Sebuah pesan dapat menggunakan alamat Dari yang familier sambil mengarahkan balasan ke tempat lain. Perbedaan tersebut mungkin sah, seperti layanan tiket, atau dapat mengalihkan percakapan sensitif. Selidiki bidang sebenarnya dan batas kepercayaan penerima sebelum menyebut ketidakcocokan sebagai serangan atau menganggap autentikasi sebagai persetujuan tujuan balasan.
Pahami peran lapangan
RFC 5322 menjelaskan Reply-To sebagai kotak surat atau kotak surat yang penulis sarankan untuk dikirimi balasan. Jika tidak ada, balasan biasanya dikirim ke kotak surat Dari. Ini adalah instruksi format pesan, berbeda dari pengiriman amplop SMTP dan berbeda dari keputusan persetujuan manusia. Klien dan alat alur kerja mungkin menerapkan perilaku balasannya sendiri, jadi periksalah penerima sebenarnya sebelum mengirimkan respons sensitif. RFC 5322 bagian 3.6.2.
DMARC menggunakan domain penulis, bukan bidang Balas-Ke, untuk hubungan identitasnya. Oleh karena itu, pass tidak menetapkan bahwa domain Reply-To yang berbeda adalah milik organisasi yang sama. Sah tanda tangan DKIM dapat mencakup Balas-Ke ketika bidang tersebut disertakan dalam daftar tajuk tanda tangan, namun integritas suatu nilai bukanlah izin untuk menggunakannya untuk korespondensi rahasia. DMARC Dan DKIM.
Beri anotasi pada dokumen asli, bukan tangkapan layar
Pertahankan byte pesan mentah. Buat anotasi terpisah yang memperlihatkan Dari, Balas-Ke, Return-Path, DKIM d= and h= values, and the receiving system that produced Authentication-Results. Tandai Dari dan Balas-Ke sebagai kolom yang disediakan pengirim, tanda tangan DKIM sebagai klaim yang memerlukan verifikasi, dan hasil autentikasi sebagai tepercaya hanya jika asal usulnya sudah diketahui. RFC 8601.
Jangan berasumsi bahwa baris Authentication-Results yang disalin adalah asli. Demikian pula, bidang Return-Path dalam file teks yang disimpan secara sembarang tidak secara independen membuktikan amplop SMTP . Berkorelasi dengan log penerimaan resmi jika diperlukan.
Bandingkan tiga skenario header tertulis
Asumsikan terlihat Dari billing@supplier.example.test dalam setiap kasus. Identitas amplop, nilai DKIM d= dan h=, tanda tangan sebenarnya, dan hasil penerima tepercaya tidak diberikan. Pernyataan pass yang disalin tidak dapat mengisi kekosongan tersebut.
- Rute tak terduga: Balas Ke case@support.example.test ; tidak ada persetujuan alur kerja yang diberikan. Tandai domain yang berbeda untuk ditinjau, tahan balasan sensitif, dan tanyakan kepada pemilik layanan melalui saluran yang dikenal.
- Rute domain yang sama: Balas-Ke help@supplier.example.test . Aturan ketidakcocokan domain yang tepat tidak akan menandainya, namun ini bukan bukti bahwa kotak surat atau informasi yang diminta diotorisasi.
- Pengecualian tercakup: Balas Ke case@tickets.example.test ; asumsikan inventaris fiktif mengizinkan layanan ini hanya untuk tiket dukungan rutin. Perlakukan seperti yang diharapkan untuk tujuan itu, bukan izin untuk perubahan pembayaran atau dokumen rahasia.
Contoh-contoh ini adalah nilai dan keputusan tertulis, bukan file .eml yang disertakan, proses parser, atau hasil autentikasi nyata. Tidak ada tanda tangan DKIM yang dibuat-buat. Pemilik layanan yang diusulkan memverifikasi informasi penerima dan informasi yang diizinkan sebelum memberikan balasan yang sebenarnya; penyelidik surat secara terpisah memperoleh byte asli dan bukti otentikasi tepercaya.
Verifikasi tujuan balasan terhadap alur kerja
Tanyakan kepada pemilik layanan apakah tujuan eksternal yang diharapkan untuk jenis pesan ini dan apakah sesuai untuk informasi yang diusulkan. Kotak surat dukungan mungkin berbeda dari pengirim penagihan, namun tetap tidak cocok untuk instruksi pembayaran atau lampiran sensitif. Persetujuan harus sesuai dengan tujuannya, bukan hanya sekedar keberadaan domain.
Untuk permintaan tak terduga, hubungi pengirim yang diduga melalui saluran independen yang dikenal. Jangan menguji tujuan yang meragukan dengan mengirimkan materi rahasia melalui email. Jika klien secara otomatis mengisi Balasan Ke, batalkan draf hingga tujuan diverifikasi.
Tutup pertanyaan tingkat lapangan
Catat apakah ketidaksesuaian memang diharapkan, tidak sah atau tidak terselesaikan, dan bukti apa yang mendukung temuan tersebut. Simpan hasil autentikasi sebagai pengamatan terpisah. Hal ini mempertahankan perbedaan yang berguna: sebuah pesan mungkin utuh dan diautentikasi domain, sementara rute balasan yang disarankan tidak sesuai untuk tindakan bisnis.