read receipts
Замок, якому всі хвалиться, висить на відчинених дверях
У вашого банку є DMARC. У вашої авіакомпанії теж. Він практично нічого не робить, а налаштування, яке це доводить, — це одне слово.
Приблизно дев'ять з десяти доменів, які публікують запис DMARC, встановлюють його на p=none — режим, який повідомляє світ про те, хто саме видається від вашого імені, а потім пропускає їх без перешкод. Аналіз Red Sift за останнє десятиліття показує, що справжнє впровадження DMARC становило одноцифрові числа протягом років, і навіть оптимістичні цифри від постачальників залишають переважну більшість записів на none.
Ось жарт, захований у цьому слові. DMARC — розшифрований в RFC 7489 — це те, що визначає, що повинен зробити приймаючий поштовий сервер, коли повідомлення, яке претендує на те, щоб бути від вашого домена, не пройде базові перевірки. Ці перевірки — SPF (чи цьому серверу дозволено відправляти від вас?) і DKIM (чи криптографічно підписано це повідомлення вами?). DMARC сидить зверху й видає вердикт. p=none — це вердикт, який не є вердиктом. Він говорить: помітьте шахрайство, залогуйте шахрайство, пришліть мені звіт про шахрайство — і доставте його все одно.
Датчик диму з витягнутою батареєю все ще висить на стелі. Він виглядає як захист. Він фотографується як захист. Він просто не спрацює, коли кухня горить.
Два налаштування, які насправді кусають, — це p=quarantine, яке штовхає помилкові листи в спам, і p=reject, яке наказує одержувачу повернути їх до приходу. От і вся гра. Шахрай, який підроблює billing@yourbank.example, натрапляє на стіну, тільки якщо той банк опублікував reject. Якщо банк опублікував none — а більшість це зробили — підробка пролітає в папку "Вхідні" й виглядає точно як оригінал, з реальним логотипом, витягнутим прямо з реального веб-сайту.
Чому всі застрягають на none? Тому що none — це безпечний перший крок, а безпечні перші кроки мають звичку ставати постійною адресою. Вам потрібно почати там, прочитати звіти, знайти кожен легітимний сервіс, який відправляє від вашого імені — постачальника зарплати, маркетингову платформу, інструмент квитків, про який ніхто не задокументував — переконатися, що всі вони правильно підписуються, а потім затягнути до reject. Цей останній крок — страшний. Переключитися на reject зі стороннім неавтентифікованим відправником ще у світі, і ви заблокуєте власні рахунки-фактури. Тож команди публікують запис, кажуть аудиторові, що все впорядковано, і ніколи не повертаються, щоб закінчити. Листи зі звітами нагромаджуються непрочитаними. Батарея залишається витягнутою.
Жертвою є ви, людина, що читаєте повідомлення. Коли бренд, якому ви довіряєте, залишає DMARC на none, "це прийшло з їхнього справжнього домена" перестає значити щось, тому що підробка злочинця проходить той самий тест на перший погляд. Це саме та прогалина, яку ми спостерігаємо на приймаючому кінці в xmail: повідомлення може провалити автентифікацію з холодної маси й все одно надійти одягнутим у вашу компанію комунальних послуг, тому що компанія комунальних послуг ніколи не наказала інтернету відхиляти підробки.
Ось тест, який ви можете запустити приблизно за п'пятнадцять секунд. Возьміть будь-який бренд, який лякав вас електронним листом про "підозрілу активність" — зверніться до публічного пошуку DMARC і вставте їхній домен. Якщо політика показує p=none, ця компанія просить одержувачів помітити видавання та нічого не робити з цим. Мільйони доменів щодня тихо роблять цей запит.
Виправлення — це не більше технології. Це мужність змінити одне слово з none на reject. Сигналізація вже бачить дим. Комусь просто потрібно повернути батарею на місце.