Mulailah dengan identitas lama, bukan dugaan penyertaan SPF
Entri inventaris bernama “Roaring Penguins” tidak cukup untuk mengkonfigurasi pengirim. Nama perusahaan bersejarahnya adalah Roaring Penguin Software, dan produknya mencakup beberapa varian CanIt. Sebelum mengedit DNS , kenali apa yang sebenarnya digunakan organisasi: versi alat atau perangkat lunak yang diinstal, layanan yang dihosting, rute yang dikelola pengecer, atau label riwayat yang tertinggal setelah migrasi. Artikel ini memberikan alur kerja audit dan bukti, bukan resep penerapan saat ini yang terverifikasi.
Rilis November 2010 yang dikeluarkan perusahaan menjelaskan CanIt-PRO, CanIt-Domain-PRO, dan Hosted CanIt. Ini mengumumkan DKIM dukungan dalam konteks pemfilteran, termasuk penggunaan informasi penanda tangan saat mengevaluasi email. Pernyataan historis tersebut tidak membuat antarmuka penandatanganan domain pelanggan modern atau SPF termasuk yang aman untuk dipublikasikan hari ini. Pengumuman CanIt 7.0.8 dari Roaring Penguin
Pengumuman akuisisi Marlin pada bulan Maret 2018 menempatkan Roaring Penguin dalam bisnis keamanan email AppRiver. Riwayat akuisisi membantu menjelaskan label lama, namun tidak membuktikan layanan penerus mana yang digunakan pelanggan tertentu, apakah instalasi lama didukung, atau instruksi DNS mana yang berlaku. Pengumuman akuisisi Marlin
Dokumentasi pengaturan milik penyedia saat ini untuk penerapan warisan yang sebenarnya tidak dibuat dalam penelitian ini. Kurangnya sumber pengaturan terkini yang terverifikasi bukan merupakan bukti penghentian produk. Jangan mengubah cuplikan penelusuran, manual cermin pihak ketiga, atau pengumuman akuisisi menjadi petunjuk produksi saat ini. Biarkan penangguhan produk dan sumber tetap terlihat hingga pemilik penerapan menyediakan referensi yang didukung.
Rekonstruksi jalur email yang sebenarnya
Mulailah dengan pemilik sistem, perjanjian layanan, versi yang diinstal, titik akhir manajemen, dan organisasi dukungan yang bertanggung jawab. Catat di mana nama tersebut muncul: inventaris email, mekanisme SPF , target MX , header yang diterima, atau catatan penagihan. Petunjuk ini menjawab pertanyaan yang berbeda. Nama host pemfilteran di jalur masuk bukan merupakan bukti bahwa layanan tersebut berasal dari email keluar organisasi.
Gambarlah inventaris rute sederhana di tiket kembalian. Identifikasi aplikasi atau kotak surat asal, relai atau filter apa pun, layanan jalan keluar publik, dan tujuan yang digunakan untuk pengujian. Tandai setiap lompatan sebagai yang diamati, didokumentasikan, atau masih disimpulkan. Jika pengecer mengelola layanan, mintalah pengecer untuk mengidentifikasi produk yang mendasarinya dan cakupan pasti dari dukungannya saat ini tanpa berasumsi bahwa pelanggan memiliki antarmuka administrasi asli vendor.
Kumpulkan pesan keluar terkontrol dan, secara terpisah, setiap contoh masuk yang diperlukan untuk memahami filter. Gunakan konten yang tidak berbahaya dan penerima yang berwenang. Pertahankan stempel waktu dan header perutean yang relevan dengan meminimalkan informasi pribadi. Jangan berasumsi bahwa header yang memuat nama produk adalah bukti kepemilikan yang tepercaya; menghubungkannya dengan rute yang dikonfigurasi organisasi dan pengamatan penerima sendiri.
