read receipts
Il lucchetto di cui tutti si vantano è appeso a una porta aperta
La tua banca ha DMARC. Così la tua compagnia aerea. Non sta facendo praticamente nulla, e l'impostazione che lo prova è una sola parola.
Circa nove su dieci domini che pubblicano un record DMARC lo hanno impostato su p=none — la modalità che dice al mondo esattamente chi ti sta falsificando e poi li lascia passare tranquillamente. L'analisi di Red Sift dell'ultimo decennio mette l'enforcement DMARC vero e proprio nelle cifre singole negli anni, e persino i numeri ottimisti dei fornitori tengono comunque la stragrande maggioranza dei record su none.
Ecco lo scherzo nascosto in quella parola. DMARC — come definito nella RFC 7489 — è la cosa che decide cosa dovrebbe fare un server di posta ricevente quando un messaggio che dichiara di provenire dal tuo dominio fallisce i controlli sottostanti. Questi controlli sono SPF (questo server è autorizzato a inviare per te?) e DKIM (questo messaggio è firmato crittograficamente da te?). DMARC si piazza sopra e emette un verdetto. p=none è il verdetto che non è un verdetto. Dice: nota la frode, registra la frode, inviami un rapporto sulla frode — e consegnala comunque.
Un rilevatore di fumo con la batteria tolta pende ancora dal soffitto. Sembra protezione. Appare come protezione in una foto. Semplicemente non suona quando la cucina prende fuoco.
Le due impostazioni che davvero mordono sono p=quarantine, che spinge i messaggi non autenticati nello spam, e p=reject, che dice al destinatario di rimbalzarli prima che arrivino. Questo è il gioco intero. Un truffatore che falsifica billing@tuabanca.example si scontra con un muro solo se quella banca ha pubblicato reject. Se la banca ha pubblicato none — e la maggior parte l'ha fatto — la falsificazione naviga nella posta in arrivo esattamente come la cosa vera, completo di logo vero tirato direttamente dal sito vero.
Perché tutti si fermano su none? Perché none è il primo passo sicuro, e i primi passi sicuri hanno il vizio di diventare la destinazione permanente. Sei supposed iniziare lì, leggere i rapporti, trovare ogni servizio legittimo che invia per tuo conto — il fornitore di buste paga, la piattaforma di marketing, lo strumento di ticketing che nessuno ha documentato — farli firmare tutti correttamente, e poi stringere verso reject. Questa ultima mossa è quella spaventosa. Cambia a reject con un mittente non autenticato ancora in giro e tu stesso blocchi i tuoi fatture. Così i team pubblicano il record, dicono all'auditor che è gestito, e non tornano mai indietro a finire. Le email dei rapporti si accumulano non lette. La batteria rimane fuori.
La vittima sei tu, la persona che legge il messaggio. Quando un brand che ti fidi lascia DMARC su none, "è arrivato dal loro dominio vero" smette di significare qualsiasi cosa, perché la falsificazione di un criminale passa lo stesso test visivo. Questo è precisamente il gap che osserviamo dal lato ricevente in xmail: un messaggio può fallire l'autenticazione completamente e ancora arrivare travestito da tua società di servizi, perché la società di servizi non ha mai detto a internet di rigettare i falsi.
Allora ecco un test che puoi eseguire in circa quindici secondi. Prendi qualsiasi brand che ti ha spaventato con un'email di "attività sospetta" — apri una ricerca pubblica DMARC e incolla il loro dominio. Se la policy legge p=none, quella società sta chiedendo ai destinatari di notare l'impersonazione e non fare nulla al riguardo. Milioni di domini stanno silenziosamente facendo quella richiesta ogni giorno.
La soluzione non è più tecnologia. È il coraggio di cambiare una parola da none a reject. L'allarme vede già il fumo. Qualcuno ha solo bisogno di rimettere la batteria dentro.