Gerbang keamanan dapat muncul sebagai sumber yang dilihat oleh penerima pelaporan karena gerbang tersebut menyampaikan pesan. Kemunculannya tidak menunjukkan bahwa ia yang membuat pesan, memiliki aplikasi pengirim, atau menyebabkan kegagalan autentikasi. Selidiki rute dan titik di mana konten pesan berubah sebelum membuat perubahan DNS atau kebijakan gateway.
Tetapkan peran gateway
Referensi: RFC 9990 §3.1.1.8, RFC 9990 §3.1.1.10.
Gambarkan rute yang diinginkan dari aplikasi ke sistem penerima akhir. Bedakan antara relai keluar, gerbang masuk, dan perantara penerusan. Catat organisasi mana yang mengontrol setiap hop dan hop mana yang benar-benar dilihat oleh penerima pelaporan. Nama host gateway yang familier hanyalah petunjuk infrastruktur sampai rute tersebut dikuatkan.
Pertahankan IP sumber, reporter, interval, hitungan, domain penulis, identitas amplop, DKIM domain dan dilaporkan penyelarasan hasil. Bandingkan ini dengan log gateway resmi dan bukti penerima tepercaya. Batasi akses ke pesan mentah karena mungkin berisi konten pribadi atau rahasia.
Temukan batas penandatanganan
Referensi: RFC 6376 §3.4, RFC 6376 §3.7.
RFC 6376 mendefinisikan bagaimana DKIM mencakup header yang dipilih dan konten isi yang dikanonikalisasi. Gerbang yang mengubah materi yang dibahas setelah penandatanganan dapat membatalkan tanda tangan. Tidak setiap perubahan selalu demikian: bidang yang ditandatangani, kanonikalisasi dan transformasi yang tepat penting.
Dapatkan pesan perwakilan yang aman segera sebelum dan sesudah dugaan transformasi saat diotorisasi. Pertahankan byte aslinya dan bandingkan hasil verifikasi, header yang dipilih, dan input isi yang dikanonikalisasi. Jangan membandingkan tangkapan layar atau teks yang disimpan ulang seolah-olah keduanya menyimpan pesan yang ditandatangani dengan tepat. Tentukan apakah penandatanganan terjadi sebelum atau sesudah penyisipan footer, penulisan ulang subjek, atau pemrosesan lainnya.
Evaluasi SPF secara terpisah
Referensi: RFC 7208 §4.1, RFC 9989 §4.4, RFC 9989 §5.3.5.
Penerima hilir mengevaluasi sumber penghubung terhadap sumber yang relevan SPF identitas. Oleh karena itu, relay dapat mengubah situasi SPF bahkan ketika DKIM bertahan. Keberhasilan SPF mentah tidak memuaskan DMARC jika identitas yang diautentikasi tersebut tidak terkait dengan domain penulis berdasarkan aturan penyelarasan yang berlaku.
DMARC dapat melewati jalur SPF atau DKIM yang selaras. Hindari memperlakukan tanda tangan yang gagal sebagai bukti kegagalan DMARC secara keseluruhan tanpa memeriksa mekanisme lainnya. Demikian pula, jangan perlakukan tanda tangan gateway yang tidak terkait sebagai penyelarasan otomatis untuk pembuat aslinya.
Bekerja melalui perbandingan terkontrol
Skenario hipotetis, bukan pengujian yang dijalankan dalam ulasan ini: aplikasi menandatangani example.com , lalu gateway keluar menambahkan penafian. Misalkan kotak pesan pengujian penerima menunjukkan kegagalan body-hash untuk tanda tangan tersebut. SPF lolos untuk domain amplop layanan yang tidak terkait. Tanpa mekanisme passing selaras lainnya, contoh ini gagal DMARC .
Investigasi perlu membandingkan sampel sebelum dan sesudah yang disimpan dan memastikan bahwa tubuh yang ditutupi telah berubah di pintu gerbang. Perbaikan yang diusulkan adalah dengan menempatkan penandatanganan selaras yang sah setelah transformasi yang dimaksudkan, menggunakan desain yang didukung. Itu adalah solusi kandidat, bukan klaim bahwa setiap gateway menawarkan fitur tersebut atau bahwa memindahkan penanda tangan selalu aman.
Verifikasi perbaikan yang dipilih
Mintalah pemilik yang bertanggung jawab menyetujui desain dan implikasi keamanannya. Uji rute sebenarnya dengan konten representatif, termasuk templat yang memicu penulisan ulang. Konfirmasikan autentikasi yang selaras pada penerima eksternal dan verifikasi alur kerja bisnis. Jaga agar pemindaian keamanan tetap efektif; jangan menonaktifkan kontrol sembarangan agar tes lulus.
Tutup insiden dengan rute terverifikasi, transformasi yang tepat, penempatan penandatanganan, bukti pengujian yang disimpan, dan kriteria pengembalian. Jika bukti sebelum dan sesudah tidak tersedia, pertahankan dugaan penyebab sementara dan lakukan reproduksi terkontrol. Label gateway saja tidak dapat membenarkan kesimpulan akar permasalahan atau otorisasi SPF yang luas.