DMARC spoof pass

DMARC spoof pass to niepożądana sytuacja, w której sfałszowana wiadomość niezgodnie przechodzi pozytywnie weryfikację DMARC.

Jak rozumieć określenie DMARC spoof pass

DMARC spoof pass oznacza sytuację, w której wiadomość wyglądająca na sfałszowaną przechodzi kontrolę DMARC, mimo że odbiorca lub administrator oczekiwał jej odrzucenia. Samo określenie nie jest formalną nazwą wyniku zdefiniowanego jako osobny kod w standardzie DMARC. Jest opisem problemu operacyjnego: wiadomość wykorzystująca podszycie pod nadawcę uzyskała pozytywny wynik kontroli, ponieważ konfiguracja domeny, podpis wiadomości albo sposób sprawdzania autentyczności pozwoliły jej spełnić wymagane warunki.

DMARC nie sprawdza wyłącznie tego, czy adres nadawcy da się łatwo zmienić. Ocena obejmuje przede wszystkim zgodność domeny widocznej w nagłówku From: z domeną potwierdzoną przez SPF albo DKIM. Ta zgodność nazywa się wyrównaniem domen, czyli alignment. Wiadomość może więc wyglądać podejrzanie z punktu widzenia użytkownika, ale jednocześnie przejść DMARC, jeżeli domena w From: jest wyrównana z domeną używaną przez prawidłowy podpis DKIM lub z domeną zatwierdzoną w SPF.

Dlaczego sfałszowana wiadomość może otrzymać wynik pass

Jedną z przyczyn jest zbyt szeroki rekord SPF. SPF określa, które adresy IP lub mechanizmy mogą wysyłać pocztę w imieniu domeny wskazanej w mechanizmie MAIL FROM, nazywanym także adresem koperty. Jeżeli rekord zawiera nieaktualne systemy, szerokie zakresy adresów albo niepotrzebne mechanizmy include, napastnik może wykorzystać uprawnioną infrastrukturę do wysłania wiadomości. W takim przypadku kontrola SPF może zakończyć się wynikiem pass, a DMARC również może uznać domeny za wyrównane.

Inny przypadek dotyczy DKIM. Podpis DKIM jest tworzony przy użyciu klucza prywatnego nadawcy, a odbiorca pobiera odpowiadający mu klucz publiczny z rekordu DNS pod nazwą zawierającą selektor. Jeżeli klucz prywatny zostanie ujawniony, nieuprawniona osoba może tworzyć wiadomości z poprawnym podpisem dla danej domeny. Podobny skutek występuje po przejęciu legalnego konta, systemu wysyłkowego albo dostawcy poczty, który ma prawo podpisywać wiadomości. DMARC nie rozstrzyga wtedy, czy człowiek wysłał wiadomość zgodnie z zamiarem właściciela domeny; potwierdza jedynie techniczną autentyczność podpisu i wyrównanie domen.

Pozytywny wynik może też wynikać z podszycia pod domenę, która sama nie jest chroniona właściwą polityką DMARC. Jeżeli domena nadawcy nie publikuje rekordu DMARC albo publikuje politykę p=none, odbiorca może zebrać raport, lecz nie musi odrzucić wiadomości. Trzeba również rozróżnić domenę organizacyjną od subdomeny. Rekord dla domeny nadrzędnej może wpływać na ocenę subdomen, ale ustawienie sp pozwala określić osobną politykę dla subdomen. Błąd w tym obszarze może sprawić, że ochrona jest silniejsza dla jednej domeny niż dla innej.

Interpretacja nagłówków i raportów DMARC

Diagnozę należy rozpocząć od pełnych nagłówków wiadomości, a nie od samego komunikatu programu pocztowego. Istotne są pola Authentication-Results, Received-SPF, DKIM-Signature oraz kolejne nagłówki Received. W Authentication-Results warto sprawdzić osobno wynik SPF, wynik DKIM, wynik DMARC i domenę używaną do wyrównania. Przykładowy zapis dmarc=pass header.from=example.com nie oznacza, że wiadomość jest bezpieczna. Oznacza tylko, że dla domeny widocznej w From: spełniono warunki kontroli DMARC.

Raporty agregowane DMARC, zwykle przesyłane w formacie XML, pokazują między innymi adresy IP wysyłające pocztę, liczbę wiadomości, wyniki SPF i DKIM oraz zastosowaną politykę. Raport nie dowodzi samodzielnie, że każda wiadomość z danego adresu była złośliwa. Pozwala jednak porównać rzeczywistych nadawców z listą usług, które powinny wysyłać pocztę. Raporty forensic, jeśli są obsługiwane i włączone, mogą dostarczyć ograniczonych kopii lub informacji o pojedynczych nieudanych wiadomościach, ale ich dostępność zależy od odbiorcy oraz jego polityki prywatności i raportowania.

Przy analizie trzeba uwzględnić przekazywanie poczty, bramy antyspamowe i systemy mailingowe. Pośredni serwer może zmienić adres źródłowy, a modyfikacja treści może unieważnić podpis DKIM. Z kolei rozwiązanie przekazujące wiadomość może korzystać z mechanizmu ARC, który zachowuje informacje o wcześniejszych wynikach uwierzytelnienia, lecz ARC nie jest prostym zamiennikiem DMARC i nie powinien być traktowany jako automatyczny dowód autentyczności nadawcy.

Postępowanie po wykryciu nieprawidłowego przejścia

Najpierw należy ustalić, czy problem dotyczy rzeczywistego spoofingu domeny w nagłówku From:, czy przejęcia legalnego kanału wysyłkowego. Następnie sprawdza się rekord DMARC, rekordy SPF oraz selektory DKIM w DNS. Weryfikacja powinna objąć także listę dostawców, integracji i aplikacji, które wysyłają wiadomości w imieniu domeny. Usunięcie nieużywanych wpisów SPF, ograniczenie zakresów adresów i rotacja kluczy DKIM mogą zmniejszyć ryzyko, ale zmiany trzeba wykonywać po rozpoznaniu wszystkich prawidłowych źródeł poczty.

Politykę DMARC często wdraża się etapami: najpierw obserwacja przy p=none, później kwarantanna przez p=quarantine, a docelowo odrzucanie przez p=reject, jeżeli raporty potwierdzają poprawne uwierzytelnianie legalnych nadawców. Parametr pct może ograniczać odsetek wiadomości objętych polityką, a rua wskazuje adresy raportów agregowanych. Każdy adres raportowy powinien być skonfigurowany zgodnie z zasadami odbiorcy raportów, ponieważ raportowanie między domenami wymaga dodatkowej autoryzacji DNS.

W środowisku użytkownika końcowego przydatne jest zachowanie oryginalnej wiadomości wraz z pełnymi nagłówkami, oznaczenie jej jako phishingu oraz sprawdzenie, czy inne wiadomości z tej samej domeny mają podobne wyniki uwierzytelnienia. Nie należy uznawać samego napisu DMARC pass za gwarancję bezpieczeństwa. Kontrola nie ocenia prawdziwości treści, intencji nadawcy, złośliwych załączników ani tego, czy legalne konto nie zostało przejęte. W razie potrzeby diagnostyka powinna objąć także konfigurację klienta pocztowego, filtrów oraz urządzenia, na którym otwierano wiadomość, a naprawa musi być dostosowana do ustalonej przyczyny, a nie do samego wyniku pass.