OpenDMARC

OpenDMARC to otwarta implementacja weryfikacji polityki DMARC po stronie serwera odbierającego.

OpenDMARC – czym jest i do czego służy

OpenDMARC jest otwartym oprogramowaniem przeznaczonym do sprawdzania, czy wiadomości poczty elektronicznej spełniają zasady określone przez mechanizm DMARC. Działa po stronie odbiorczej, czyli w miejscu, w którym wiadomość trafia do infrastruktury pocztowej adresata i może zostać oceniona przed dostarczeniem do skrzynki użytkownika. Jego zadaniem nie jest samo szyfrowanie korespondencji ani zastępowanie filtra antyspamowego. OpenDMARC analizuje wyniki kontroli związanych z tożsamością nadawcy, a następnie pomaga zastosować politykę opublikowaną dla danej domeny.

DMARC opiera się na dwóch wcześniejszych mechanizmach: SPF i DKIM. SPF pozwala sprawdzić, czy dany adres serwera wysyłającego znajduje się na liście uprawnionych źródeł opublikowanej w DNS. DKIM wykorzystuje podpis kryptograficzny umieszczony w nagłówkach wiadomości, dzięki czemu można ocenić, czy treść i wybrane nagłówki nie zostały zmienione oraz czy podpis został utworzony przy użyciu właściwego klucza. DMARC dodaje do tych kontroli wymóg zgodności domeny widocznej dla odbiorcy z domeną potwierdzoną przez SPF albo DKIM.

OpenDMARC może przekazać wynik oceny do programu obsługującego pocztę, filtra antyspamowego, systemu rejestrującego zdarzenia lub procedury decydującej o dalszym losie wiadomości. W zależności od polityki DMARC wiadomość może zostać zaakceptowana, oznaczona jako podejrzana albo odrzucona. Ostateczna reakcja zależy jednak od konfiguracji całego środowiska, a nie od samego faktu zainstalowania OpenDMARC.

OpenDMARC a SPF, DKIM i podobne mechanizmy

Najłatwiej zrozumieć OpenDMARC jako element łączący kilka kontroli w jedną ocenę wiarygodności wiadomości. SPF odpowiada przede wszystkim na pytanie, czy źródło wysyłki jest uprawnione do korzystania z określonej domeny. DKIM potwierdza obecność poprawnego podpisu i integralność wybranych elementów wiadomości. DMARC sprawdza natomiast także dopasowanie domen, czyli tak zwaną zgodność identyfikatorów. Ma to znaczenie, ponieważ oszustwo często polega nie na prostym podszyciu się pod techniczny adres nadawcy, lecz na wyświetleniu odbiorcy nazwy domeny przypominającej zaufaną organizację.

W praktyce można spotkać sytuację, w której SPF przechodzi pomyślnie, lecz domena użyta w kontroli SPF nie jest zgodna z domeną widoczną w polu From. Podobny problem może wystąpić przy DKIM, gdy podpis jest poprawny, lecz pochodzi z innej domeny niż ta prezentowana odbiorcy. DMARC pozwala ustalić, jak takie przypadki traktować. OpenDMARC odczytuje odpowiednie nagłówki, korzysta z wyników dostępnych w wiadomości i dokonuje oceny zgodności według przyjętych ustawień.

Nie należy utożsamiać DMARC z pełnym rozpoznawaniem spamu. Wiadomość może przejść kontrolę DMARC, a mimo to zawierać podejrzaną treść, złośliwy odsyłacz albo załącznik. Z drugiej strony wiadomość od prawidłowego nadawcy może nie przejść kontroli z powodu błędnej konfiguracji DNS, przekierowania, listy mailingowej lub modyfikacji nagłówków przez pośredni system pocztowy. Z tego względu OpenDMARC powinien współpracować z pozostałymi warstwami ochrony i być wdrażany po analizie rzeczywistego przepływu korespondencji.

Istotna jest również różnica między trybem obserwacji a wymuszaniem polityki. Właściciel domeny może publikować ustawienia DMARC tak, aby przede wszystkim zbierać informacje o źródłach wysyłki i stopniowo wykrywać nieznane systemy. Dopiero po uporządkowaniu legalnych nadawców można rozważyć bardziej stanowczą reakcję. OpenDMARC ułatwia wykonanie tej oceny po stronie odbiorczej, ale nie zastępuje przeglądu rekordów DNS, konfiguracji podpisywania ani dokumentacji używanych usług.

OpenDMARC – typowe problemy z konfiguracją

Jednym z częstszych problemów jest brak pełnego obrazu przepływu poczty. Organizacja może korzystać z kilku systemów wysyłających wiadomości: formularza kontaktowego, platformy marketingowej, programu do obsługi zgłoszeń, systemu powiadomień lub aplikacji działającej lokalnie. Jeżeli tylko część tych źródeł została uwzględniona w SPF albo wyposażona w prawidłowy podpis DKIM, kontrola DMARC może wykazywać niezgodności. Samo dodanie kolejnych adresów do SPF nie zawsze rozwiązuje sprawę, ponieważ rekord ma ograniczenia składniowe i powinien być utrzymywany w uporządkowanej formie.

Problemy mogą także wynikać z przekazywania wiadomości. Pośredni system może zmienić nagłówki, treść albo sposób prezentowania nadawcy, przez co pierwotny wynik kontroli przestaje być jednoznaczny. W niektórych przypadkach pomaga poprawne podpisywanie wiadomości po stronie źródłowej, w innych potrzebne jest dostosowanie zasad listy mailingowej. Diagnostyka powinna obejmować pełne nagłówki konkretnej wiadomości, rekordy DNS oraz logi procesu odbioru. Analiza wyłącznie komunikatu widocznego w programie pocztowym często nie wystarcza.

