सटीक-डोमेन स्पूफिंग, प्रदर्शन-नाम का दुरुपयोग और समान दिखने वाले डोमेन

पहचानें कि संदेश क्या दावा कर रहा है

एक संदेश कई अलग-अलग तरीकों से किसी व्यवसाय का अनुकरण कर सकता है। यह व्यवसाय के सटीक डोमेन को दृश्यमान पते में डाल सकता है, किसी असंबद्ध पते के साथ किसी परिचित व्यक्ति के प्रदर्शन नाम का उपयोग कर सकता है, या व्यवसाय से मिलते-जुलते चुने गए किसी भिन्न डोमेन से भेज सकता है। ये विनिमेय तंत्र नहीं हैं. उन्हें अलग-अलग साक्ष्य की आवश्यकता होती है और विभिन्न नियंत्रण सीमाएं उजागर होती हैं। तीनों मामलों को बुलावा DMARC विफलता गलत मरम्मत को प्रोत्साहित करती है और ऐसी घटना को छिपा सकती है जिसके लिए DNS संपादन के बजाय व्यावसायिक सत्यापन की आवश्यकता होती है।

RFC 9989 DMARC का दायरा RFC5322 .से डोमेन और संरेखित प्रमाणीकरण। यह स्पष्ट रूप से प्रदर्शन-नाम हमलों, सामग्री विश्लेषण और डोमेन के अलावा अन्य संस्थाओं के प्रमाणीकरण को बाहर करता है। एक रिसीवर अभी भी अतिरिक्त सुरक्षा लागू कर सकता है, लेकिन उन सुरक्षा का श्रेय DMARC को नहीं दिया जाना चाहिए। यह लेख रक्षात्मक ट्राइएज के लिए एक वर्गीकरण पद्धति प्रदान करता है, जिसमें नामित प्रेषक के बारे में कोई वास्तविक संदेश निरीक्षण या आरोप नहीं है।

सटीक-डोमेन उपयोग के लिए सटीक तुलना की आवश्यकता होती है

पार्स किए गए प्रेषक पते में वास्तविक डोमेन से प्रारंभ करें, न कि मेल एप्लिकेशन द्वारा दिखाए गए डिस्प्ले टेक्स्ट से। इसकी तुलना अनुरोध से संबंधित व्यावसायिक डोमेन से करें। सटीक वर्तनी और साक्ष्य स्रोत को प्रतिबंधित जांच रिकॉर्ड में सुरक्षित रखें। यदि डोमेन समान हैं, तो अगला प्रश्न यह है कि क्या विश्वसनीय रिसीवर साक्ष्य संरेखित प्रमाणीकरण, विफलता, नीति की अनुपस्थिति या अनिश्चित परिणाम दिखाता है। केवल सटीक-डोमेन उपस्थिति आपको यह नहीं बताती कि क्या हुआ।

सटीक डोमेन का उपयोग करने वाला कोई अनधिकृत प्रेषक विफल हो सकता है संरेखण, लेकिन एक समझौताकृत अधिकृत खाता या सेवा संरेखित मेल का उत्पादन कर सकती है। इसलिए एक ही दृश्यमान डोमेन बहुत भिन्न घटनाओं में घटित हो सकता है। DMARC पास यह साबित नहीं करता है कि संदेश को किसी व्यक्ति द्वारा अनुमोदित किया गया था, और विफलता अपने आप में दुर्भावनापूर्ण इरादे को साबित नहीं करती है। अग्रेषण, कॉन्फ़िगरेशन गलतियाँ और अधूरे साक्ष्य व्याख्या को जटिल बना सकते हैं। कारण बताने से पहले देखे गए संक्षिप्त तथ्य बताएं।

प्रदर्शन नाम एक अलग पहचान सतह हैं

RFC 5322, अनुभाग 3.4, मेलबॉक्स के वैकल्पिक प्रदर्शन नाम को उसके पते से अलग करता है। एक प्रदर्शन नाम DMARC द्वारा मूल्यांकन किए गए डोमेन के बिना पाठक को किसी व्यक्ति या भूमिका की पहचान करा सकता है। उदाहरण के लिए, एक काल्पनिक संदेश "अकाउंट्स टीम" प्रदर्शित कर सकता है जबकि इसका पता किसी असंबंधित उदाहरण डोमेन से संबंधित है। परिचित लेबल संगठनात्मक स्वामित्व का प्रमाण नहीं है।

