ्लिप करें जब कोई प्रमाणित प्रेषक अभी भी जंगली में है और आप अपने स्वयं के चालान को ब्लैक-होल कर देते हैं। तो टीमें रिकॉर्ड प्रकाशित करती हैं, ऑडिटर को बताती हैं कि यह संभाला गया है, और कभी वापस नहीं आते पूरा करने के लिए। रिपोर्ट ईमेल अपठित ढेर हो जाती हैं। बैटरी बाहर रहती है।

नुकसान आप हैं, वह व्यक्ति जो संदेश पढ़ रहा है। जब कोई ब्रांड जिस पर आप भरोसा करते हैं DMARC को none पर छोड़ता है, तो "यह उनके असली डोमेन से आया" का मतलब कुछ भी नहीं रह जाता है, क्योंकि एक अपराधी की जालसाज़ी एक ही आंख की परीक्षा पास करती है। यह वास्तव में वह अंतर है जो हम xmail पर प्राप्त करने वाले अंत में देखते हैं: एक संदेश प्रमाणीकरण में ठंडा विफल हो सकता है और फिर भी आपकी यूटिलिटी कंपनी के रूप में तैयार होकर आ सकता है, क्योंकि यूटिलिटी कंपनी ने कभी इंटरनेट को नकली को अस्वीकार करने के लिए नहीं कहा।

तो यहां एक परीक्षण है जो आप लगभग पंद्रह सेकंड में चला सकते हैं। कोई भी ब्रांड लें जो आपको एक "संदिग्ध गतिविधि" ईमेल से डराता है — एक सार्वजनिक DMARC लुकअप खींचें और उनके डोमेन में पेस्ट करें। अगर नीति p=none पढ़ती है, तो वह कंपनी प्राप्तकर्ताओं से प्रतिरूपण पर ध्यान देने और इसके बारे में कुछ न करने को कह रही है। लाखों डोमेन हर दिन शांति से यह अनुरोध कर रहे हैं।

समाधान अधिक प्रौद्योगिकी नहीं है। यह एक शब्द को none से reject में बदलने का साहस है। अलार्म पहले से ही धुआं देख रहा है। किसी को बस बैटरी वापस डालनी है।