Ważnym źródłem pomyłek jest także nieprawidłowe rozumienie domeny użytej w polu From. To właśnie ona jest zwykle widoczna dla użytkownika i ma znaczenie przy ocenie zgodności DMARC. Techniczny adres zwrotny, domena użyta w ścieżce koperty oraz domena podpisu DKIM mogą być inne, lecz muszą spełniać wymagania określone przez wybrany tryb dopasowania. Różnica między dopasowaniem ścisłym i łagodnym może zmienić wynik oceny dla subdomen.

Podczas wdrażania trzeba zwrócić uwagę na logowanie. Zbyt mało informacji utrudnia ustalenie źródła błędu, natomiast zbyt szczegółowe logi mogą szybko zwiększać zajętość miejsca i utrudniać wyszukiwanie istotnych zdarzeń. Należy również kontrolować uprawnienia do plików konfiguracyjnych, poprawność ścieżek do certyfikatów oraz zgodność ustawień z wersją używanego pakietu. Aktualizacja bez sprawdzenia zmian w konfiguracji może spowodować odrzucanie wiadomości, które wcześniej były przyjmowane.

OpenDMARC – praktyczne wskazówki dotyczące wdrożenia

Bezpieczne wdrożenie warto rozpocząć od zebrania informacji o tym, skąd faktycznie wysyłana jest poczta dla danej domeny. Przydatne są raporty zbiorcze DMARC, zapisy z procesu odbioru oraz przykładowe wiadomości pochodzące z różnych formularzy i aplikacji. Na tym etapie lepiej obserwować wyniki niż natychmiast zaostrzać reakcję. Pozwala to odróżnić nieautoryzowane źródła od legalnych usług, które nie zostały jeszcze prawidłowo ujęte w dokumentacji.

Konfiguracja OpenDMARC powinna być czytelna i opisana. Warto zapisać, które ustawienie odpowiada za odczyt wyniku SPF, które za weryfikację zgodności domen, w jaki sposób przekazywany jest wynik do dalszego przetwarzania oraz co dzieje się z wiadomością po negatywnej ocenie. Przydatne jest także rozdzielenie decyzji technicznej od decyzji biznesowej. Oprogramowanie może stwierdzić niezgodność, lecz reguła decydująca o odrzuceniu, kwarantannie lub dostarczeniu wiadomości powinna uwzględniać znaczenie źródła, rodzaj korespondencji i możliwość wystąpienia błędów pośrednich.

Po zmianach należy wykonywać testy z kilku niezależnych źródeł. Warto sprawdzić wiadomość wysłaną bezpośrednio, wiadomość przekazaną przez pośrednią usługę, odpowiedź na istniejącą korespondencję oraz wiadomość z systemu generującego automatyczne powiadomienia. Każdy test powinien być oceniany na podstawie pełnych nagłówków i logów. Samo pojawienie się wiadomości w skrzynce nie świadczy jeszcze o poprawnej konfiguracji, ponieważ filtr może zaakceptować ją z innych powodów.

Przydatne jest utrzymywanie kopii konfiguracji przed każdą większą zmianą i prowadzenie krótkiego rejestru modyfikacji. Pozwala to szybko powiązać pogorszenie dostarczalności z konkretną aktualizacją rekordu DNS, zmianą klucza DKIM albo modyfikacją reguł odbioru. Należy też pamiętać o cyklicznym odnawianiu kluczy, kontroli wygasających certyfikatów oraz sprawdzaniu, czy dawne źródła wysyłki nie pozostały przypadkowo uprawnione.

OpenDMARC – kiedy zgłosić problem do serwisu komputerowego

Do serwisu warto zgłosić się wtedy, gdy wiadomości są odrzucane mimo prawidłowych ustawień nadawcy, wyniki SPF, DKIM i DMARC wzajemnie się różnią, po przekierowaniu zmienia się ocena wiadomości albo logi wskazują na błędy trudne do powiązania z konkretną regułą. Pomoc może być potrzebna także po zmianie domeny, dostawcy poczty, certyfikatu, systemu filtrującego lub urządzenia obsługującego odbiór. Przed zgłoszeniem dobrze przygotować przykładowe nagłówki, opis objawu i przybliżony moment wystąpienia problemu.

W Warszawskim Pogotowiu Komputerowym 24/7 można zlecić sprawdzenie konfiguracji stacji roboczej i oprogramowania używanego do obsługi poczty, a także uporządkowanie informacji potrzebnych do dalszej diagnostyki. Przy analizie OpenDMARC szczególne znaczenie ma zachowanie oryginalnych nagłówków oraz logów, ponieważ ich usunięcie może uniemożliwić ustalenie, na którym etapie pojawiła się niezgodność.

Nie każda sytuacja wymaga od razu wymiany sprzętu lub przebudowy całego środowiska. Często przyczyną jest literówka w rekordzie DNS, niespójna domena podpisu, nieaktualny klucz, zbyt szeroka reguła albo niewłaściwe przekazanie wyniku do filtra. Rzetelna diagnostyka powinna najpierw rozdzielić problem programowy, konfiguracyjny i sprzętowy, a dopiero potem wskazać zakres potrzebnych działań.