read receipts
Висячий замок, которым все хвастаются, висит на открытой двери
В вашего банка есть DMARC. У вашей авиакомпании тоже. И он почти ничего не делает — всё доказывает одна-единственная настройка из одного слова.
Примерно девять из десяти доменов, опубликовавших DMARC-запись, установили её в режим p=none — настройку, которая показывает миру, кто вас подделывает, и при этом его же пропускает. По анализу Red Sift за последнее десятилетие, действительное применение DMARC оставалось в однозначных процентах в течение многих лет, и даже оптимистичные цифры от поставщиков показывают, что подавляющее большинство записей остаются на none.
Вот в чём анекдот, спрятанный в этом слове. DMARC — прописанный в RFC 7489 — это то, что решает, что должен сделать принимающий почтовый сервер, когда сообщение, якобы отправленное с вашего домена, не пройдёт базовые проверки. Эти проверки — SPF (разрешено ли этому серверу отправлять от вашего имени?) и DKIM (подписано ли это сообщение вашей криптографической подписью?). DMARC встаёт сверху и выносит вердикт. p=none — это вердикт, который не вердикт вообще. Он говорит: заметьте мошенничество, занесите его в журнал, отправьте мне отчёт о мошенничестве — и пусть всё равно доходит.
Дымовой датчик с вынутой батарейкой всё ещё висит на потолке. Он выглядит как защита. На фотографию выглядит как защита. Только вот звонить не будет, когда кухня загорится.
Две настройки, которые действительно работают, — это p=quarantine, которая отправляет невалидную почту в спам, и p=reject, которая говорит получателю отскочить письмо, пока оно не пришло. На этом вся суть. Мошенник, подделывающий billing@yourbank.example, наталкивается на стену только если банк опубликовал reject. Если банк опубликовал none — а большинство так и сделали — подделка проходит в папку входящих и выглядит точно как настоящее письмо, вплоть до реального логотипа, скопированного прямо с реального сайта.
Почему все застревают на none? Потому что none — это безопасный первый шаг, а безопасные первые шаги имеют привычку становиться постоянным местом жительства. Предполагается, что вы начнёте с этого, прочитаете отчёты, найдёте все легитимные сервисы, отправляющие от вашего имени — поставщика зарплаты, маркетинг-платформу, не задокументированный никем инструмент для билетов — добьётесь того, чтобы все они подписывались правильно, и только потом перейдёте на reject. Вот этот последний шаг — страшный. Переключитесь на reject, когда где-то ещё в сети затесался неавторизованный отправитель, и вы потеряете собственные счета. Так команды опубликовывают запись, докладывают аудитору, что всё в порядке, и больше никогда не возвращаются. Отчётные письма скапливаются непрочитанными. Батарейка остаётся вынутой.
Пострадавший — это вы, человек, читающий сообщение. Когда бренд, которому вы доверяете, оставляет DMARC на none, фраза «пришло с их настоящего домена» перестаёт означать что-либо, потому что подделка преступника проходит ту же визуальную проверку. Это именно тот разрыв, который мы отслеживаем на приёмном конце в xmail: сообщение может провалить проверку подлинности напрочь и всё ещё прийти переодетым в вашу компанию коммунального хозяйства, потому что компания коммунального хозяйства никогда не сказала интернету отскочить поддельным письмам.
Вот тест, который вы можете запустить примерно за пятнадцать секунд. Возьмите любой бренд, который вас напугал письмом «подозрительная активность» — откройте публичный DMARC-поиск и вставьте туда его домен. Если политика читается p=none, эта компания просит получателей заметить выдачу личности и ничего с этим не делать. Миллионы доменов каждый день молча делают такой запрос.
Решение — это не больше технологии. Это мужество изменить одно слово с none на reject. Сигнализатор уже видит дым. Кому-то просто нужно вернуть батарейку на место.