zbyt liberalna polityka DMARC

Zbyt liberalna polityka DMARC, np. p=none, nie chroni skutecznie przed podszywaniem się pod domenę.

Mechanizm działania polityki DMARC na poziomie none

DMARC (Domain-based Message Authentication, Reporting, and Conformance), opisany szczegółowo w dokumencie RFC 7489, to mechanizm weryfikacji poczty elektronicznej, który opiera się na dwóch wcześniejszych standardach bezpieczeństwa: SPF (Sender Policy Framework) oraz DKIM (DomainKeys Identified Mail). Konfiguracja DMARC odbywa się poprzez opublikowanie odpowiedniego rekordu tekstowego (TXT) w strefie DNS domeny nadawcy. Zbyt liberalna polityka, definiowana w strukturze rekordu parametrem p=none (od ang. policy=none), to tak zwany tryb monitorowania. W tym stanie mechanizm jest prawidłowo zadeklarowany, ale nie podejmuje żadnych działań restrykcyjnych wobec wiadomości, które nie przeszły procesu uwierzytelnienia na serwerze docelowym. Podczas gdy serwer odbiorcy odbiera wiadomość (MTA - Mail Transfer Agent) i przeprowadza jej ewaluację, sprawdza dopasowanie (tzw. alignment) domeny widocznej dla czytelnika w nagłówku "From" (zgodnie ze standardem RFC 5322) z domeną wskazaną w nagłówku protokołu SMTP "Mail From" (stanowiącym podstawę dla weryfikacji SPF) lub z domeną podpisującą zawartą w strukturze nagłówka DKIM.

Jeśli logika weryfikacyjna wykaże brak dopasowania lub całkowity brak poprawnych rekordów SPF i kryptograficznych podpisów DKIM, polityka p=none jednoznacznie nakazuje serwerowi docelowemu zignorowanie tego faktu. W efekcie, serwer przepuszcza wiadomość do skrzynki odbiorczej użytkownika lub ewentualnie przekazuje ją do oddzielnej oceny przez standardowe filtry heurystyczne antyspamowe, nie traktując negatywnego wyniku DMARC jako czynnika dyskwalifikującego transakcję. Głównym zadaniem trybu none jest pasywne zbieranie danych analitycznych. Za pomocą znaczników rua (wskazujących adresy e-mail do przyjmowania raportów zagregowanych) oraz ruf (dla raportów szczegółowych o awariach), właściciel domeny otrzymuje cyklicznie generowane pliki w formacie XML. Raporty te zawierają informacje o adresach IP wysyłających pocztę w imieniu danej domeny oraz odsetku wiadomości przechodzących lub oblewających zdefiniowane testy autoryzacyjne.

Analiza porównawcza trybów egzekwowania reguł i ryzyko spoofingu

Utrzymywanie polityki DMARC na poziomie p=none przez dłuższy czas generuje lukę w warstwie autoryzacji komunikacji pocztowej. Dokumentacja tego standardu technicznego przewiduje tryb monitorowania wyłącznie jako krótki etap przejściowy. Jego celem inżynieryjnym jest zmapowanie wszystkich autoryzowanych źródeł emisji wiadomości, takich jak systemy CRM, rozbudowane aplikacje marketingowe czy zewnętrzne usługi chmurowe typu SaaS. Etap ten służy zidentyfikowaniu błędów w konfiguracji podpisów DKIM lub wpisów SPF i ich korekcie bez ryzyka odrzucenia prawidłowej komunikacji biznesowej. Docelowymi trybami zapewniającymi faktyczną ochronę infrastruktury są p=quarantine, powodujący alokację nieautoryzowanych wiadomości do folderu spam u odbiorcy, oraz p=reject, powodujący odrzucanie sfałszowanych pakietów danych już na poziomie transakcji SMTP (zwykle na etapie komendy DATA), co skutkuje błędem z serii 5xx odesłanym do serwera nadającego.

Pozostawienie polityki na stałe w trybie monitorowania sprawia, że mechanizm jest bezużyteczny w kontekście blokowania ataków typu direct-domain spoofing. Atakujący mogą emitować maile zawierające złośliwy kod (malware, ransomware) lub linki phishingowe, w których sfabrykowany nagłówek "From" widoczny w kliencie pocztowym ofiary zawiera adres e-mail precyzyjnie zgadzający się z domeną mającą ustawione p=none. Odbiorcze systemy pocztowe odczytują rekord DNS, interpretują instrukcję "none" i zgodnie z bezpośrednim poleceniem administratora domeny zaniechują blokowania sfalsyfikowanej wiadomości na podstawie samego wyniku oceny DMARC. Z technicznego punktu widzenia ustawienie p=none informuje potencjalnego intruza, który może odpytać publiczny serwer DNS o zawartość rekordu _dmarc, że dana domena nie realizuje aktywnego blokowania nadużyć.

