กุญแจสายสวนทุกคนอวดอยู่บนประตูที่ยังเปิดอยู่

ประมาณเก้าในสิบโดเมนที่เผยแพร่ระเบียน DMARC มีการตั้งค่าเป็น p=none — โหมดที่บอกโลกว่าใครกำลังปลอมแปลงคุณ แล้วปล่อยให้พวกเขาผ่านไปได้ การวิเคราะห์ของ Red Sift ตลอดทศวรรษที่ผ่านมาแสดงให้เห็นว่า DMARC enforcement ที่แท้จริงอยู่ในจำนวนหนึ่งหลักสำหรับหลายปี และแม้แต่ตัวเลขที่ดูเหมือนสำหรับผู้จำหน่ายก็ยังคงทำให้ระเบียนส่วนใหญ่อยู่ที่ none

นี่คือเรื่องตลกที่ซ่อนอยู่ในคำนั้น DMARC — ระบุไว้ใน RFC 7489 — คือสิ่งที่ตัดสินใจว่าเซิร์ฟเวอร์เมลแบบรับที่ควร ทำอะไร เมื่อข้อความที่อ้างว่ามาจากโดเมนของคุณล้มเหลวในการตรวจสอบพื้นฐาน การตรวจสอบเหล่านั้นคือ SPF (เซิร์ฟเวอร์นี้ได้รับอนุญาตให้ส่งสำหรับคุณหรือไม่) และ DKIM (ข้อความนี้เซ็นชื่อด้วยการเข้ารหัสโดยคุณหรือไม่) DMARC นั่งอยู่บนสุดและออกคำตัดสิน p=none คือคำตัดสินที่ไม่ใช่คำตัดสิน มันบอกว่า: สังเกตการฉ้อโกง บันทึกการฉ้อโกง ส่งรายงานเกี่ยวกับการฉ้อโกงให้ฉัน — และส่งมันต่อไปอย่างไรก็ตาม

เครื่องดักควัน ที่มีแบตเตอรี่ถอดออก ยังคงแขวนอยู่บนเพดาน มันดูเหมือนเป็นการป้องกัน เหมือนการป้องกันในการถ่ายภาพ มันแค่ไม่ดัง เมื่อห้องครัวลุกไหม้

การตั้งค่าสองประการที่แท้จริงที่มีผลกระทบคือ p=quarantine ซึ่งดันเมลที่ล้มเหลวไปยังสแปม และ p=reject ซึ่งบอกให้ผู้รับส่งกลับคืนก่อนที่จะถึง นี่คือเกมทั้งหมด ผู้หลอกลวงที่ปลอมแปลง billing@yourbank.example พบกับกำแพงก็ต่อเมื่อธนาคารนั้นเผยแพร่ reject หากธนาคารเผยแพร่ none — และส่วนใหญ่ก็ทำ — การปลอมแปลงจะดิ่งลงในกล่องจดหมายดูเหมือนสิ่งจริง พร้อมกับโลโกจริงที่ดึงมาโดยตรงจากเว็บไซต์จริง

ทำไมทุกคนจึงติดค้างที่ none เพราะ none คือขั้นตอนแรกที่ปลอดภัย และขั้นตอนแรกที่ปลอดภัยนั้นมีแนวโน้มที่จะกลายเป็นที่อยู่ถาวร คุณควรเริ่มที่นั่น อ่านรายงาน ค้นหาทุกบริการที่ถูกต้องตามกฎหมายที่ส่งสำหรับคุณ — ผู้จำหน่ายค่าจ้าง แพลตฟอร์มการตลาด เครื่องมือตั๋วที่ไม่มีใครบันทึก — ให้พวกเขาทั้งหมดลงนามอย่างถูกต้อง แล้ว จึง ทำให้แน่นขึ้นเป็น reject การเคลื่อนไหวครั้งสุดท้ายนั้นเป็นสิ่งที่น่ากลัว พลิก reject ด้วยผู้ส่งที่ไม่ได้รับการรับรองยังคงอยู่ในป่า และคุณก็ทำให้ใบแจ้งหนี้ของคุณเองเป็นหลุมดำ ดังนั้นทีมจึงเผยแพร่ระเบียน บอกผู้ตรวจสอบว่าจัดการแล้ว และไม่เคยกลับมาเสร็จสิ้น อีเมลรายงานจำนวนมากสะสมอยู่โดยไม่ได้อ่าน แบตเตอรี่ยังคงอยู่ข้างนอก

ผู้ที่ประสบอันตรายคือคุณ คนที่อ่านข้อความ เมื่อแบรนด์ที่คุณไว้วางใจปล่อยให้ DMARC อยู่ที่ none "มันมาจากโดเมนจริงของพวกเขา" ก็หยุดหมายความว่าอะไรเลย เพราะการปลอมแปลงของอาชญากรผ่านการทดสอบดูเหมือนเดียวกัน นี่คือช่องว่างที่แน่นอนที่เราดูที่ปลายรับที่ xmail: ข้อความสามารถล้มเหลวในการพิสูจน์ตัวตนได้อย่างสมบูรณ์และยังคงมาถึงเต็มไปด้วยบริษัทสาธารณูปโภคของคุณ เพราะบริษัทสาธารณูปโภคไม่เคยบอกอินเทอร์เน็ตให้ปฏิเสธสิ่งปลอมแปลง

นี่คือการทดสอบที่คุณสามารถทำได้ในเวลาประมาณสิบห้าวินาที เลือกแบรนด์ใด ๆ ที่ทำให้คุณกลัวด้วยอีเมล "กิจกรรมที่น่าสงสัย" — ดึงการค้นหา DMARC แบบสาธารณะและวางโดเมนของพวกเขา หากนโยบายอ่าน p=none บริษัทนั้นกำลังขอให้ผู้รับสังเกตการปลอมแปลงและไม่ทำอะไรเกี่ยวกับเรื่องนี้ ล้านล้านโดเมนกำลังยื่นคำขอนั้นอย่างเงียบ ๆ ทุกวัน

การแก้ไขไม่ใช่เทคโนโลยีที่มากขึ้น เป็นความกล้าที่จะเปลี่ยนคำหนึ่งคำจาก none เป็น reject ภาษีเตือนเตือนนั้นเห็นควันแล้ว ใครบางคนก็ต้องใส่แบตเตอรี่กลับเข้าไป