एक प्रमाणित संदेश में अभी भी धोखाधड़ी वाला अनुरोध हो सकता है। वह बयान नहीं बनता SPF, DKIM या DMARC महत्वहीन. यह उनकी सीमा को परिभाषित करता है।
ईमेल प्रमाणीकरण डोमेन पहचान और संदेश प्रबंधन के बारे में साक्ष्य प्रदान करता है। व्यवसाय प्राधिकरण एक अलग प्रश्न का उत्तर देता है: क्या यह व्यक्ति या सिस्टम यह अनुरोध करने का हकदार था, और क्या संगठन को इस पर कार्रवाई करनी चाहिए? एक सुरक्षित प्रक्रिया के लिए दोनों की आवश्यकता होती है।
पूछें कि पास वास्तव में क्या साबित करता है
अंतर्गत RFC 9989 §5.3.5 और RFC 9989 §5.4, एक संदेश-स्तरीय DMARC पास का मतलब है कि रिसीवर को कम से कम एक पासिंग SPF या DKIM पथ मिला है जिसका प्रमाणित डोमेन फ्रॉम में डोमेन के साथ संरेखित है। यह साबित नहीं होता:
- किस व्यक्ति ने खाते को नियंत्रित किया;
- कि खाते से समझौता नहीं किया गया था;
- कि कोई चालान या बैंक परिवर्तन वैध है;
- कि कोई लिंक या अनुलग्नक हानिरहित है;
- डोमेन वह ब्रांड है जो प्राप्तकर्ता के मन में था।
सटीक कथन उपयोगी है: संदेश ने एक डोमेन प्रस्तुत किया और उस डोमेन से संबंधित योग्यता प्रमाणीकरण साक्ष्य प्रस्तुत किया। इसे व्यापक दावे में बदलने से बचें कि प्रेषक या संदेश सुरक्षित है।
प्रतिक्रिया चुनने से पहले पहचान के दुरुपयोग को वर्गीकृत करें
अलग-अलग हमले एक इनबॉक्स में समान दिख सकते हैं लेकिन प्रमाणीकरण सीमा के विभिन्न किनारों पर होते हैं।
- पैटर्न: सटीक-डोमेन जालसाजी; प्रमाणीकरण क्या दिखा सकता है: कोई संरेखित मार्ग नहीं, रिसीवर के साक्ष्य और हैंडलिंग के अधीन; नियंत्रण और प्रतिक्रिया फोकस: DMARC नीति, प्रेषक कवरेज, रिसीवर नियंत्रण और जांच
- नमूना: समान दिखने वाला डोमेन; प्रमाणीकरण क्या दिखा सकता है: हमशक्ल अपने स्वयं के डोमेन को सफलतापूर्वक प्रमाणित कर सकता है; नियंत्रण और प्रतिक्रिया फोकस: डोमेन निगरानी, उपयोगकर्ता संकेत, फ़िल्टरिंग, रिपोर्टिंग और आनुपातिक दुरुपयोग कार्रवाई
- पैटर्न: प्रदर्शन-नाम धोखा; प्रमाणीकरण क्या दिखा सकता है: एक असंबंधित डोमेन एक परिचित नाम प्रस्तुत करते हुए प्रमाणित कर सकता है; नियंत्रण और प्रतिक्रिया फोकस: प्रदर्शन-नाम विश्लेषण, संदर्भ, उपयोगकर्ता रिपोर्टिंग और स्वतंत्र सत्यापन
- पैटर्न: समझौताकृत अधिकृत खाता; प्रमाणीकरण क्या दिखा सकता है: वास्तविक डोमेन प्रमाणीकरण पास कर सकता है; नियंत्रण और प्रतिक्रिया फोकस: खाता सुरक्षा, सत्र और साइन-इन जांच, रोकथाम और व्यवसाय सत्यापन
