Kłódka, którą wszyscy chwalą, wisi na otwartych drzwiach

Mniej więcej dziewięciu na dziesięciu domenach, które publikują rekord DMARC, jest ustawiony na p=none — tryb, który informuje świat dokładnie, kto się podszywa pod ciebie, i po prostu ich przepuszcza. Analiza Red Sift z ostatniej dekady pokazuje rzeczywiste egzekwowanie DMARC na poziomie jednocyfrowym przez lata, a nawet optymistyczne liczby od dostawców ciągle umieszczają zdecydowaną większość rekordów na none.

Oto żart ukryty w tym słowie. DMARC — wyszczególniony w RFC 7489 — to element, który decyduje, co serwer mailowy odbierający powinien zrobić, gdy wiadomość będąca z pozoru z twojej domeny nie przejdzie kontroli podstawowych. Te kontrole to SPF (czy ten serwer ma prawo wysyłać w twoim imieniu?) i DKIM (czy ta wiadomość jest kryptograficznie podpisana przez ciebie?). DMARC siedzi na górze i wydaje werdykt. p=none to werdykt, który nim nie jest. Mówi: zwróć uwagę na oszustwo, zaloguj oszustwo, wyślij mi raport o oszustwie — i dostarczy to tak czy siak.

Czujnik dymu z wyjętą baterią wciąż wiszi na suficie. Wygląda jak ochrona. Fotografuje się jak ochrona. Po prostu się nie zaalaruje, gdy kuchnia płonie.

Dwa ustawienia, które rzeczywiście działają, to p=quarantine, które kieruje nieudane maile do spamu, i p=reject, które mówi odbiorcy, aby je odrzucił zanim trafią. To cała gra. Oszust fałszujący billing@yourbank.example napotyka mur tylko wtedy, gdy bank opublikował reject. Jeśli bank opublikował none — a większość to zrobiła — fałszerstwo trafia do skrzynki odbiorczej wyglądając dokładnie jak prawdziwe, z rzeczywistym logo ściągniętym prosto z rzeczywistej strony internetowej.

Dlaczego wszyscy zatrzymują się na none? Ponieważ none to bezpieczny pierwszy krok, a bezpieczne pierwsze kroki mają tendencję do stania się stałą lokalizacją. Powinieneś tam zacząć, przeczytać raporty, znaleźć każdy legalne usługę wysyłającą w twoim imieniu — dostawcę wynagrodzeń, platformę marketingową, narzędzie ticketingowe, które nikt nie udokumentował — sprawić, aby wszyscy podpisywali się prawidłowo, i wtedy zaostrzać do reject. Ten ostatni ruch to ten straszny. Przełącz na reject z pojawiającym się gdzieś nieuwierzytelnionym nadawcą, a czarnolistujesz swoje własne faktury. Zespoły publikują rekord, mówią audytorowi, że to załatwione, i nigdy nie wracają, aby skończyć. E-maile raportu się piętrzą nieprzeczytane. Bateria zostaje wyjęta.

Ofiarą jesteś ty, osoba czytająca wiadomość. Gdy marka, której ufasz, pozostawia DMARC na none, "przyszło z ich rzeczywistej domeny" przestaje cokolwiek oznaczać, ponieważ fałszerstwo przestępcy przechodzi tę samą wizualną kontrolę. To jest dokładnie ta luka, którą obserwujemy po stronie odbiorczej w xmail: wiadomość może niepowodzenie w uwierzytelnieniu i wciąż przybyć przebrana za twoją firmę energetyczną, ponieważ firma energetyczna nigdy nie powiedziała internetowi, aby odrzucić fałszerstwa.

Oto test, który możesz przeprowadzić w około piętnaście sekund. Weź dowolną markę, która przestraszyła cię e-mailem o "podejrzanej aktywności" — wejdź na publiczne wyszukiwanie DMARC i wklej jej domenę. Jeśli polityka brzmi p=none, ta firma prosi odbiorców, aby zwracali uwagę na podszywanie się i nic z tym nie robili. Miliony domen codziennie składają tę prośbę.

Naprawa to nie więcej technologii. To odwaga, aby zmienić jedno słowo z none na reject. Alarm już widzi dym. Ktoś musi po prostu włożyć baterię z powrotem.