एक छोटी स्क्रीन या संक्षिप्त दृश्य प्रत्येक पहचान क्षेत्र को पहली नज़र में उजागर नहीं कर सकता है। रक्षात्मक कार्रवाई प्राप्तकर्ता एप्लिकेशन के विश्वसनीय इंटरफ़ेस का उपयोग करके पूर्ण पते का निरीक्षण करना और फिर स्वतंत्र रूप से व्यावसायिक अनुरोध का मूल्यांकन करना है। एक सार्वभौमिक यूआई नियम का आविष्कार न करें या यह वादा न करें कि प्रत्येक ग्राहक एक बेमेल को उजागर करेगा। लेबल और पते के बीच मानक का अंतर स्थिर है; प्रस्तुतिकरण और सुरक्षात्मक चेतावनियाँ ग्राहक और रिसीवर पर निर्भर करती हैं।

समान दिखने वाले डोमेन सफलतापूर्वक प्रमाणित कर सकते हैं

वर्तनी, विराम चिह्न या वर्ण विकल्पों के कारण एक अलग डोमेन देखने में किसी विश्वसनीय डोमेन के समान हो सकता है। यदि इसका ऑपरेटर वैध रूप से इसके भेजने के सेटअप को नियंत्रित करता है, तो उस डोमेन से मेल पास हो सकता है SPF, DKIM और उस डोमेन के लिए DMARC । प्रमाणीकरण आवश्यक रूप से ख़राब नहीं हुआ है. इच्छित संगठन के बारे में प्राप्तकर्ता की मान्यता विफल हो गई है या किसी भिन्न स्तर पर हेरफेर किया गया है।

संदिग्ध संदेश के बाहर प्राप्त विश्वसनीय व्यावसायिक रिकॉर्ड के साथ वास्तविक डोमेन की तुलना करें। केवल स्वामित्व स्थापित करने के लिए आपूर्ति की गई वेबसाइट पर न जाएं या संदिग्ध पते पर उत्तर न दें। लंबे नाम में अंतर्निहित एक परिचित ब्रांड शब्द पर्याप्त नहीं है। अंतर्राष्ट्रीयकृत-नाम व्याख्या को सावधानीपूर्वक संरक्षित करें और यदि प्रदर्शित और अंतर्निहित रूप भिन्न हों तो योग्य विश्लेषण की तलाश करें; यह मसौदा संपूर्ण यूनिकोड या सार्वजनिक-प्रत्यय वर्गीकरण एल्गोरिदम प्रदान नहीं करता है।

विश्वसनीय प्रमाणीकरण साक्ष्य का उपयोग करें

एक Authentication-Results फ़ील्ड केवल प्राप्तकर्ता की विश्वास सीमा के भीतर ही उपयोगी है। RFC 8601 यह बताता है कि उपभोक्ताओं को संदेश में मौजूद मनमाने क्षेत्रों से विश्वसनीय प्रमाणीकरण दावों को अलग क्यों करना चाहिए। किसी अग्रेषित संदेश या स्क्रीनशॉट को पास करने वाली पंक्ति की प्रतिलिपि बनाने से यह स्थापित नहीं होता है कि संबंधित रिसीवर ने इसे तैयार किया है। रिकॉर्ड करें कि किस प्राप्तकर्ता ने संदेश का मूल्यांकन किया और अन्वेषक ने परिणाम कैसे प्राप्त किया।

डोमेन से दृश्यमान रखें, लिफाफा भेजने वाला डोमेन, DKIM हस्ताक्षरित डोमेन और रिप्लाई-टू की पहचान अलग है। उनके मतभेदों की वैध व्याख्याएं हो सकती हैं और इन्हें स्वचालित रूप से धोखाधड़ी के निष्कर्ष में तब्दील नहीं किया जाना चाहिए। DMARC के लिए, प्रत्येक SPF या DKIM पास को पर्याप्त मानने के बजाय संरेखित प्रमाणीकरण पथ की पहचान करें। व्यावसायिक अनुरोध के लिए, अनुरोधित कार्रवाई और इसे करने वाले व्यक्ति के अधिकार की जांच करें।

एक पहचान-तुलना कार्यपत्रक

एक पंक्ति तैयार करें जिसमें विश्वसनीय व्यावसायिक डोमेन, दृश्य प्रदर्शन लेबल, पार्स किया गया पता, यदि मौजूद हो तो उत्तर-पता, प्रमाणित डोमेन, रिसीवर परिणाम, साक्ष्य उद्गम और प्रस्तावित वर्गीकरण शामिल हो। जो अज्ञात है उसके लिए कॉलम जोड़ें और कौन सा स्वतंत्र चैनल अनुरोध को सत्यापित कर सकता है। किसी भी साझा संस्करण में व्यक्तिगत पहचानकर्ताओं को कम से कम करें, यह संरक्षित करते हुए कि क्या दो डोमेन समान थे या अलग थे। सभी मानों को एक प्लेसहोल्डर में बदलने से वह संबंध नष्ट हो जाता है जिसे वर्कशीट दिखाना चाहती है।

