La frase DMARC bypass può descrivere eventi molto diversi. Un passaggio valido da una fonte eccessivamente autorizzata, la consegna nonostante un risultato negativo e un errore di implementazione non sono la stessa cosa. Iniziare con un’affermazione falsificabile: quale identità è stata affermata, quale prova è stata attendibile e quale decisione differiva dalla regola attesa?
Ricostruire la decisione osservata
Conserva il dominio dell'autore, il dominio della busta, i domini di firma, i risultati dell'autenticazione attendibile e la disposizione del destinatario. Registrare la politica e il tempo di osservazione. Un messaggio consegnato non dimostra di per sé un passaggio DMARC . La gestione del destinatario include la politica locale e il trattamento richiesto dal proprietario di un dominio non è una garanzia di consegna universale. RFC 9989.
Allo stesso modo, una copia Authentication-Results string non è una prova della decisione del sistema ricevente. Stabilire il servizio di autenticazione affidabile e il relativo hop. RFC 8601. Se l'unica prova è uno screenshot che dice di essere superato, mantieni il reclamo come irrisolto finché non saranno disponibili le identità sottostanti e il contesto di fiducia.
Separare l'autorizzazione eccessiva dall'evasione delle regole
BreakSPF studia quanto sia permissivo SPF l'autorizzazione e l'accesso all'infrastruttura condivisa possono consentire spoofing. Il suo modello di minaccia fornisce all'aggressore un percorso di origine idoneo; il curatore potrà quindi valutare come scritta la procura pubblicata. BreakSPF, Sezione III.A e Figura 3.
Se la fonte controllata dall'aggressore si trova all'interno di un intervallo autorizzato e utilizza un'identità di busta allineata, la regola di passaggio ordinaria può avere successo. Il punto debole risiede nell'autorità concessa o nel limite del servizio, piuttosto che in una nuova definizione di DMARC . Al contrario, se viene autenticata solo un'identità non correlata e il dominio dell'autore non è allineato, un passaggio rivendicato necessita di una spiegazione diversa.
Classificare tre risultati ipotetici
Presupporre un unico visibile Da alerts@brand.test e una valutazione DMARC altrimenti idonea. Queste sono ipotesi scritte, non incidenti osservati.
- Caso di autorizzazione: la fonte 192.0.2.99 rientra nell'intervallo SPF ip4:192.0.2.0/24 stabilito; MAIL DA bounce@brand.test supera SPF ; NO Firma DKIM. Il percorso SPF allineato produce un passaggio DMARC a livello di messaggio. Chiedi se quella fonte è davvero controllabile da un mittente non intenzionale e quale proprietario le ha concesso l'autorità.
- Caso di gestione: MAIL FROM bounce@other.test supera SPF e DKIM d=other.test passes, but assume neither aligns with brand.test. DMARC fails. If the trusted receiver record separately says delivered, investigate its handling policy; delivery alone has not changed the failed allineamento risultato.
- Caso di prova: un'intestazione copiata dice di essere superato, ma l'origine del destinatario attendibile, le identità valutate e la politica applicata sono sconosciute. Non viene stabilita né una violazione del protocollo né un passaggio affidabile. Richiedi il record originale e quello del destinatario.
Un mittente positivo autorizzato 192.0.2.10 e una fonte esterna 198.51.100.10 possono fornire controlli proposti durante le indagini sul primo caso. Un ipotetico record ip4:192.0.2.10/32 -all ammette solo il primo; da questa aritmetica del prefisso non consegue alcun cambiamento reale nella produzione. Non è presente alcun parser eseguito, controllo della firma o exploit qui.
La sezione 7.4 RFC9989 richiede DKIM valido per la pubblicazione dei domini p=reject. Un meccanismo SPF allineato al passaggio è sufficiente per la condizione di passaggio di un messaggio particolare, ma non è una raccomandazione per l'applicazione del solo SPF.
Rendi la scoperta utilizzabile
Nomina la condizione riprodotta e le prove ancora mancanti. Una scoperta utile dice che una fonte specifica è ammessa da una specifica autorizzazione e identifica il proprietario responsabile. Non dice che tutta la protezione DMARC viene annullata. Verificare se il servizio reale limita le identità dell'inquilino, se la fonte è effettivamente controllabile e se il destinatario ha applicato il risultato dichiarato.
Conservare un controllo positivo autorizzato innocuo durante il test di una mitigazione proposta. Restringere un intervallo o modificare un connettore può interrompere i mittenti legittimi. Richiedi l'approvazione della modifica specifica del percorso e la verifica post-modifica e mantieni il comportamento del fornitore non testato in laboratorio esplicitamente irrisolto. Ciò supporta una soluzione precisa senza esagerare il modello educativo trasformandolo in una vulnerabilità della produzione.