read receipts
Lacătul de care toată lumea se laudă atârnă pe o ușă deschisă
Banca ta are DMARC. La fel și compania aeriană. Nu servește aproape la nimic, iar setarea care o dovedește este o singură cuvânt.
Aproximativ nouă din zece domenii care publică un înregistrare DMARC o au setată pe p=none — modul care spune lumii exact cine te falsifică și apoi le face semn să treacă. Analiza lui Red Sift din ultimul deceniu plasează adevărata aplicare DMARC în cifre simple pe ani, iar chiar și cifrele optimiste ale furnizorilor plaseaza marea majoritate a înregistrărilor la none.
Iată gluma ascunsă în acel cuvânt. DMARC — explicitat în RFC 7489 — este ceea ce decide ce ar trebui să facă un server de mail care primește atunci când un mesaj care pretinde a fi de la domeniul tău eșuează verificările de bază. Acele verificări sunt SPF (este acest server autorizat să trimită pentru tine?) și DKIM (este acest mesaj semnat criptografic de tine?). DMARC se suprapune și emite o hotărâre. p=none este hotărârea care nu este una. Spune: observă frauda, înregistrează frauda, trimite-mi un raport despre fraudă — și deliver-o oricum.
Un detector de fum cu bateria scoasă încă atârnă pe tavan. Arată ca protecție. Se fotografiază ca protecție. Doar că nu se declanșează când bucătăria arde.
Cele două setări care chiar funcționează sunt p=quarantine, care trimite mesajele eșuate în spam, și p=reject, care spune destinatarului să le respingă înainte să ajungă. Asta e jocul întreg. Un escroc care falsifică billing@yourbank.example se lovește de un zid doar dacă acea bancă a publicat reject. Dacă banca a publicat none — și majoritatea au făcut-o — falsificarea se strecoară în inbox arătând exact ca lucrul real, complet cu logourile adevărate trase direct de pe site-ul adevărat.
De ce toți se întâmplă la none? Pentru că none este primul pas sigur, iar primii pași siguri au o tendință să devină adresa permanentă. Ești supus să începi acolo, să citești rapoartele, să găsești fiecare serviciu legitim care trimite din partea ta — furnizorul de plăți, platforma de marketing, instrumentul de bilete pe care nimeni nu l-a documentat — să fii sigur că toți semnează corect, și apoi să strângi la reject. Acea ultimă mișcare este cea înspăimântătoare. Treci la reject cu un expeditor neautentificat în libertate și îți blochezi propriile facturi. Deci echipele publică înregistrarea, spun auditorului că e rezolvat, și nu se mai întorc să termine. Mesajele de raport se acumulează necitite. Bateria rămâne scoasă.
Victima ești tu, persoana care citește mesajul. Când o marcă în care ai încredere lasă DMARC la none, „a venit de la domeniul lor real" încetează să mai însemne nimic, pentru că falsificarea unui infractor trece de același test de ochi. Acesta este exact decalajul pe care îl observăm de la capătul care primește la xmail: un mesaj poate eșua autentificarea din plin și tot ajunge îmbrăcat ca compania ta de utilități, pentru că compania de utilități nu a spus niciodată internetului să respingă falsurile.
Deci iată un test pe care îl poți rula în aproximativ cincisprezece secunde. Ia orice marcă care te-a speriat cu un email „activitate suspectă" — deschide o interogare publică DMARC și lipește domeniul lor. Dacă politica citește p=none, acea companie îi cere receptorilor să observe reprezentarea falsă și să nu facă nimic în privința asta. Milioane de domenii fac în liniște această cerere în fiecare zi.
Reparația nu este mai multă tehnologie. Este curajul de a schimba un cuvânt din none în reject. Alarma a văzut deja fumul. Cineva trebuie doar să pună bateria înapoi.