- पैटर्न: समझौता किया हुआ आपूर्तिकर्ता; प्रमाणीकरण क्या दिखा सकता है: आपूर्तिकर्ता का वास्तविक डोमेन पास हो सकता है; नियंत्रण और प्रतिक्रिया फोकस: आपूर्तिकर्ता घटना समन्वय, लेनदेन नियंत्रण और वैकल्पिक-चैनल पुष्टि
DMARC अपने द्वारा कवर की गई डोमेन पहचान के अनधिकृत उपयोग के खिलाफ सबसे मजबूत है। यह देखने में समान डोमेन का स्वामित्व नहीं बनाता है, प्रदर्शन नाम की सत्यता को सत्यापित नहीं करता है या यह तय नहीं करता है कि वास्तविक खाते का उपयोग उचित अधिकार के साथ किया गया था या नहीं।
एक काल्पनिक भुगतान-परिवर्तन घटना का अनुसरण करें
निम्नलिखित परिदृश्य सिंथेटिक है. इसे ग्राहक की घटना का संकेत दिए बिना साक्ष्य श्रृंखला दिखाने के लिए डिज़ाइन किया गया है।
एक वित्त कर्मचारी को एक अनुरोध प्राप्त होता है accounts@supplier.example बैंक विवरण बदलने के लिए कहा जा रहा है। लागू नीति को मानते हुए, विश्वसनीय रिसीवर परिणाम एक संरेखित DKIM पास दिखाते हैं supplier.example, इसलिए संदेश DMARC पास हो जाता है। सूत्र का इतिहास और लेखन शैली भी परिचित लगती है।
कर्मचारी उन संकेतों के आधार पर परिवर्तन को मंजूरी नहीं देता है। वे पहले से सत्यापित आपूर्तिकर्ता नंबर पर कॉल करते हैं और सीखते हैं कि मेलबॉक्स से छेड़छाड़ की गई थी। संगठन अनुरोधित परिवर्तन को रोक देता है, मूल संदेश को सुरक्षित रखता है और आपूर्तिकर्ता को टाइमस्टैम्प और प्रासंगिक हेडर प्रदान करता है।
प्रमाणीकरण ने डिज़ाइन के अनुसार काम किया: इससे पता चला कि संदेश ने आपूर्तिकर्ता के प्रमाणित डोमेन का उपयोग किया था। स्वतंत्र सत्यापन नियंत्रण ने एक अनधिकृत लेनदेन को रोक दिया, जिस पर डोमेन प्रमाणीकरण निर्णय नहीं ले सका।
प्रोटोकॉल साक्ष्य और व्यावसायिक साक्ष्य सुरक्षित रखें
किसी परिणामी घटना के लिए, संपादित प्रति तैयार करने से पहले एक एक्सेस-नियंत्रित मूल संदेश को बनाए रखें। RFC 8601 §7.1 विश्वसनीय परिणाम सीमाओं को परिभाषित करता है; हस्ताक्षरित सामग्री में संपादन के तहत पुनः सत्यापन प्रभावित हो सकता है RFC 6376 §3.7. उपयोगी तकनीकी साक्ष्य में विश्वसनीय शामिल हो सकते हैं Authentication-Results, प्रासंगिक प्राप्त फ़ील्ड, से, उत्तर-प्रति, Return-Path, DKIM हस्ताक्षर, संदेश पहचानकर्ता, टाइमस्टैम्प और प्राप्त लॉग।
उपयोगी व्यावसायिक साक्ष्य में अनुरोध, इच्छित कार्रवाई, स्थापित अनुमोदन नियम, सत्यापन के लिए उपयोग की जाने वाली संपर्क विधि और परिणाम शामिल हैं। तथ्यों को अनुमान से अलग रखें. एक कच्चा पास समझौते का प्रमाण नहीं है, और DMARC विफलता इस बात का प्रमाण नहीं है कि नुकसान हुआ है।
