Der Satz DMARC Bypass kann sehr unterschiedliche Ereignisse beschreiben. Ein gültiger Pass von einer überautorisierten Quelle, die Lieferung trotz eines fehlgeschlagenen Ergebnisses und ein Implementierungsfehler sind nicht dasselbe Fehlschlag. Beginnen Sie mit einer fälschbaren Behauptung: Welche Identität wurde behauptet, welchen Beweisen wurde vertraut und welche Entscheidung wich von der erwarteten Regel ab?
Rekonstruieren Sie die beobachtete Entscheidung
Behalten Sie die Autorendomäne, die Umschlagdomäne, die Signaturdomänen, die vertrauenswürdigen Authentifizierungsergebnisse und die Empfängerdisposition bei. Notieren Sie die Richtlinie und die Beobachtungszeit. Eine zugestellte Nachricht allein beweist nicht, dass DMARC bestanden wurde. Die Handhabung des Empfängers umfasst lokale Richtlinien und die von einem Domaininhaber gewünschte Behandlung ist keine universelle Zustellungsgarantie. RFC 9989.
Ebenso ein kopiertes Authentication-Results Die Zeichenfolge ist kein Beweis für die Entscheidung des empfangenden Systems. Richten Sie den vertrauenswürdigen Authentifizierungsdienst und den relevanten Hop ein. RFC 8601. Wenn der einzige Beweis ein Screenshot mit der Aussage „Bestanden“ ist, bewahren Sie den Anspruch als ungelöst auf, bis die zugrunde liegenden Identitäten und der Vertrauenskontext verfügbar sind.
Trennen Sie Überautorisierung von Regelumgehung
BreakSPF untersucht, wie freizügig SPF Autorisierung und Zugriff auf die gemeinsam genutzte Infrastruktur können dies zulassen Spoofing. Sein Bedrohungsmodell gibt dem Angreifer einen geeigneten Quellpfad; Der Empfänger kann dann die veröffentlichte Autorisierung als schriftlich bewerten. BreakSPF, Abschnitt III.A und Abbildung 3.
Wenn sich die vom Angreifer kontrollierte Quelle innerhalb eines autorisierten Bereichs befindet und eine angepasste Umschlagidentität verwendet, kann die normale Pass-Regel erfolgreich sein. Die Schwäche liegt in der gewährten Autorität oder der Dienstgrenze und nicht in einer neuen Definition von DMARC . Wenn umgekehrt nur eine nicht verwandte Identität authentifiziert wird und die Autorendomäne nicht abgeglichen ist, bedarf ein beanspruchter Pass einer anderen Erklärung.
Klassifizieren Sie drei hypothetische Ergebnisse
Gehen Sie von einem einzigen sichtbaren Absender alerts@brand.test und einer ansonsten zulässigen DMARC Bewertung aus. Dabei handelt es sich um schriftliche Hypothesen, nicht um beobachtete Vorfälle.
- Autorisierungsfall: Quelle 192.0.2.99 liegt innerhalb eines festgelegten SPF ip4:192.0.2.0/24 ; POST VON bounce@brand.test besteht SPF ; NEIN DKIM Signatur. Der ausgerichtete SPF Pfad ergibt einen DMARC -Pass auf Nachrichtenebene. Fragen Sie, ob diese Quelle wirklich von einem unbeabsichtigten Absender kontrolliert werden kann und welcher Eigentümer ihr die Berechtigung erteilt hat.
- Bearbeitungsfall: MAIL FROM bounce@other.test besteht SPF und DKIM d=other.test passes, but assume neither aligns with brand.test. DMARC fails. If the trusted receiver record separately says delivered, investigate its handling policy; delivery alone has not changed the failed Ausrichtung Ergebnis.
- Beweisfall: Ein kopierter Header sagt „Bestanden“, aber der Ursprung des vertrauenswürdigen Empfängers, die ausgewerteten Identitäten und die angewendete Richtlinie sind unbekannt. Es liegt weder ein Protokollverstoß noch ein vertrauenswürdiger Pass vor. Fordern Sie das Original und die empfängerseitige Aufzeichnung an.
Ein autorisierter positiver Absender 192.0.2.10 und eine externe Quelle 198.51.100.10 können bei der Untersuchung des ersten Falls vorgeschlagene Kontrollen bereitstellen. Ein hypothetischer ip4:192.0.2.10/32 -all Datensatz lässt nur ersteres zu; Aus dieser Präfixarithmetik ergibt sich keine wirkliche Produktionsänderung. Hier gibt es keinen ausgeführten Parser, keine Signaturprüfung oder Exploit.
RFC9989 Abschnitt 7.4 erfordert gültiges DKIM für die Veröffentlichung von Domains p=reject. Ein passing-aligned SPF Mechanismus reicht für die Pass-Bedingung einer bestimmten Nachricht aus, ist jedoch keine Empfehlung für die reine SPF-Durchsetzung.
Machen Sie die Feststellung umsetzbar
Nennen Sie den reproduzierten Zustand und die noch fehlenden Beweise. Eine nützliche Erkenntnis besagt, dass eine bestimmte Quelle durch eine bestimmte Autorisierung zugelassen ist und den verantwortlichen Eigentümer identifiziert. Es heißt nicht, dass der gesamte DMARC Schutz außer Kraft gesetzt ist. Prüfen Sie, ob der tatsächliche Dienst Mieteridentitäten einschränkt, ob die Quelle tatsächlich kontrollierbar ist und ob der Empfänger das behauptete Ergebnis angewendet hat.
Bewahren Sie beim Testen einer vorgeschlagenen Schadensbegrenzung eine harmlose autorisierte Positivkontrolle auf. Durch das Einschränken eines Bereichs oder das Ändern eines Connectors können legitime Absender beschädigt werden. Fordern Sie eine routenspezifische Änderungsgenehmigung und eine Überprüfung nach der Änderung und lassen Sie das Verhalten des Anbieters, das nicht im Labor getestet wurde, ausdrücklich ungelöst. Dies unterstützt eine präzise Behebung, ohne ein pädagogisches Modell zu einer Produktionsschwachstelle zu übertreiben.