Authentication-Results ermöglicht einem Mailsystem die Übermittlung von Authentifizierungsbewertungen an nachgelagerte Komponenten. Dies ist gerade deshalb nützlich, weil ein Filter oder eine Benutzeroberfläche möglicherweise nicht jede Originalprüfung wiederholt. Diese Nützlichkeit schafft auch eine Sicherheitsabhängigkeit: Der Verbraucher muss wissen, welchen Bericht des Bewerters er liest und ob ein Angreifer diesen Bericht hätte liefern können.
Lesen Sie das Ergebnis zusammen mit seiner Identität
Das Feld enthält eine Authentifizierungsdienst-ID, üblicherweise authserv-id genannt, gefolgt von Methodenergebnissen und Eigenschaften. Ein Ergebnis wie spf=pass benötigt die zugehörige ausgewertete Identität; dkim=pass betrifft eine bestimmte Signaturdomäne; dmarc=pass betrifft die entsprechende Autorendomäne Ausrichtung Auswertung. Sammeln Sie das Wort „pass“ an keiner Stelle in der Kopfzeile und zeigen Sie einen universellen authentifizierten Ausweis an. RFC 8601 Abschnitte 2.2 und 2.7.
Der Authentifizierungsdienstbezeichner benennt den Berichtsdienst im relevanten Verwaltungskontext. Es handelt sich nicht um eine Signatur über dem Feld. Ein Absender kann denselben Bezeichner in eine Nachricht eingeben, es sei denn, die Grenzbehandlung verhindert, dass dieses nicht vertrauenswürdige Feld mit einem lokal generierten Feld verwechselt wird.
Definieren Sie die vertrauenswürdigen Quellen des Verbrauchers
Richten Sie den tatsächlichen Empfangspfad ein, einschließlich genehmigter Upstream-Gateways und interner Relays. Dokumentieren Sie, welche Service-IDs erwartet werden, welche Komponenten Ergebnisse generieren und wie externe Felder entfernt oder als nicht vertrauenswürdig beibehalten werden. Die Sicherheitsrichtlinien von RFC 8601 befassen sich mit diesem Vertrauensgrenzenproblem. Schließen Sie nicht allein aus einem plausiblen Hostnamen oder dem Feld, das oben in einer kopierten Nachricht erscheint, auf eine sichere Konfiguration. RFC 8601 Abschnitt 7.
Eine Konfigurationsänderung an einem Upstream-Gateway kann sich darauf auswirken, welche Ergebnisse im Downstream nützlich sind. Überprüfen Sie die Abhängigkeit, anstatt einfach jede neue Kennung einer vertrauenswürdigen Liste hinzuzufügen. Eine veraltete Vertrauensentscheidung kann ein ansonsten gut analysiertes Ergebnis irreführend machen.
Lesen Sie einen hypothetischen methodenspezifischen Bericht
Angenommen, der etablierte Empfangsauswerter meldet spf=pass für smtp.mailfrom= vendor.example und dkim=pass für den Header. d=brand.example und dmarc=pass für Header. from=brand.example. SPF pass wird nicht ausgerichtet, nur weil es pass sagt; das genaue DKIM Die signierende Domäne stimmt in diesem Beispiel mit der Autorendomäne überein. Die berichtet DMARC Das Ergebnis ist daher mit dieser abgestimmten Signatur kompatibel, sofern eine anwendbare Richtlinie vorliegt und kein ungelöster Bewertungsfehler vorliegt.
Nehmen wir nun an, dass ein anderer Feldteilnehmer spf= meldettemperror. Überschreiben Sie nicht das erste SPF Ergebnis, ohne dessen Evaluator, Hop und ausgewertete Identität zu identifizieren. Die beiden Berichte können unterschiedliche Bewertungen beschreiben. Wenn dieser Kontext fehlt, melden Sie den Konflikt und die Unsicherheit. Hierbei handelt es sich um hypothetische Berichtswerte, nicht um unabhängig berechnete SPF , DKIM oder DMARC -Ergebnisse.
Eine nützliche Verbraucherausgabe benennt den vertrauenswürdigen Evaluator und zeigt jede Methode, Domäne und jedes Ergebnis separat an. Es darf keinen nicht vertrauenswürdigen gleichnamigen Bericht befördern, nur weil sein Hostname dem konfigurierten Dienst ähnelt.
Behalten Sie die Nuancen im Urteil bei
Halten Sie die Methodenergebnisse getrennt, einschließlich der Status „Keine“, „Fehler“ und „Fehler“. Ein fehlendes Ergebnis ist kein von Ihnen beobachteter Fehler und ein vorübergehendes Auswertungsproblem ist kein Beweis dafür, dass die permanente Konfiguration der Domäne falsch ist. Korrelieren Sie den ausgewählten Bericht vor der Behebung mit Nachrichten- und Verbindungsnachweisen. Beenden Sie den Bericht mit dem Berichtsdienst, seiner etablierten Vertrauensbasis, der Methode und Identität sowie der Grenze der Schlussfolgerung. Die Authentifizierung kann Routing- oder Filterentscheidungen unterstützen, ohne die Absicht des Absenders zu bestätigen.
Notieren Sie, was jedes Ergebnis tatsächlich bedeutet
- Bewerter: Benennen Sie die Dienstleistung und die Beweise, die ihre Herkunft belegen.
- Methode: SPF , DKIM und DMARC als separate Ergebnisse beibehalten.
- Identität: Hängen Sie die ausgewertete Domäne oder Eigenschaft an ihr eigenes Ergebnis an.
- Unsicherheit: Die Zustände „fehlend“, „keine“, „fehlgeschlagen“ und „Fehler“ müssen unterschiedlich sein.
- Verbraucher: Bestätigen Sie, dass Gateway-Änderungen die Vertrauenskonfiguration nicht ungültig gemacht haben.