ब्रेकएसपीएफ अनुसंधान: वास्तविक प्रेषक और प्राप्तकर्ता के व्यवहार के आधार पर निष्कर्षों का आकलन करें

एनडीएसएस 2024 में प्रकाशित ब्रेकएसपीएफ इस बात की जांच करता है कि साझा बुनियादी ढांचा कैसे अत्यधिक व्यापक हो सकता है SPF प्राधिकरण. इसका केंद्रीय परिचालन सबक यह पूछना है कि अधिकृत पते से ट्रैफ़िक कौन उत्पन्न कर सकता है, न कि केवल क्या एक अभिलिखित वाक्यविन्यास की दृष्टि से मान्य है। एक ऐतिहासिक शोध निष्कर्ष वर्तमान कॉन्फ़िगरेशन का आकलन करने का एक कारण है, न कि इस बात का प्रमाण कि नामित प्रदाता असुरक्षित बना हुआ है।

शोध परिणाम को आज की प्रणाली से अलग करें

मूल पेपर हमलावर-सुलभ बुनियादी ढांचे, अनुमेय SPF निर्भरता और क्रॉस-प्रोटोकॉल पथ सहित रिसीवर व्यवहार का अध्ययन करता है। इसकी चर्चा रिपोर्ट अनुसंधान के दौरान तय होती है और अन्य फ़िल्टरिंग नियंत्रणों पर विचार करती है। शीर्षक निष्कर्षों के साथ-साथ उन दायरे और प्रकटीकरण अनुभागों को पढ़ें। ब्रेकएसपीएफ मूल पेपर, अनुभाग VII-IX.

पेपर के डोमेन की संख्या को वर्तमान इंटरनेट प्रसार अनुमान में न बदलें या किसी ऐतिहासिक उदाहरण को वर्तमान आरोप के रूप में न दोहराएं। यह आलेख प्रयोगों को पुन: प्रस्तुत नहीं करता है, तीसरे पक्ष के बुनियादी ढांचे को स्कैन नहीं करता है या किसी लाइव प्रदाता का आकलन नहीं करता है। नीचे दी गई इसकी सिफारिशें प्रोटोकॉल और शोध प्रश्न पर आधारित एक रक्षात्मक समीक्षा योजना हैं।

प्राधिकरण सीमा को पहचानें

SPF मूल्यांकन करता है कि कनेक्टिंग होस्ट मूल्यांकित SMTP पहचान के लिए अधिकृत है या नहीं। इसका परिणाम यह स्थापित नहीं करता है कि संदेश शुरू करने वाले एप्लिकेशन को किसने नियंत्रित किया था। एक अधिकृत सीमा कड़ाई से नियंत्रित प्रेषण सेवा के लिए उपयुक्त हो सकती है और अनुपयुक्त हो सकती है जब असंबद्ध किरायेदार डोमेन स्वामित्व को लागू किए बिना समतुल्य ट्रैफ़िक उत्पन्न कर सकते हैं। RFC 7208 , धारा 2, 4 और 11.

संगठन के वास्तविक लिफाफा डोमेन, SPF निर्भरता और भेजने वाली सेवाओं की सूची। प्रत्येक निर्भरता के लिए, उसके मालिक को रिकॉर्ड करें, इसकी आवश्यकता क्यों है और सेवा प्रेषक पहचान के ग्राहक के उपयोग को कैसे रोकती है। बड़ी रेंज एक समीक्षा संकेत है, शोषण को संभव घोषित करने के लिए अपने आप में पर्याप्त जानकारी नहीं है। वर्तमान नेटवर्क पथ और सेवा नियंत्रण मायने रखते हैं।

विश्लेषण में DMARC संरेखण रखें

DMARC एक पासिंग संरेखित प्रमाणीकरण पथ की आवश्यकता है। यदि कोई अत्यधिक व्यापक प्राधिकरण दृश्यमान डोमेन के साथ संरेखित पहचान के लिए SPF पास उत्पन्न करता है, तो जोड़ना DKIM वैध संदेशों के लिए संदेश स्वयं उस SPF पथ को नहीं हटाता है। इसके विपरीत, एक असंबंधित लिफ़ाफ़ा डोमेन के लिए SPF पास अकेले DMARC संतुष्ट नहीं करता है संरेखण. RFC 9989.

