メッセージでは使い慣れた From アドレスを使用しながら、返信を別の場所に送信できます。その違いは、発券サービスなどの正当なものである場合もあれば、機密性の高い会話をリダイレクトする場合もあります。不一致を攻撃と呼んだり、認証を応答先の承認として扱う前に、実際のフィールドと受信側の信頼境界を調査してください。
フィールドの役割を理解する
RFC 5322では、Reply-To を、作成者が返信の送信先として提案するメールボックスとして説明しています。これが存在しない場合、返信は通常、From メールボックスに送信されます。これはメッセージ形式の指示であり、 SMTPエンベロープ配信や人間による承認の決定とは異なります。クライアントとワークフロー ツールは独自の応答動作を適用する場合があるため、機密の応答を送信する前に実際の受信者を検査してください。 RFC 5322セクション 3.6.2.
DMARC は、アイデンティティ関係に Reply-To フィールドではなく作成者ドメインを使用します。したがって、パスは、異なる Reply-To ドメインが同じ組織に属していることを証明するものではありません。有効な DKIM署名 そのフィールドが署名の署名付きヘッダー リストに含まれている場合、 Reply-To をカバーできますが、値の整合性は、その値を機密通信に使用する許可を与えるものではありません。 DMARC そして DKIM.
スクリーンショットではなくオリジナルに注釈を付ける
生のメッセージバイトを保持します。 From、Reply-To、を示す別の注釈を作成します。 Return-Path, DKIM d= and h= values, and the receiving system that produced Authentication-Results。 From と Reply-To を送信者提供フィールドとしてマークし、 DKIM署名を検証が必要なクレームとしてマークし、出所が確立された場合にのみ認証結果を信頼できるものとしてマークします。 RFC 8601.
コピーされたAuthentication-Results行が本物であるとは考えないでください。同様に、保存された任意のテキスト ファイル内のReturn-Pathフィールドは、独立してSMTPエンベロープを証明するものではありません。必要に応じて、許可された受信ログと関連付けます。
書かれた 3 つのヘッダー シナリオを比較する
それぞれのケースで、From billing@supplier.example.testが表示されると想定します。エンベロープ ID、 DKIM d= および h= 値、実際の署名、および信頼できる受信者の結果は提供されません。コピーされたパス アサーションでは、これらのギャップを埋めることはできません。
- 予期しないルート: Reply-To case@support.example.test ;ワークフローの承認は提供されません。別の正確なドメインにレビュー用のフラグを立て、機密性の高い返信を保留し、既知のチャネルを通じてサービス所有者に問い合わせます。
- 同一ドメイン ルート: Reply-To help@supplier.example.test 。完全ドメイン不一致ルールではフラグが立てられませんが、これはメールボックスまたは要求された情報が承認されていることを証明するものではありません。
- スコープ付き例外: Reply-To case@tickets.example.test ;架空のインベントリでは、定期的なサポート チケットに対してのみこのサービスが許可されていると仮定します。支払い変更や機密文書の許可ではなく、その目的のために想定されているものとして扱います。
これらの例は、書き込まれた値と決定であり、含まれる .eml ファイル、パーサーの実行、または実際の認証結果ではありません。 DKIM署名は偽造されません。提案されたサービス所有者は、実際に応答する前に、受信者と許可された情報の両方を検証します。メール調査者は、元のバイトと信頼できる認証証拠を個別に取得します。
ワークフローに照らして返信先を検証する
サービス所有者に、このメッセージ タイプに外部宛先が予期されるかどうか、および提案された情報にそれが適切であるかどうかを尋ねます。サポート メールボックスは請求の送信者とは正当に異なる場合がありますが、それでも支払い指示や機密性の高い添付ファイルには適していません。承認は、単にドメインの存在だけでなく、目的と一致している必要があります。
予期しないリクエストの場合は、既知の独立したチャネルを通じて想定される送信者に連絡します。機密資料を電子メールで送信して、疑わしい宛先をテストしないでください。クライアントが返信先を自動的に入力した場合は、宛先が確認されるまで下書きをキャンセルしてください。
フィールドレベルの質問を終了します
不一致が予期されていたものであるか、不正であるか、未解決であるか、およびその結果を裏付ける証拠は何かを記録します。認証結果は別の観察として保管してください。これにより、有用な区別が維持されます。つまり、メッセージはそのままでドメイン認証されている一方で、提案された応答ルートがビジネス アクションには不適切である可能性があります。