Administrator mungkin menemukan bahwa komponen lama hanya menerima email, sementara lalu lintas keluar keluar melalui penyedia lain. Dalam hal ini, pindahkan autentikasi keluar ke panduan layanan pengiriman sebenarnya. Pertahankan komponen lama dalam inventaris layanan masuk dan jangan menambahkan izin pengiriman hanya untuk membuat setiap entri inventaris tampak "dikonfigurasi".
Pisahkan validasi tanda tangan dari pembuatan tanda tangan
Validasi DKIM masuk menanyakan apakah tanda tangan yang diterima terverifikasi. Penandatanganan keluar membuat tanda tangan untuk pesan yang meninggalkan domain resmi. Aturan pemfilteran yang memberikan skor spam yang lebih rendah kepada penanda tangan yang valid tidak akan menghasilkan tanda tangan organisasi. Pengumuman historis ini mendukung adanya kemampuan pemfilteran terkait DKIM, bukan prosedur penandatanganan khusus akun. Pengumuman DKIM bersejarah Roaring Penguin
Untuk klaim penandatanganan keluar, memerlukan bukti sistem penandatanganan, domain, pemilih, publikasi kunci publik, dan tanda tangan yang diterima. Nilai DKIM 'sd= dan s= mengidentifikasi domain penandatanganan dan pemilih yang digunakan dalam pencarian. Catatan DNS yang ditemukan pada pemilih lama tidak menunjukkan bahwa pesan apa pun saat ini masih ditandatangani dengannya. DKIM RFC 6376
Tanyakan kepada operator saat ini untuk instruksi yang didukung yang sesuai dengan versi terinstal dan model penerapan. Tetapkan siapa yang memegang kunci pribadi dan bagaimana rotasi dan pemulihan dikelola, tanpa meminta kunci itu sendiri. Catat apakah sistem hilir mengubah pesan setelah penandatanganan. Lakukan pengujian sebelum dan sesudah perubahan apa pun yang disetujui sehingga peninjau dapat membedakan tanda tangan yang hilang dari tanda tangan yang nantinya menjadi tidak valid.
Jangan publikasikan pemilih baru, ganti kunci publik, atau alihkan kontrol penandatanganan hanya berdasarkan manual lama. Bahkan prosedur yang secara historis otentik dapat menjadi salah untuk layanan yang diubah atau instalasi yang tidak didukung. Langkah aman berikutnya adalah permintaan bukti dan rencana pengujian terbatas, bukan jalur menu yang bisa ditebak.
Evaluasi SPF dan DMARC hanya pada identitas yang diamati
Identifikasi domain amplop SMTP dan jalur keluar publik untuk pesan keluar. SPF mengizinkan sistem pengiriman untuk identitas SMTP yang dievaluasi; itu tidak menjadikan layanan pemfilteran masuk sebagai pengirim. Pertahankan otorisasi sah yang ada, pertahankan satu kebijakan SPF yang berlaku di setiap pemilik, dan nilai batas pencarian sebelum mengusulkan penggantian apa pun. SPF RFC 7208
Tidak ada paket Roaring Penguin universal yang disertakan di sini. Dapatkan instruksi penyedia terkini atau detail jalan keluar yang diverifikasi administrator untuk rute yang tepat. Jangan menggunakan kembali domain hanya karena domain tersebut muncul dalam contoh yang diarsipkan. Catat bukti yang menghubungkan setiap izin yang diajukan ke email aktif, termasuk pemilik layanan yang dapat mengonfirmasinya.
Lalu bandingkan domain SPF atau DKIM yang lewat dengan domain Dari yang terlihat. DMARC memerlukan jalur yang selaras, bukan hanya keberadaan nama produk lama atau sandi otentikasi di suatu tempat di header. Menerapkan RFC 9989 dan pertahankan hasil penerima dengan domain yang menjelaskannya. DMARC RFC 9989
Jika rute tidak dapat didukung atau diverifikasi, rencanakan migrasi terkontrol dengan pemilik email. Pertama inventarisasi pengirim penting, tentukan rute pengganti, verifikasi penyelarasan di sana, dan mendokumentasikan pemulihan. Jangan menghapus catatan lama sampai sisa lalu lintas dan ketergantungan telah diperiksa.