अंतर्गत RFC 9990 §3.1, समग्र DMARC रिपोर्टें डोमेन मालिकों को देखे गए प्रमाणीकरण और स्वभाव पैटर्न को समझने में मदद कर सकती हैं। वे व्यक्तिगत संदेशों का पूरा रिकॉर्ड नहीं हैं, और वे आम तौर पर यह तय करने के लिए आवश्यक सामग्री प्रदान नहीं करते हैं कि कोई विशेष अनुरोध अधिकृत था या नहीं। अंतर्गत RFC 9989 §5.3.9, विफलता रिपोर्ट, जहां उत्पन्न हो, वहां सावधानीपूर्वक गोपनीयता और पहुंच प्रबंधन की आवश्यकता होती है और ये सार्वभौमिक रूप से उपलब्ध नहीं होते हैं।
संवेदनशील वर्कफ़्लोज़ में स्वतंत्र सत्यापन बनाएँ
उच्च-प्रभाव वाली कार्रवाइयों में ऐसे नियंत्रणों का उपयोग करना चाहिए जो केवल आने वाले संदेश पर निर्भर न हों। उदाहरणों में शामिल हैं:
- पहले से अनुमोदित चैनल के माध्यम से बैंक-विवरण परिवर्तनों का सत्यापन करना;
- निर्धारित सीमा से ऊपर भुगतान के लिए दोहरी स्वीकृति की आवश्यकता;
- किसी ईमेल थ्रेड को अनुरोध और सत्यापन संपर्क दोनों की आपूर्ति करने से रोकना;
- संवेदनशील डेटा विनिमय के लिए प्रमाणित पोर्टल का उपयोग करना;
- तत्काल गोपनीयता, असामान्य समय या नियंत्रण बाईपास को जोखिम संकेत के रूप में मानना।
ये व्यावसायिक नियंत्रण हैं, प्रमाणीकरण के विकल्प नहीं। प्रमाणीकरण डोमेन उपयोग के बारे में अस्पष्टता को कम करता है, जबकि लेनदेन नियंत्रण प्रमाणित लेकिन अनधिकृत अनुरोध के परिणाम को कम करता है।
कार्यक्रम को कमजोर किये बिना सीमा का संचार करें
यह कहते हुए कि DMARC हर किसी को नहीं रोकता है फ़िशिंग तकनीक सटीक है. इसलिए यह कहना कि यह अप्रभावी है, सही नहीं है। एक लागू नीति संरक्षित डोमेन के सफल अनधिकृत उपयोग को कम कर सकती है, प्राप्तकर्ता साक्ष्य में सुधार कर सकती है और वैध प्रेषण पथों के स्वामित्व को स्पष्ट कर सकती है।
सही संदेश स्तरित है: डोमेन की सुरक्षा करें, खातों को सुरक्षित करें, समान दिखने वाले और भ्रामक प्रस्तुति का पता लगाएं, और संवेदनशील कार्यों को स्वतंत्र रूप से सत्यापित करें। उपयोग DMARC पहचान मार्गदर्शिका डोमेन-स्तरीय परिणाम के लिए और प्रेषक सूची अधिकृत-सेवा स्वामित्व के लिए.
निष्कर्ष को साक्ष्य के भीतर रखें
काल्पनिक भुगतान-परिवर्तन मामला दो स्वतंत्र परिणाम रखता है: डोमेन प्रमाणीकरण पारित; अलग-अलग सत्यापन के बाद प्रस्तावित लेनदेन को मंजूरी नहीं दी गई। अकेले पास से समझौते की सूचना न दें। केवल अधिकृत घटना प्रकटीकरण को सुरक्षित रखें और आने वाले अनुरोध के बाहर एक विश्वसनीय सत्यापन संपर्क रखें। किसी भी आपूर्तिकर्ता से संपर्क नहीं किया गया और कोई लेनदेन या घटना प्रतिक्रिया नहीं की गई।