read receipts
Het hangslot waarop iedereen prat gaat hangt aan een openstaande deur
Je bank heeft DMARC. Je luchtvaartmaatschappij ook. Het doet praktisch niets, en de instelling die dit bewijst is maar één woord lang.
Ongeveer negen op de tien domeinen die een DMARC-record publiceren hebben het ingesteld op p=none — de modus die de wereld precies laat zien wie je vervalst en ze vervolgens gewoon door laat gaan. Red Sift's analyse van het afgelopen decennium toont aan dat echte DMARC-handhaving jarenlang in de enkele cijfers lag, en zelfs de optimistische getallen van leveranciers plaatsen nog steeds de overgrote meerderheid van records op none.
Hier zit de grap verborgen in dat woord. DMARC — uitgeschreven in RFC 7489 — is het systeem dat bepaalt wat een ontvangende mailserver moet doen wanneer een bericht dat van jouw domein afkomstig claimt te zijn, de onderliggende controles niet doorstaat. Die controles zijn SPF (mag deze server voor je versturen?) en DKIM (is dit bericht cryptografisch door jou ondertekend?). DMARC zit erbovenop en geeft een uitspraak. p=none is de uitspraak die geen uitspraak is. Het zegt: let op de fraude, log de fraude, stuur me een rapport over de fraude — en bezorg het toch maar.
Een rookmelder met de batterij eruit hangt nog steeds aan het plafond. Het ziet er beschermend uit. Het fotografeert beschermend. Het gaat alleen niet af wanneer de keuken in brand staat.
De twee instellingen die echt werken zijn p=quarantine, die mislukte mail naar spam verplaatst, en p=reject, die de ontvanger vertelt het terug te sturen voordat het aankomt. Dat is het hele spel. Een oplichter die billing@yourbank.example vervalst loopt tegen een muur op als die bank reject heeft gepubliceerd. Als de bank none heeft gepubliceerd — en dat deden er meesten — dan gaat de vervalsing letterlijk de inbox in en ziet er exact zo uit als het echte, compleet met het echte logo rechtstreeks van de echte website geplukt.
Waarom blijft iedereen steken bij none? Omdat none de veilige eerste stap is, en veilige eerste stappen hebben de neiging om permanent adres te worden. Je zou daar moeten beginnen, de rapporten lezen, elk legitiem service vinden dat namens jou verzendt — de salarisbedrijf, het marketingplatform, het tickettool dat niemand heeft gedocumenteerd — ervoor zorgen dat ze allemaal correct ondertekenen, en dan aantrekken naar reject. Die laatste zet is de beangstigende. Naar reject overschakelen met een rondwervende niet-geverifieerde afzender en je vernietigt je eigen facturen. Dus teams publiceren het record, vertellen de auditor dat het opgelost is, en komen er nooit meer op terug om af te maken. De rapportemails stapelen zich ongelezen op. De batterij blijft eruit.
Het slachtoffer ben jij, degene die het bericht leest. Wanneer een merk dat je vertrouwt DMARC op none laat staan, stopt "het kwam van hun echte domein" met betekenis, want de vervalsing van een crimineel doorstaat dezelfde visuele controle. Dit is precies de kloof die we aan de ontvangende kant bij xmail in de gaten houden: een bericht kan verificatie jammerlijk mislopen en toch aankomen vermomd als je nutsbedrijf, omdat het nutsbedrijf het internet nooit heeft opgedragen de vervalsingen af te wijzen.
Dus hier is een test die je in ongeveer vijftien seconden kunt uitvoeren. Neem elk merk dat je schrikte met een "verdachte activiteit"-e-mail — zoek een openbare DMARC-lookup op en voer hun domein in. Als het beleid p=none leest, vraagt dat bedrijf ontvangers om persoonsaanduiding op te merken en niets eraan te doen. Miljoen domeinen doen die vraag stilletjes elke dag.
De oplossing is niet meer technologie. Het is de moed om één woord te veranderen van none naar reject. Het alarm ziet de rook al. Iemand hoeft alleen maar de batterij terug in te doen.