Diagnosis fiktif: filter masuk disalahartikan sebagai pengirim keluar
Sebuah organisasi fiktif melihat label Roaring Penguin di dokumentasi emailnya dan berasumsi bahwa organisasi tersebut harus menambahkan penyertaan SPF baru. Penyelidik mengikuti pengujian keluar dan menemukan bahwa filter lama hanya ada pada email masuk. Pesan tersebut sebenarnya dikirim melalui relay yang dikelola secara terpisah. Skenario yang diciptakan ini menggambarkan kesalahan inventaris, bukan penerapan Roaring Penguin yang terukur.
Tim memverifikasi amplop relai dan identitas DKIM serta menugaskan pekerjaan autentikasinya kepada pemilik relai. Itu membuat pertanyaan dukungan filter masuk tetap terbuka tetapi tidak membuat perubahan SPF spekulatif. Tinjauan kedua memeriksa apakah penyeleksi penandatanganan lama masih digunakan sebelum menghentikan apa pun. Hasilnya adalah inventarisasi rute yang terkoreksi dan rencana perubahan yang dapat dibenarkan, bukan status hijau yang diciptakan oleh otorisasi yang tidak perlu.
Lembar kerja rute lama
- Identitas: label historis, produk persisnya, versi, model penerapan, operator, dan kontak dukungan saat ini.
- Arah: pemfilteran masuk, relai keluar, penandatanganan, atau belum terselesaikan; sertakan bukti untuk setiap klasifikasi.
- Rute: beban kerja asal, sistem perantara, jalan keluar publik, stempel waktu, dan penerima tes resmi.
- Otentikasi: Dari terlihat, domain amplop, pasangan d=/s= DKIM , hasil tepercaya, dan temuan penyelarasan.
- Dokumentasi: referensi penyedia saat ini, penerapan versi, nilai publik yang dikeluarkan, dan kemampuan yang belum terselesaikan.
- Transisi: penggantian yang didukung jika diperlukan, pengirim penting, pemilik rollback, dan ketergantungan pensiun.
Batasan publikasi
Ini adalah kandidat audit lama yang lengkap dengan penangguhan implementasi eksplisit. Saat ini, belum ada nilai SPF , pemilih, atau prosedur antarmuka khusus penyedia yang diverifikasi. Penerapan langsung, DNS , header, visual, UKM manusia, dan gerbang publikasi masih menunggu keputusan. Sebelum dipublikasikan, editor harus memutuskan apakah bukti yang terselesaikan mendukung panduan penyiapan atau apakah topik tersebut harus tetap merupakan penilaian warisan yang diberi label jelas.
Beri label pada bukti sejarah berdasarkan apa yang dapat dibuktikan
Rilis tahun 2010 menetapkan fitur pemfilteran historis, dan pengumuman tahun 2018 menetapkan riwayat akuisisi. Tidak ada yang menetapkan rute pelanggan aktif, hak dukungan saat ini, atau konfigurasi penandatanganan penerus. Catatlah pertanyaan-pertanyaan tersebut sebagai pertanyaan terpisah untuk operator saat ini; jangan mengubah riwayat perusahaan menjadi resep DNS yang dapat dieksekusi.
Pisahkan penerimaan pesan dari peluncuran kebijakan
Hasil SPF yang selaras dapat memenuhi evaluasi pesan, namun tidak hanya membenarkan pemindahan seluruh domain untuk ditolak. RFC 9989 Bagian 7.4 memerlukan DKIM yang valid untuk penerbitan domain p=reject dan memperingatkan tentang interoperabilitas surat tidak langsung. Inventarisasi semua pengirim yang sah dan rute tidak langsung sebelum pemilik kebijakan menyetujui penerapannya. Tidak ada perubahan DNS , operasi penyewa, atau pengujian pesan yang diterima yang dijalankan untuk artikel ini.