وہ تالا جس کی سب تعریف کریں رہے ہیں کھلے دروازے پر لگا ہوا ہے

تقریباً نو میں سے نو ڈومین جو DMARC ریکارڈ شائع کرتے ہیں وہ اسے p=none پر سیٹ کیے ہوتے ہیں — یہ وہ موڈ ہے جو دنیا کو بالکل بتاتا ہے کہ آپ کو کون نقل کر رہا ہے اور پھر انہیں سیدھا آگے کر دیتا ہے۔ Red Sift کے پچھلی دہائی کے تجزیے کے مطابق، اصل DMARC نفاذ سالوں سے واحد ہندسوں میں رہا ہے، اور حتیٰ کہ سب سے خوش دل فروخت کنندہ کے اعدادوشمار بھی ریکارڈز کی اکثریت کو none پر لے جاتے ہیں۔

یہاں وہ مذاق ہے جو اس لفظ میں چھپا ہوا ہے۔ DMARC — RFC 7489 میں تفصیل سے بیان کیا گیا — یہ وہ چیز ہے جو فیصلہ کرتی ہے کہ موصول کرنے والا میل سرور کیا کرے جب آپ کے ڈومین سے آنے والا پیغام بنیادی تصدیقات میں ناکام ہو جائے۔ یہ تصدیقات SPF ہیں (کیا یہ سرور آپ کی طرف سے بھیجنے کی اجازت ہے؟) اور DKIM (کیا یہ پیغام آپ کے ذریعے cryptographically دستخط شدہ ہے؟)۔ DMARC اوپر بیٹھا ہے اور فیصلہ دیتا ہے۔ p=none وہ فیصلہ ہے جو کوئی نہیں ہے۔ یہ کہتا ہے: فراڈ پر توجہ دو، فراڈ کو لاگ کرو، مجھے فراڈ کے بارے میں رپورٹ بھیجو — اور اسے ویسے بھی پہنچا دو۔

ایک دھواں کا ڈیٹیکٹر جس کی بیٹری نکالی گئی ہے اب بھی چھت پر لگا ہوتا ہے۔ یہ حفاظت جیسا لگتا ہے۔ یہ حفاظت جیسا نظر آتا ہے۔ یہ صرف اس وقت آواز نہیں دیتا جب باورچی خانہ آگ میں ہو۔

وہ دونوں سیٹنگز جو اصل میں کام کرتی ہیں p=quarantine ہیں، جو ناکام میل کو اسپام میں بھیجتا ہے، اور p=reject، جو وصول کنندہ کو اسے بھیجنے سے پہلے واپس کرنے کو کہتا ہے۔ یہ پورا کھیل ہے۔ ایک scammer جو billing@yourbank.example کو جعل کرتا ہے اسے صرف ایک دیوار میں آتا ہے اگر وہ بینک reject شائع کرتا ہے۔ اگر بینک none شائع کرتا ہے — اور اکثر نے کیا — تو جعلی شے انبوکس میں بالکل حقیقی چیز جیسی نظر آتی ہے، حقیقی لوگو کے ساتھ مکمل جو سیدھا حقیقی ویب سائٹ سے کھینچا جاتا ہے۔

سب لوگ none پر کیوں رک جاتے ہیں؟ کیونکہ none محفوظ پہلا قدم ہے، اور محفوظ پہلے قدموں کی ہمیشہ ایک مستقل پتہ بننے کا طریقہ ہوتا ہے۔ آپ کو وہاں شروع کرنا ہے، رپورٹیں پڑھنی ہیں، ہر جائز خدمت تلاش کرنی ہے جو آپ کی طرف سے بھیج رہی ہے — تنخواہ فروخت کنندہ، مارکیٹنگ پلیٹ فارم، ٹکٹنگ ٹول جس کو کوئی دستاویز نہ کرے — انہیں سب کو صحیح طریقے سے دستخط کرانا، اور پھر reject کو تنگ کرنا۔ یہ آخری حرکت وہ ہے جو ڈراتی ہے۔ reject کو نامعلوم بھیجنے والے کے ساتھ flip کریں اب بھی جنگل میں ہوں اور آپ اپنی ان وائسز کو black-hole کر دیں۔ تو ٹیمیں ریکارڈ شائع کرتے ہیں، آڈیٹر کو بتاتے ہیں یہ سنبھالا گیا ہے، اور مکمل کرنے کے لیے کبھی واپس نہیں آتے۔ رپورٹ ای میلز unread میں جمع ہو جاتی ہیں۔ بیٹری باہر رہتی ہے۔

یہ آپ ہیں جو متاثر ہوتے ہیں، جو شخص پیغام پڑھ رہا ہے۔ جب ایک برانڈ جس پر آپ کو اعتماد ہے DMARC کو none پر چھوڑتا ہے، "یہ ان کے حقیقی ڈومین سے آیا" کا مطلب کچھ نہیں رہتا، کیونکہ ایک مجرم کی جعل ایک ہی آنکھوں کے ٹیسٹ کو پاس کرتی ہے۔ یہ بالکل وہی خلاء ہے جو ہم xmail میں موصول کنندہ کے آخر میں دیکھتے ہیں: ایک پیغام سردی کی تصدیق میں ناکام ہو سکتا ہے اور اب بھی آپ کی utility کمپنی کے طور پر لباس میں آ سکتا ہے، کیونکہ utility کمپنی نے کبھی انٹرنیٹ کو جعلی چیزوں کو reject کرنے کو نہیں بتایا۔

تو یہاں ایک ٹیسٹ ہے جو آپ تقریباً پندرہ سیکنڈ میں چلا سکتے ہیں۔ کوئی بھی برانڈ لیں جس نے آپ کو "suspicious activity" ای میل سے ڈرایا — ایک public DMARC تلاش کھولیں اور ان کا ڈومین paste کریں۔ اگر پالیسی p=none پڑھتی ہے، تو وہ کمپنی موصول کنندگان سے impersonation دیکھنے کو کہہ رہی ہے اور اس کے بارے میں کچھ نہ کرنے کو کہہ رہی ہے۔ لاکھوں ڈومین ہر دن خاموشی سے یہ درخواست کر رہے ہیں۔

حل مزید ٹیکنالوجی نہیں ہے۔ یہ ایک لفظ کو none سے reject میں بدلنے کی ہمت ہے۔ الرم پہلے سے دھواں دیکھتا ہے۔ کوئی شخص بس بیٹری کو واپس ڈالتا ہے۔