read receipts
Hänglåset som alla skryter om hänger på en öppen dörr
Din bank har DMARC. Så har ditt flygbolag. Det gör ungefär ingenting, och inställningen som bevisar det är ett ord långt.
Ungefär nio av tio domäner som publicerar en DMARC-post har den inställd på p=none — det läge som säger till världen exakt vem som förfalskar din domän och sedan släpper honom rätt igenom. Red Sift's analys av det senaste decenniet placerar verklig DMARC-tillämpning i enstaka siffror under flera år, och även de optimistiska leverantörsiffrorna landar den stora majoriteten av poster på none.
Här är skämtet gömt i det ordet. DMARC — stavat i RFC 7489 — är det som bestämmer vad en mottagande mailserver ska göra när ett meddelande som säger sig vara från din domän misslyckas med de underliggande kontrollerna. De kontrollerna är SPF (är denna server tillåten att skicka åt dig?) och DKIM (är detta meddelande kryptografiskt signerat av dig?). DMARC sitter ovanpå och ger ett förslag. p=none är förslaget som inte är ett. Det säger: lägg märke till bedrägeriet, logga bedrägeriet, maila mig en rapport om bedrägeriet — och leverera det ändå.
En rökdetektor med batteriet utdraget hänger fortfarande på taket. Det ser ut som skydd. Det fotograferas som skydd. Det går bara inte igång när köket brinner.
De två inställningar som verkligen biter är p=quarantine, som skjuter felande post till skräppost, och p=reject, som säger till mottagaren att studsa den innan den landar. Det är hela spelet. En bedrägare som förfalskar billing@yourbank.example stöter på en vägg endast om den banken publicerade reject. Om banken publicerade none — och de flesta gjorde det — seglades förfalskningen in i inkorgen och ser exakt ut som den verkliga grejen, komplett med den verkliga logotypen plockad rätt från den verkliga webbplatsen.
Varför stannar alla vid none? För att none är det säkra första steget, och säkra första steg har en tendens att bli den permanenta adressen. Du är tänkt att börja där, läsa rapporterna, hitta varje legitim tjänst som skickar åt din räkning — löneleverantören, marknadsföringsplattformen, biljettverktyget som ingen dokumenterade — få dem alla att signera korrekt, och sedan dra åt reject. Det sista steget är det skrämmande. Byt till reject med en slentrianmässig oautentiserad avsändare fortfarande i omlopp och du sänker dina egna fakturor. Så lag publicerar posten, säger till revisorn att det är löst, och kommer aldrig tillbaka för att avsluta. Rapportmejlen hopas upp olästade. Batteriet förblir ute.
Offret är du, personen som läser meddelandet. När ett märke du litar på lämnar DMARC på none, "det kom från deras verkliga domän" slutar betyda något, eftersom en kriminells förfalskning passerar samma ögontest. Detta är just gapet vi övervakar på mottagarsidan på xmail: ett meddelande kan misslyckas med autentisering rent av och fortfarande anlända utklädda som ditt försörjningsföretag, för att försörjningsföretaget aldrig sa till internetanvändaren att avvisa fejkorna.
Så här är ett test du kan köra på ungefär femton sekunder. Ta ett märke som skrämde dig med ett "misstänkt aktivitet"-mejl — dra upp en offentlig DMARC-sökning och klistra in deras domän. Om policyn läser p=none, frågar det företaget mottagarna att lägg märke till personifiering och gör ingenting åt det. Miljontals domäner gör tyst den begäran varje dag.
Fixet är inte mer teknik. Det är modet att ändra ett ord från none till reject. Larmet ser redan röken. Någon behöver bara sätta tillbaka batteriet.