다운스트림 DMARC pass는 메시지를 시작한 사람이 표시되는 보낸 사람을 사용할 권한이 있는지 확인하지 않습니다. Engage Security의 2025년 12월 LaunDroMARC 연구에서는 재메일링이 평가된 ID를 변경하는 간접적인 경로를 설명합니다. SPF. 결과를 범용 DMARC 우회로 설명하거나 현재 모든 Microsoft 테넌트가 동일한 방식으로 동작한다고 가정하기 전에 개별 홉을 이해하십시오.
두 증거 소스를 분리하세요.
원래 연구원은 자체 봉투 도메인에 대해서는 SPF 통과했지만 모방된 가시 발신 도메인에 대해서는 DMARC 실패한 수신 메시지에 대해 설명합니다. 보고된 사례에서 Microsoft 365 전달 경로는 표시되는 보낸 사람 도메인과도 일치하는 전달 도메인에 봉투를 다시 썼습니다. 최종 수신자는 정렬된 SPF 관찰했습니다. 연구자들은 원본과 전달된 사본이 서로 다르게 처리된다고 보고합니다. 이는 본 검토를 위해 관찰한 내용이 아니라 조사 결과에 따른 결과입니다. 보안 연구 참여.
Microsoft의 문서에는 다음과 같이 설명되어 있습니다. SRS 변화 메일 보낸 사람, 표시되는 보낸 사람 필드가 아니며 적용 가능한 전달 경로에 대한 재작성 패턴을 제공합니다. 또한 SRS는 일반적으로 DMARC 해결하지 못한다고 경고합니다. 조정 전달된 메일의 경우. 이러한 진술은 연구의 특별한 정체성 일치와 양립할 수 있습니다. 일반적으로 원래의 From 도메인은 전달자의 도메인과 다릅니다. 신고된 사례는 의도적으로 동일한 도메인과 관련되어 있습니다. 마이크로소프트 SRS 문서.
다운스트림 결과 이해
참고자료: RFC 9989 §4.4, RFC 8601 §5.
SPF 연결 호스트가 해당 홉의 봉투 ID에 대해 인증되었는지 묻습니다. DMARC 인증된 도메인을 표시되는 보낸 사람 도메인과 비교합니다. 두 결과 모두 단독으로 원래 행위자가 전달 워크플로에 대한 액세스 권한을 얻은 방법을 재구성하지 못합니다. 따라서 다운스트림 정렬 결과는 평가된 신원에 대해 정확할 수 있지만 여전히 비즈니스 승인에 대한 증거는 부족합니다.
SRS 모양을 해석하지 마십시오. Return-Path 마이크로소프트가 그것을 생산했다는 증거로. 최종 수신자의 신뢰할 수 있는 결과, 피어 정보 및 메시지 추적을 보존하고 수신 및 전달 경계의 증거를 비교합니다. 임의 임베디드 Authentication-Results 텍스트는 신뢰할 수 있는 결과가 아닙니다. RFC 8601 신뢰 경계 요구 사항을 설명합니다. RFC 9989 도메인 정렬 컨텍스트를 제공합니다.
동일성 비교만 재현
비공개 리뷰 패키지의 배달 불가 모델에는 두 가지 가상 사례가 포함되어 있습니다. 일반적인 경우 원래 표시되는 Author.test 도메인은 다시 작성된 Forwarder.test 봉투와 다르므로 가정된 다운스트림 SPF 통과는 정렬되지 않은 상태로 유지됩니다. 두 번째 경우에는 표시되는 도메인이 Forwarder.test입니다. 이제 동일한 다시 작성된 봉투가 정렬됩니다. 둘 다 다른 원래 봉투 도메인으로 시작하고 정렬되지 않았습니다. DKIM.
유지된 픽스처 입력은 이 정확한 도메인 비교를 사용하여 2026년 11월 8일에 오프라인으로 다시 계산되었습니다. 스푸핑된 메일을 보내거나, 전달 규칙을 생성하거나, Exchange Online 실행하거나, SRS 해시를 구현하거나, 현재 테넌트가 경로를 수락하는지 증명하지 않습니다. 그 목적은 실제 서비스에 대한 공격을 재현하지 않고 두 판정이 다른 이유를 설명하는 것입니다. 과거 공급업체 행동, 현재 테넌트 행동 및 추상 비교는 별도로 레이블이 지정됩니다.
방어적으로 조사하다
재고 승인 외부 전달 및 해당 사업주. 사고가 의심되는 경우 원본 및 전달된 사본, 타임스탬프, 라우팅 방법, 전달 전 인증 및 최종 결과를 보존합니다. 규칙을 변경하기 전에 공급자의 현재 문서와 메시지 추적을 검토하세요. Microsoft 소스는 적용 가능한 전달을 릴레이 풀 및 온-프레미스 사례와 구별하므로 단일 구성 클레임으로는 모든 경로를 포괄하기에 충분하지 않습니다.
조직에서 승인한 메일 보안 프로세스를 통해 변경 사항을 적용하고 이후에 합법적인 워크플로를 테스트합니다. 공급자 인프라 또는 다운스트림 통과 결과만을 기반으로 하는 광범위한 허용 규칙을 피하세요. 이 문서에서는 메커니즘과 조사 질문을 설정합니다. 확인되지 않은 수정 날짜, 보편적인 노출, 성공적인 악용 또는 현재 Microsoft 서비스 결함을 주장하지 않습니다.