Chiếc Khoá Mà Mọi Người Khoe Khéo Lại Treo Trên Cánh Cửa Mở Toang

Khoảng chín trong mười miền công bố bản ghi DMARC có nó được đặt thành p=none — chế độ cho biết với cả thế giới chính xác ai đang giả mạo bạn và sau đó lại cho họ đi qua. Phân tích của Red Sift trong thập kỷ qua cho thấy thực thi DMARC thực sự ở mức một chữ số trong nhiều năm, và ngay cả những con số lạc quan của nhà cung cấp vẫn đặt phần lớn các bản ghi ở none.

Đây là trò đùa chôn giấu trong từ đó. DMARC — được viết ra trong RFC 7489 — là thứ quyết định máy chủ thư nhận nên làm gì khi một thư yêu sách đến từ miền của bạn không vượt qua các kiểm tra cơ bản. Những kiểm tra đó là SPF (máy chủ này có được phép gửi cho bạn không?) và DKIM (thư này có được ký bằng mật mã bởi bạn không?). DMARC nằm phía trên và đưa ra một phán quyết. p=none là phán quyết không phải là một phán quyết. Nó nói: nhận thấy gian lận, ghi lại gian lận, gửi cho tôi một báo cáo về gian lận — và vẫn gửi nó.

Một cảm biến khói với pin bị rút ra vẫn treo trên trần nhà. Nó trông giống như bảo vệ. Nó chụp ảnh giống như bảo vệ. Nó chỉ không phát ra tiếng khi bếp đang cháy.

Hai cài đặt thực sự có tác dụng là p=quarantine, cái này đẩy thư thất bại vào spam, và p=reject, cái này bảo nhận người nhận phải từ chối nó trước khi nó hạ cánh. Đó là cả cuộc chơi. Một kẻ lừa đảo giả mạo billing@yourbank.example gặp phải bức tường chỉ khi ngân hàng đó công bố reject. Nếu ngân hàng công bố none — và hầu hết đã làm — bức giả mạo sẽ lướt vào hộp thư inbox trông giống hệt như cái thật, thậm chí kèm theo logo thực được kéo thẳng từ trang web thực.

Tại sao mọi người lại dừng lại ở none? Vì none là bước đầu an toàn, và các bước đầu an toàn có cách trở thành địa chỉ vĩnh viễn. Bạn được cho là bắt đầu ở đó, đọc các báo cáo, tìm mọi dịch vụ hợp pháp gửi thay mặt bạn — nhà cung cấp bảng lương, nền tảng tiếp thị, công cụ bán vé mà không ai tài liệu hóa — cho tất cả họ ký đúng cách, và sau đó siết chặt thành reject. Bước cuối cùng đó là bước đáng sợ. Chuyển sang reject với một người gửi chưa được xác thực còn lọt lỏng trên mạng và bạn sẽ huỷ bỏ hóa đơn của chính mình. Vì vậy các đội công bố bản ghi, nói với kiểm toán viên rằng nó đã được xử lý, và không bao giờ quay lại để hoàn thành. Các email báo cáo chất chồng mà không được đọc. Pin vẫn nằm ngoài.

Nạn nhân là bạn, người đang đọc thư này. Khi một thương hiệu mà bạn tin tưởng để DMARC ở none, "nó đến từ miền thực sự của họ" không còn có nghĩa gì nữa, bởi vì bức giả mạo của một tội phạm vượt qua cùng một kiểm tra bằng mắt. Đây chính xác là khoảng trống mà chúng tôi theo dõi ở phía nhận của xmail: một thư có thể không vượt qua xác thực hoàn toàn và vẫn đến mặc dạng của công ty tiện ích của bạn, bởi vì công ty tiện ích không bao giờ bảo internet từ chối những bản giả.

Vì vậy, đây là một bài kiểm tra mà bạn có thể chạy trong khoảng mười lăm giây. Lấy bất kỳ thương hiệu nào làm bạn lo lắng với một email "hoạt động đáng ngờ" — lấy ra một tìm kiếm DMARC công khai và dán miền của họ vào. Nếu chính sách đọc p=none, công ty đó đang yêu cầu những người nhận nhận thấy mạo danh và không làm gì về nó. Hàng triệu miền đang yêu cầu điều đó một cách yên tĩnh mỗi ngày.

Giải pháp không phải là công nghệ nhiều hơn. Đó là can đảm để thay đổi một từ từ none thành reject. Báo động đã thấy khói rồi. Ai đó chỉ cần lắp pin lại vào.