Ungkapan DMARC bypass dapat menggambarkan peristiwa yang sangat berbeda. Pass yang valid dari sumber yang terlalu diotorisasi, pengiriman meskipun hasilnya gagal dan kesalahan implementasi bukanlah kegagalan yang sama. Mulailah dengan klaim yang dapat dipalsukan: identitas mana yang ditegaskan, bukti mana yang dapat dipercaya, dan keputusan mana yang berbeda dari aturan yang diharapkan?
Rekonstruksi keputusan yang diamati
Pertahankan domain penulis, domain amplop, domain penandatanganan, hasil autentikasi tepercaya, dan disposisi penerima. Catat kebijakan dan waktu observasi. Pesan yang dikirimkan tidak dengan sendirinya membuktikan bahwa DMARC lolos. Penanganan penerima mencakup kebijakan lokal, dan perlakuan yang diminta pemilik domain bukanlah jaminan pengiriman universal. RFC 9989.
Begitu pula dengan salinannya Authentication-Results string bukan bukti keputusan sistem penerima. Tetapkan layanan otentikasi tepercaya dan hop yang relevan. RFC 8601. Jika satu-satunya bukti adalah tangkapan layar yang menyatakan lulus, pertahankan klaim tersebut sebagai belum terselesaikan hingga identitas yang mendasari dan konteks kepercayaan tersedia.
Pisahkan otorisasi berlebihan dari penghindaran aturan
BreakSPF mempelajari betapa permisifnya SPF otorisasi dan akses ke infrastruktur bersama dapat mengizinkan spoofing. Model ancamannya memberikan penyerang jalur sumber yang memenuhi syarat; penerima kemudian dapat mengevaluasi otorisasi yang diterbitkan seperti yang tertulis. BreakSPF, Bagian III.A dan Gambar 3.
Jika sumber yang dikendalikan penyerang berada dalam rentang resmi dan menggunakan identitas amplop yang selaras, aturan sandi biasa dapat berhasil. Kelemahannya terletak pada kewenangan yang diberikan atau batasan layanannya, bukan pada definisi baru DMARC . Sebaliknya, jika hanya identitas yang tidak terkait yang diautentikasi dan domain penulis tidak selaras, pass yang diklaim memerlukan penjelasan berbeda.
Klasifikasikan tiga temuan hipotetis
Asumsikan satu Dari alerts@brand.test yang terlihat dan evaluasi DMARC yang memenuhi syarat. Ini adalah hipotesis tertulis, bukan kejadian yang teramati.
- Kasus otorisasi: sumber 192.0.2.99 berada dalam kisaran SPF ip4:192.0.2.0/24 yang ditetapkan; KIRIM DARI bounce@brand.test lolos SPF ; TIDAK tanda tangan DKIM. Jalur SPF yang selaras menghasilkan kelulusan DMARC tingkat pesan. Tanyakan apakah sumber tersebut benar-benar dapat dikontrol oleh pengirim yang tidak diinginkan dan pemilik mana yang memberikan wewenang kepada sumber tersebut.
- Kasus penanganan: MAIL FROM bounce@other.test lolos SPF dan DKIM d=other.test passes, but assume neither aligns with brand.test. DMARC fails. If the trusted receiver record separately says delivered, investigate its handling policy; delivery alone has not changed the failed penyelarasan hasil.
- Kasus bukti: header yang disalin menyatakan lolos, namun asal penerima yang tepercaya, identitas yang dievaluasi, dan kebijakan yang diterapkan tidak diketahui. Baik pelanggaran protokol maupun izin yang dapat dipercaya tidak terjadi. Minta catatan asli dan sisi penerima.
Pengirim positif resmi 192.0.2.10 dan sumber luar 198.51.100.10 dapat memberikan usulan pengendalian saat menyelidiki kasus pertama. ip4:192.0.2.10/32 -all catatan hanya mengakui yang pertama; tidak ada perubahan produksi nyata yang mengikuti aritmatika awalan ini. Tidak ada parser yang dieksekusi, pemeriksaan tanda tangan, atau eksploitasi di sini.
RFC9989 bagian7.4 memerlukan DKIM yang valid untuk penerbitan domain p=reject. Mekanisme passing SPF yang selaras sudah cukup untuk kondisi pass pesan tertentu, namun bukan merupakan rekomendasi untuk penegakan SPF saja.
Jadikan temuan tersebut dapat ditindaklanjuti
Sebutkan kondisi yang direproduksi dan bukti yang masih hilang. Temuan yang berguna mengatakan bahwa sumber tertentu diterima melalui otorisasi tertentu dan mengidentifikasi pemilik yang bertanggung jawab. Hal ini tidak berarti bahwa seluruh perlindungan DMARC telah dikalahkan. Periksa apakah layanan sebenarnya membatasi identitas penyewa, apakah sumber benar-benar dapat dikontrol, dan apakah penerima menerapkan hasil yang diklaim.
Pertahankan kontrol positif resmi yang tidak berbahaya saat menguji mitigasi yang diusulkan. Mempersempit jangkauan atau mengubah konektor dapat merusak pengirim yang sah. Mewajibkan persetujuan perubahan khusus rute dan verifikasi pasca perubahan, dan menjaga agar perilaku penyedia layanan yang tidak diuji di lab tidak terselesaikan secara eksplisit. Hal ini mendukung perbaikan yang tepat tanpa membesar-besarkan model pendidikan menjadi kerentanan produksi.