En nedstrøms DMARC pass ikke fastslår, at den person, der startede en meddelelse, var autoriseret til at bruge dens synlige afsender. LaunDroMARC-undersøgelsen fra december 2025 fra Engage Security beskriver en indirekte rute, hvor remailing ændrer identiteten vurderet af SPF. Forstå de enkelte hop, før du beskriver opdagelsen som en universel DMARC bypass eller antager, at alle Microsoft-lejere opfører sig på samme måde i dag.
Adskil de to beviskilder
Den originale forsker beskriver en indgående meddelelse, der bestod SPF for sit eget konvolutdomæne, men som fejlede DMARC mod det imiterede synlige From-domæne. I det rapporterede tilfælde omskrev en Microsoft 365 -videresendelsessti konvolutten til videresendelsesdomænet, som også matchede det synlige Fra-domæne. Den endelige modtager observerede derefter justeret SPF . Forskerne rapporterer om forskellig behandling af originalen og de fremsendte kopier. Disse er tilskrevet resultater fra deres undersøgelse, ikke bemærkninger til denne gennemgang. Engager sikkerhedsforskning.
Microsofts dokumentation forklarer det SRS ændringer MAIL FRA, ikke det synlige Fra-felt, og giver omskrivningsmønstre for relevante videresendelsesruter. Den advarer også om, at SRS normalt ikke løser DMARC justering for videresendt post. Disse udsagn er forenelige med forskningens særlige identitetssammenfald: normalt adskiller det originale From-domæne sig fra speditørens domæne; den anmeldte sag involverer bevidst det samme domæne. Microsoft SRS dokumentation.
Forstå nedstrømsdommen
Referencer: RFC 9989 §4.4, RFC 8601 §5.
SPF spørger, om den forbindende vært er autoriseret til kuvertidentiteten ved det hop. DMARC sammenligner et godkendt domæne med det synlige Fra-domæne. Ingen af resultaterne, stående alene, rekonstruerer, hvordan den oprindelige skuespiller fik adgang til en videresendelsesarbejdsgang. Et nedstrøms justeret resultat kan derfor være korrekt for de evaluerede identiteter, mens det stadig er utilstrækkeligt bevis for virksomhedsautorisation.
Fortolk ikke en SRS-lignende Return-Path som bevis på, at Microsoft har produceret det. Bevar den endelige modtagers betroede resultater, peer-oplysninger og meddelelsessporing, og sammenlign beviser fra grænserne for modtagelse og videresendelse. Vilkårlig indlejret Authentication-Results tekst er ikke en betroet dom. RFC 8601 forklarer tillidsgrænsekravet; RFC 9989 leverer domænetilpasningskonteksten.
Gengiv kun identitetssammenligningen
Privatanmeldelsespakkens manglende leveringsmodel indeholder to fiktive sager. I det normale tilfælde adskiller det oprindelige synlige author.test-domæne sig fra den omskrevne forwarder.test-konvolut, så det antagede, at SPF passagen nedstrøms forbliver ujusteret. I det andet tilfælde er det synlige domæne forwarder.test; den samme omskrevne konvolut er nu på linje. Begge begynder med et andet originalt konvolutdomæne og ikke justeret DKIM.
De tilbageholdte armaturets input blev genberegnet offline den 8. november 2026 ved hjælp af denne sammenligning af nøjagtigt domæne. Den sender ikke spoofed mail, opretter videresendelsesregler, udøver Exchange Online , implementerer SRS-hashes eller beviser, at en nuværende lejer accepterer ruten. Dens formål er at forklare, hvorfor de to domme adskiller sig uden at gengive et angreb mod en rigtig tjeneste. Historisk leverandøradfærd, nuværende lejeradfærd og den abstrakte sammenligning forbliver særskilt mærket.
Undersøg defensivt
Lagergodkendt ekstern spedition og dens virksomhedsejere. For en formodet hændelse skal du bevare originalen og de videresendte kopier, tidsstempler, routingmetode, godkendelse før videresendelse og endelige resultater. Gennemgå udbyderens aktuelle dokumentation og meddelelsessporing, før du ændrer en regel. Microsoft-kilden skelner relevant videresendelse fra relay-pool og lokale sager, så et enkelt konfigurationskrav er ikke nok til at dække hver sti.
Anvend ændringer gennem organisationens godkendte mail-sikkerhedsproces og test legitime arbejdsgange bagefter. Undgå brede tillade regler, der udelukkende er baseret på udbyderens infrastruktur eller downstream pass resultater. Denne artikel fastlægger mekanismen og undersøgelsesspørgsmål. Den hævder ikke en ubekræftet afhjælpningsdato, universel eksponering, vellykket udnyttelse eller en aktuel Microsoft-servicedefekt.