Udtrykket DMARC bypass kan beskrive meget forskellige hændelser. Et gyldigt pass fra en overautoriseret kilde, levering på trods af et svigtende resultat og en implementeringsfejl er ikke den samme fejl. Start med en forfalskbar påstand: Hvilken identitet blev hævdet, hvilket bevis blev stolet på, og hvilken beslutning afveg fra den forventede regel?
Rekonstruer den observerede beslutning
Bevar forfatterdomænet, konvolutdomænet, signeringsdomæner, betroede godkendelsesresultater og modtagerdisposition. Registrer politik og observationstid. En meddelelse, der leveres, beviser ikke i sig selv et DMARC beløb. Modtagerhåndtering omfatter lokal politik, og en domæneejers anmodede behandling er ikke en universel leveringsgaranti. RFC 9989.
Ligeledes en kopi Authentication-Results streng er ikke bevis for det modtagende systems beslutning. Etabler den betroede autentificeringstjeneste og relevante hop. RFC 8601. Hvis det eneste bevis er et skærmbillede, der siger bestået, skal du bevare kravet som uløst, indtil de underliggende identiteter og tillidskontekst er tilgængelige.
Adskil overautorisation fra regelunddragelse
BreakSPF undersøger, hvor eftergivende SPF autorisation og adgang til delt infrastruktur kan tillade spoofing. Dens trusselsmodel giver angriberen en kvalificeret kildesti; modtageren kan derefter vurdere den offentliggjorte autorisation som skrevet. BreakSPF, afsnit III.A og figur 3.
Hvis den angriberkontrollerede kilde er inden for et autoriseret område og bruger en tilpasset kuvertidentitet, kan den almindelige pass-regel lykkes. Svagheden ligger i den tildelte autoritet eller tjenestegrænsen, snarere end en ny definition af DMARC . Omvendt, hvis kun en ikke-relateret identitet godkendes, og forfatterdomænet ikke er justeret, skal et påstået pass have en anden forklaring.
Klassificer tre hypotetiske fund
Antag en enkelt synlig From alerts@brand.test og en ellers kvalificeret DMARC evaluering. Disse er skrevne hypoteser, ikke observerede hændelser.
- Autorisationssag: kilde 192.0.2.99 er inden for et fastsat SPF ip4:192.0.2.0/24 ; MAIL FRA bounce@brand.test består SPF ; ingen DKIM signatur. Den justerede SPF sti giver et DMARC -pas på meddelelsesniveau. Spørg, om denne kilde virkelig kan kontrolleres af en utilsigtet afsender, og hvilken ejer der har givet den autoritet.
- Behandlingssag: MAIL FRA bounce@other.test består SPF og DKIM d=other.test passes, but assume neither aligns with brand.test. DMARC fails. If the trusted receiver record separately says delivered, investigate its handling policy; delivery alone has not changed the failed justering resultat.
- Bevissag: En kopieret overskrift siger bestået, men betroet modtageroprindelse, evaluerede identiteter og anvendt politik er ukendt. Hverken en protokolbrud eller et pålideligt pas er etableret. Anmod om originalen og modtagersiden.
En autoriseret positiv afsender 192.0.2.10 og en ekstern kilde 198.51.100.10 kan levere foreslåede kontroller ved undersøgelse af den første sag. En hypotetisk ip4:192.0.2.10/32 -all record tillader kun førstnævnte; ingen reel produktionsændring følger af denne præfiks-aritmetik. Der er ingen udført parser, signaturkontrol eller udnyttelse her.
RFC9989 afsnit 7.4 kræver gyldig DKIM til domæneudgivelse p=reject. En bestået tilpasset SPF mekanisme er tilstrækkelig til en bestemt meddelelses beståelsestilstand, men er ikke en anbefaling for kun SPF-håndhævelse.
Gør opdagelsen handlingsdygtig
Navngiv den reproducerede tilstand, og beviserne mangler stadig. Et nyttigt fund siger, at en specificeret kilde er indrømmet med en specificeret autorisation og identificerer den ansvarlige ejer. Det siger ikke, at al DMARC beskyttelse er besejret. Tjek, om den rigtige tjeneste begrænser lejers identiteter, om kilden faktisk er kontrollerbar, og om modtageren har anvendt det påståede resultat.
Bevar en harmløs autoriseret positiv kontrol, når du tester en foreslået afhjælpning. Indsnævring af et område eller ændring af en forbindelse kan bryde legitime afsendere. Kræv rutespecifik ændringsgodkendelse og bekræftelse efter ændring, og hold udbyderadfærd, der ikke er testet i laboratoriet, eksplicit uløst. Dette understøtter en præcis løsning uden at overdrive en uddannelsesmodel til en produktionssårbarhed.