omijanie polityki DMARC

Omijanie polityki DMARC to wykorzystywanie domen bez opublikowanego rekordu albo z trybem samego monitorowania.

Na czym polega omijanie polityki DMARC

Omijanie polityki DMARC oznacza takie wykorzystanie adresowania poczty elektronicznej, aby wiadomość mogła zostać dostarczona mimo braku skutecznego egzekwowania reguł uwierzytelniania domeny. DMARC, czyli Domain-based Message Authentication, Reporting and Conformance, opiera się na wynikach mechanizmów SPF i DKIM oraz na zgodności domeny widocznej w nagłówku From: z domeną używaną przez SPF albo DKIM. Sama obecność rekordu DMARC nie gwarantuje jeszcze odrzucania fałszywych wiadomości. O tym decyduje przede wszystkim wartość parametru p, który może określać tryb none, quarantine albo reject.

Najprostszy przypadek występuje wtedy, gdy domena nie publikuje rekordu DMARC pod nazwą _dmarc.domena.example. Odbiorca nie otrzymuje wówczas deklarowanej polityki i może zastosować własne zasady lokalne. Podobny skutek operacyjny może wystąpić przy polityce p=none. Taki tryb pozwala odbierać raporty o wynikach kontroli, ale nie nakazuje serwerom odbiorczym kierowania wiadomości do spamu ani jej odrzucania. Nie jest to więc wyłączenie SPF lub DKIM, lecz brak żądania konkretnej reakcji na ich niepowodzenie.

Różnica między brakiem DMARC a niezgodnością domen

DMARC nie sprawdza wyłącznie tego, czy wiadomość ma dowolny poprawny podpis DKIM albo czy adres nadawcy znajduje się w zakresie SPF. Istotna jest także tak zwana zgodność domen, czyli alignment. W przypadku SPF porównuje się domenę używaną w identyfikatorze uwierzytelniania, zwykle widoczną w wyniku SPF jako domena koperty nadawczej, z domeną z nagłówka From:. W przypadku DKIM porównywana jest domena z parametru d= podpisu z domeną widoczną dla użytkownika w nagłówku From:. Wynik DMARC może być pozytywny, gdy zgodność spełnia wymagania trybu ścisłego albo łagodnego.

Wiadomość może więc przejść SPF dla jednej domeny technicznej, a jednocześnie nie spełnić DMARC dla domeny prezentowanej odbiorcy. Analogicznie poprawny podpis DKIM wystawiony przez dostawcę systemu wysyłkowego nie musi oznaczać, że podpisana domena jest zgodna z adresem nadawcy. Przy ocenie należy rozdzielać co najmniej pola From:, Return-Path:, wynik SPF, domenę DKIM z parametru d=, wynik DMARC oraz decyzję serwera odbiorczego. Sam komunikat „SPF pass” albo „DKIM pass” nie dowodzi, że wiadomość spełniła wymagania DMARC.

Jak rozpoznać podatność w konfiguracji domeny

Analiza zaczyna się od odczytania rekordu TXT opublikowanego pod nazwą _dmarc dla właściwej domeny. Należy sprawdzić, czy rekord istnieje, czy jest jednoznaczny oraz jaka wartość znajduje się przy parametrze p. Warto również uwzględnić rekordy dla subdomen, ponieważ polityka głównej domeny może być uzupełniana parametrem sp. Brak osobnej polityki dla subdomen nie zawsze oznacza identyczne zachowanie jak dla domeny głównej, dlatego interpretacja wymaga uwzględnienia hierarchii DNS i konkretnego adresu użytego w wiadomości.

W diagnostyce przydatne są nagłówki Authentication-Results:, Received-SPF: oraz informacje o podpisie DKIM. Trzeba jednak pamiętać, że nagłówki uwierzytelniania mogą być dodawane przez kolejne serwery pośredniczące, a ich wiarygodność zależy od miejsca, z którego zostały odebrane. Raporty zbiorcze DMARC w formacie XML pokazują między innymi źródła wysyłki, wyniki SPF i DKIM oraz zastosowaną politykę. Raporty nie są dowodem, że każda konkretna wiadomość została zaakceptowana, ale pomagają wykryć nieznane systemy wysyłające, błędne konfiguracje i próby podszywania się pod domenę.

Znaczenie ustawień DMARC w praktyce serwisowej

W środowisku domowym lub biurowym omijanie polityki DMARC jest przede wszystkim problemem wiarygodności korespondencji. Wiadomość może wyglądać jak przesłana z adresu firmowego, bankowego albo usługowego, mimo że faktycznie została wysłana z innej infrastruktury. Skutkiem może być pojawienie się fałszywych próśb o płatność, zmianę hasła lub otwarcie załącznika. Oceniając podejrzaną wiadomość, nie należy polegać wyłącznie na nazwie wyświetlanej w programie pocztowym. Trzeba sprawdzić pełny adres nadawcy, domenę w nagłówku From:, wyniki SPF, DKIM i DMARC oraz serwer, który przekazał wiadomość.

Naprawa problemu wymaga rozróżnienia błędu konfiguracyjnego od celowego podszywania się pod domenę. Właściciel domeny powinien zinwentaryzować legalne źródła wysyłki, poprawnie skonfigurować SPF i DKIM, sprawdzić zgodność domen oraz analizować raporty DMARC przed zaostrzeniem polityki. Stopniowe przejście od p=none do p=quarantine lub p=reject powinno być poprzedzone weryfikacją legalnych nadawców, ponieważ zbyt restrykcyjna konfiguracja może odrzucać prawidłową korespondencję. W przypadku komputera, na którym pojawiają się podejrzane wiadomości, diagnostyka może obejmować również sprawdzenie klienta pocztowego, reguł przekazywania, zapisanych kont i objawów ingerencji złośliwego oprogramowania.