Wyzwania analityczne w środowiskach rozproszonych i ograniczenia standardu

Administratorzy systemów serwerowych powstrzymują migrację z poziomu p=none z obawy przed odrzuceniem poprawnego ruchu pocztowego, co klasyfikowane jest jako kategoria błędów false positive. Poprawna interpretacja i korelacja napływających plików XML wymaga użycia wyspecjalizowanych narzędzi agregujących. Surowe raporty DMARC zawierają bowiem obszerne zbiory danych adresacji IPv4 i IPv6, z których część rotuje dynamicznie w wielkich infrastrukturach chmurowych. Trudnym w analizie przypadkiem, powodującym awarie weryfikacji DMARC nawet przy poprawnej konfiguracji startowej, są węzły pośredniczące w dostarczaniu poczty. Należą do nich między innymi listy dyskusyjne oraz reguły automatycznego przekazywania kopii wiadomości na inne konta pocztowe (forwarding). Serwer przekazujący pocztę generuje nowe połączenie SMTP, co zmienia źródłowy adres IP i z reguły anuluje pozytywną ocenę algorytmu SPF.

Wybrane serwery modyfikują również strukturę wiadomości, na przykład dopisując stopkę systemową lub ingerując w nagłówki, co skutkuje brakiem zgodności obliczonej sumy kontrolnej w sygnaturze DKIM. W takich warunkach technicznych test DMARC na serwerze docelowym kończy się statusem negatywnym. Do minimalizacji tych problemów w procesie przechodzenia na politykę reject, inżynierowie implementują protokół ARC (Authenticated Received Chain). Standard ten pozwala zachować kryptograficznie zabezpieczone wyniki weryfikacji z poprzednich etapów tranzytu poczty. Należy dodatkowo zaznaczyć, że mechanizm DMARC, niezależnie od zdefiniowanej polityki, skupia się jedynie na ochronie precyzyjnego dopasowania nazwy domenowej. Standard ten nie analizuje treści wiadomości ani nie powstrzymuje ataków z użyciem domen homograficznych lub wizualnie zbliżonych (typosquatting), gdzie rejestrowana jest nazwa różniąca się od oryginału wybranymi znakami.

Brak korelacji administracji domeną z usługami serwisu elektroniki użytkowej

Modyfikacja publicznych rekordów DNS, publikacja wpisów w celu rygorystycznej konfiguracji uwierzytelnienia DMARC, SPF oraz wdrażanie certyfikatów DKIM to zadania przypisane do inżynierów do spraw cyberbezpieczeństwa w warstwie infrastruktury logicznej. Zarządzanie serwerami pocztowymi realizowane jest w modelu zdalnym lub bezpośrednio w centrach danych. Warszawskie Pogotowie Komputerowe jest placówką o odmiennym profilu, zorientowaną wyłącznie na fizyczną i układową naprawę powierzonego sprzętu elektronicznego. Zakres prac takiego warsztatu to precyzyjne lutowanie mikroukładów w obudowach BGA na płytach głównych, programowanie wsadów BIOS w kościach pamięci, diagnostyka i wymiana zwartych kondensatorów w sekcjach zasilania, montaż nowych matryc LCD oraz odzyskiwanie danych z uszkodzonych dysków talerzowych i nośników SSD.

Brak wdrożenia ochrony poczty elektronicznej lub zatrzymanie się na trybie monitorowania nie wykazuje żadnego związku z fizycznymi awariami sprzętu konsumenckiego. Konfiguracja centralnego serwera pocztowego nie jest powiązana z systemem operacyjnym działającym na laptopie klienta oddanym do naprawy serwisowej. Wszelkie incydenty związane z dostarczalnością wiadomości pocztowych lub wykrytym spoofingiem adresów e-mail wymagają eskalacji do dostawcy hostingu, operatora usług chmurowych lub działu IT zarządzającego siecią wewnętrzną, wykraczając w pełni poza ramy działalności lokalnego serwisu komputerowego zajmującego się podzespołami bazowymi.