एक सख्त DMARC नीति विफलताओं से निपटने का अनुरोध करती है; यह पहले से गुजर रहे संरेखित पथ को विफलता में परिवर्तित नहीं करता है। अनावश्यक प्राधिकरण को ठीक करें और पॉलिसी लेबल को पूर्ण उपाय मानने के बजाय सेवा-पक्ष डोमेन नियंत्रण का आकलन करें। चरणबद्ध, समीक्षा किए गए परिवर्तनों के माध्यम से वैध प्रेषकों को सुरक्षित रखें।

एक सीमित समीक्षा मैट्रिक्स के माध्यम से कार्य करें

नीचे लिखित पूर्वापेक्षा बहीखाता चार स्वतंत्र क्षेत्रों को निर्धारित करता है: SPF स्रोत प्राधिकरण, अनपेक्षित मूल क्षमता, पथ पहुंच योग्यता और फ्रॉम के साथ SPF पहचान का संरेखण। कोई भी पंक्ति प्रेक्षित प्रदाता खोज नहीं है।

• ए: अधिकृत सत्य; अनपेक्षित-उत्पत्ति क्षमता सत्य; पहुंच योग्य सत्य; सच संरेखित. इस संभावित संरेखित-एसपीएफ़ पथ के वर्तमान अधिकृत सत्यापन के लिए आगे बढ़ें; उत्पादन शोषण की स्थापना का लेबल न लगाएं।
• बी: अधिकृत सत्य; क्षमता सत्य; पहुंच योग्य सत्य; असत्य संरेखित. यह विशेष SPF पथ DMARC पास स्थापित नहीं करता है। संपूर्ण DMARC परिणाम तय करने से पहले DKIM और अन्य वास्तविक संदेश साक्ष्य का निरीक्षण किया जाना बाकी है।
• सी: अधिकृत सत्य; क्षमता सत्य; पहुंच योग्य असत्य; सच संरेखित. कॉन्फ़िगरेशन चिंता को बनाए रखें, लेकिन इन परिसरों द्वारा कोई पहुंच योग्य प्रेषण पथ प्रदर्शित नहीं किया गया है।
• डी: अधिकृत सत्य; क्षमता अज्ञात; पहुंच योग्य सत्य; सच संरेखित. सेवा-नियंत्रण साक्ष्य प्राप्त करें; अज्ञात क्षमता न तो सुरक्षित है और न ही शोषण योग्य साबित हुई है।

ये कथात्मक निष्कर्ष हैं, चल रहे मूल्यांकनकर्ता, शोषण या रिसीवर परीक्षण नहीं। किसी DNS या क्लाउड इन्फ्रास्ट्रक्चर तक पहुंच नहीं थी। RFC9989 अनुभाग 7.4 के लिए वैध DKIM आवश्यकता है p=reject डोमेन; वह परिनियोजन कर्तव्य पहले से गुजर रहे संरेखित SPF पथ को नहीं मिटाता है।

जिम्मेदार परत पर शमन लागू करें

प्रेषक निर्भरता की पुष्टि करने के बाद ही अप्रचलित प्राधिकरण की समीक्षा करें और उसे हटा दें। सेवा स्वामियों से पहचान प्रवर्तन और अलगाव के बारे में पूछें। इंफ्रास्ट्रक्चर ऑपरेटरों को अपनी अधिकृत सुरक्षा प्रक्रिया के माध्यम से अनपेक्षित मेल निकास और प्रोटोकॉल-सीमा नियंत्रण का आकलन करना चाहिए। प्राप्तकर्ताओं को विश्वसनीय प्रमाणीकरण साक्ष्य बनाए रखना चाहिए और नियंत्रित डोमेन और प्राप्तकर्ताओं का उपयोग करके नीति व्यवहार का परीक्षण करना चाहिए।

वास्तविक मूल्यांकन के लिए, दिनांकित DNS , सेवा स्वामित्व साक्ष्य, अनुमोदित परीक्षण दायरा और देखे गए प्राप्त परिणामों को सुरक्षित रखें। स्वतंत्र सुरक्षा समीक्षा को कॉन्फ़िगरेशन जोखिम को प्रदर्शित पथ और वितरित-संदेश परिणाम से अलग करना चाहिए। वर्तमान प्रदाता सत्यापन और प्रयोगात्मक पुनरुत्पादन उत्कृष्ट बना हुआ है; बरकरार रखा गया मूल-पेपर रीडिंग शोध सारांश का समर्थन करता है, जबकि लिखित मैट्रिक्स केवल इसकी निर्धारित शर्तों को दर्शाता है।