तीन अनंतिम श्रेणियों का उपयोग करें: सटीक-डोमेन उपयोग, प्रदर्शन-नाम अनुकरण और भिन्न-डोमेन समानता। संयोजनों और एक अनसुलझे श्रेणी की अनुमति दें। एक संदेश भ्रामक प्रदर्शन नाम और a दोनों का उपयोग कर सकता है समान दिखने वाला डोमेन. जब संरेखित मेल वास्तविक संगठन से आता हुआ प्रतीत होता है तो कार्यपत्रक को एक परिकल्पना के रूप में अधिकृत-खाता समझौता की भी अनुमति देनी चाहिए। वर्गीकरण जांच को आगे बढ़ाने का एक तरीका है, इरादे या जिम्मेदारी का अंतिम निर्धारण नहीं।

तीन संदेशों के साथ काल्पनिक तुलना

कल्पना कीजिए कि एक काल्पनिक वित्त टीम को नॉर्थब्रिज उदाहरण से जुड़े तीन असामान्य अनुरोध प्राप्त होते हैं। पहले में नॉर्थब्रिज का सटीक डोमेन है लेकिन विश्वसनीय रिसीवर साक्ष्य कोई संरेखित पास नहीं होने का संकेत देता है। दूसरा एक असंबद्ध पते के साथ वित्त निदेशक के प्रदर्शन नाम का उपयोग करता है जो अपने स्वयं के डोमेन के लिए प्रमाणित करता है। तीसरा एक समान दिखने वाले लेकिन भिन्न डोमेन का उपयोग करता है और उस डोमेन के लिए प्रमाणीकरण भी करता है। ये आविष्कृत अवलोकन हैं, न कि इस कार्य के दौरान एकत्र किए गए संदेश।

पहला मामला प्रमाणीकरण और प्रेषण-पथ जांच की ओर ले जाता है। दूसरा प्रदर्शन-नाम और व्यवसाय-प्राधिकरण सत्यापन की ओर ले जाता है। तीसरा डोमेन तुलना और प्रतिरूपण प्रबंधन की ओर ले जाता है। कोई भी केवल इसलिए भुगतान की गारंटी नहीं देता क्योंकि कोई परिचित नाम दिखाई देता है, और किसी को भी नॉर्थब्रिज के असंबद्ध प्रेषक को जोड़कर "ठीक" नहीं किया जाना चाहिए। SPF रिकॉर्ड. यदि चौथा संदेश नॉर्थब्रिज के वास्तविक डोमेन का उपयोग करके संरेखण से गुजरता है, तो खाता या सेवा समझौता संभव रहता है और इसके लिए अपने स्वयं के साक्ष्य की आवश्यकता होती है।

संदेश से परे अनुरोध को सत्यापित करें

The IC3 क्लाउड-ईमेल BEC सलाह2020 में प्रकाशित, संदिग्ध व्यावसायिक अनुरोधों के लिए ज्ञात संपर्क विधियों के माध्यम से सत्यापन की सिफारिश करता है। इसकी आयु स्पष्ट है: यह सामान्य नियंत्रण का समर्थन करता है, किसी वर्तमान घटना या किसी विशेष रिसीवर के वर्तमान इंटरफ़ेस के बारे में दावा नहीं। पहले से ही स्वतंत्र रूप से रिकॉर्ड किए गए नंबर या वर्कफ़्लो का उपयोग करें, और केवल यह पूछने के बजाय अनुरोधित विशिष्ट परिवर्तन को सत्यापित करें कि क्या किसी ने ईमेल भेजा है।

पहचान प्रमाण, नियंत्रण सीमा और स्वतंत्र व्यापार सत्यापन के साथ आवश्यक संशोधित दुरुपयोग परिदृश्य अधूरा है। इस पांडुलिपि की काल्पनिक तुलना इसे संतुष्ट नहीं करती है। किसी खाते के बारे में पूछताछ नहीं की गई, किसी संदिग्ध डोमेन का दौरा नहीं किया गया और किसी पक्ष से संपर्क नहीं किया गया। रिलीज से पहले, अधिकृत वास्तविक साक्ष्य को बनाए रखें, एक योग्य समीक्षक से वर्गीकरण को मान्य कराएं, स्रोत प्रयोज्यता और उत्पादन मार्गों की पुष्टि करें, पहुंच की समीक्षा पूरी करें और मालिक की मंजूरी प्राप्त करें। परिणाम इस बात का रक्षात्मक स्पष्टीकरण होना चाहिए कि किस पहचान का दावा किया गया था और वास्तव में क्या नियंत्रण स्थापित किए गए थे।