ARC-Authentication-Results

ARC-Authentication-Results to nagłówek zawierający zapisane wyniki weryfikacji uwierzytelniania wiadomości w łańcuchu ARC.

Rola nagłówka ARC-Authentication-Results w wiadomości

ARC-Authentication-Results, zwykle zapisywany skrótem AAR, jest elementem mechanizmu Authenticated Received Chain opisanego w RFC 8617. Nagłówek zawiera wyniki uwierzytelniania wiadomości uzyskane przez konkretny system pośredniczący, na przykład bramę pocztową lub usługę przekazującą wiadomość. Zapis może obejmować rezultaty kontroli SPF, DKIM oraz DMARC, a także identyfikator systemu, który wykonał te kontrole. Dzięki temu kolejny odbiorca otrzymuje informację o tym, jakie wyniki były dostępne na wcześniejszym etapie dostarczania wiadomości.

AAR nie jest samodzielnym dowodem autentyczności. Jego treść jest chroniona w łańcuchu ARC przez podpis ARC-Message-Signature oraz ARC-Seal. Podpis ARC-Message-Signature obejmuje wybrane nagłówki wiadomości i treść, natomiast ARC-Seal zabezpiecza zestaw elementów ARC utworzonych przez poszczególne węzły. Odbiorca powinien więc analizować AAR razem z odpowiadającymi mu nagłówkami ARC-Message-Signature i ARC-Seal, a nie traktować pojedynczego pola jako wystarczającego potwierdzenia pochodzenia wiadomości.

Budowa wpisu i numer instancji ARC

Każdy zestaw ARC otrzymuje numer instancji oznaczany parametrem i=. W jednym zestawie znajdują się między innymi nagłówki ARC-Authentication-Results, ARC-Message-Signature i ARC-Seal z tym samym numerem instancji. Wartość i=1 oznacza pierwszy zestaw utworzony w łańcuchu, a kolejne systemy mogą dodawać następne instancje, na przykład i=2. Numer pozwala uporządkować wyniki i powiązać je z właściwym podpisem oraz pieczęcią ARC.

Wewnątrz AAR występuje identyfikator systemu uwierzytelniającego, określany jako authserv-id, oraz lista metod i rezultatów w składni właściwej dla nagłówka Authentication-Results. Przykładowy zapis może zawierać fragmenty takie jak spf=pass, dkim=pass albo dmarc=fail, ale dokładne wartości zależą od rzeczywistych kontroli wykonanych przez dany system. Istotne jest również rozróżnienie pomiędzy wynikiem kontroli a komentarzem opisowym. Tekst w komentarzu może pomagać diagnostycznie, lecz nie powinien zastępować formalnej interpretacji pól wynikowych ani weryfikacji podpisów ARC.

Jak odbiorca ocenia łańcuch uwierzytelniania

System odbiorczy najpierw sprawdza poprawność struktury elementów ARC, ciągłość numerów instancji oraz zgodność powiązanych nagłówków. Następnie weryfikuje podpisy i ocenia, czy kolejne ogniwa łańcucha nie zostały zmienione. W ramach ARC używany jest także parametr cv= w nagłówku ARC-Seal, który opisuje wynik walidacji wcześniejszego łańcucha. Samo cv=pass nie oznacza jednak, że wiadomość jest bezpieczna; oznacza wynik określonej kontroli ciągłości i poprawności łańcucha ARC.

Praktyczne znaczenie AAR pojawia się wtedy, gdy wiadomość przechodzi przez pośrednika zmieniającego nagłówki lub sposób dostarczenia, przez co końcowy odbiorca nie może już ocenić pierwotnych wyników SPF albo DMARC wyłącznie na podstawie bieżącego połączenia. Zaufany system odbiorczy może uwzględnić zapisane przez wcześniejszy węzeł rezultaty, ale powinien robić to zgodnie z własną polityką zaufania wobec organizatora ARC. Wartość pass przy SPF, DKIM lub DMARC w AAR nie jest automatycznym zezwoleniem na dostarczenie każdej wiadomości, ponieważ decyzja końcowa zależy także od reputacji domen, konfiguracji odbiorcy i poprawności całego łańcucha.

Odczyt nagłówka podczas analizy poczty na komputerze

Podczas sprawdzania wiadomości w kliencie pocztowym należy wyświetlić pełne nagłówki, a następnie odszukać wszystkie wystąpienia ARC-Authentication-Results. Warto zestawić ich numery i= z numerami ARC-Message-Signature i ARC-Seal oraz sprawdzić, czy instancje tworzą logiczną sekwencję. Należy także odróżnić AAR od zwykłego Authentication-Results. Oba nagłówki mogą zawierać podobne wyniki SPF, DKIM i DMARC, lecz AAR należy do konkretnego łańcucha ARC i powinien być interpretowany razem z jego podpisami.

Warszawskie Pogotowie Komputerowe zajmuje się profesjonalną naprawą laptopów i komputerów PC, dlatego przy problemach z wyświetlaniem pełnych nagłówków, działaniem klienta pocztowego albo odczytem technicznych informacji wiadomości można sprawdzić konfigurację systemu, programu pocztowego i połączenia sieciowego. Sama obecność nagłówka ARC-Authentication-Results nie świadczy jeszcze o błędzie komputera. Nieprawidłowości mogą wynikać z przerwanego łańcucha ARC, błędnego podpisu, niezgodności domen lub polityki serwera odbiorczego, a nie z uszkodzenia sprzętu.