이메일에는 여러 ID가 포함되어 있으며 다양한 질문에 답합니다. SMTP 봉투는 전송을 지시하고 작성자가 제공한 헤더는 메시지를 설명하며 수신 시스템은 추적 정보를 추가하고 인증 평가자는 결과를 보고합니다. 설득력 있는 표시 이름이나 합격을 알리는 문구만으로는 출처가 충분하지 않습니다. 각 가치를 창출한 시스템이 무엇인지, 조직이 실제로 신뢰할 수 있는 부분이 무엇인지 파악하는 것부터 시작하세요.
봉투와 내용물 구별하기
메일 보낸 사람 RCPT TO는 SMTP 트랜잭션에 속합니다. 표시되는 From 및 To 헤더와 일치할 필요는 없습니다. 반송 주소, 메일링 리스트, 별칭, 숨은 참조 수신자 또는 전달 규칙을 통해 차이가 합법적일 수 있습니다. 단순히 To와 Cc를 읽는 것만으로는 배달에 사용되는 수신자 세트가 재구성되지 않습니다.
최종 전달 시스템은 역방향 경로를 기록합니다. Return-Path ~에 따르면 RFC 5321. 해당 헤더는 삽입 경계가 신뢰할 수 있는 경우 배달 시 봉투에 대한 증거입니다. 이는 원저자의 신원을 나타내는 보편적인 인증서가 아닙니다. 전달은 홉 사이의 엔벨로프를 다시 작성할 수 있으므로 경로 전체에 걸쳐 하나의 주소가 지속된다고 가정하기보다는 관련 트랜잭션을 비교하십시오.
보이는 필드에 속성 지정
보낸 사람은 아래의 메시지 작성자 필드를 식별합니다. RFC 5322. Sender가 사용되면 해당 필드에서 정의된 의미에서 전송을 담당하는 에이전트를 식별합니다. 회신 대상은 제안된 회신 대상을 제공합니다. 날짜와 메시지 ID는 해석과 상관 관계를 보조하지만 메시지에 나타나는 것만으로는 독립적으로 인증되지 않습니다.
DKIM 확인은 서명 도메인과 관련하여 서명된 헤더 콘텐츠를 인증할 수 있습니다. 서명되지 않은 모든 필드를 확인된 증거로 바꾸거나 From에 이름이 지정된 사람이 비즈니스 거래를 승인했음을 입증하지 않습니다. 어떤 서명이 전달되었는지, 해당 d 도메인과 서명된 헤더 목록을 검사합니다. DMARC 조정 보이는 From 도메인과 관련 인증에 관한 것입니다. SPF 또는 일치하는 회신 주소 또는 메시지 ID가 아닌 DKIM 도메인.
수신 경계 설정
수신 SMTP 서버 앞에 수신 추적 필드가 추가됩니다. 조직이 운영하는 시스템과 그들이 관찰한 외부 경계에 대한 지식을 바탕으로 추적을 읽어보세요. 이전에 제공되었거나 외부에서 제공된 추적 텍스트는 오해의 소지가 있을 수 있습니다. 비슷하게, RFC 8601 정의하다 Authentication-Results 이해된 신뢰 범위 내에서 공격자는 유리한 결과처럼 보이는 헤더를 삽입할 수 있습니다.
두 개의 Authentication-Results 필드가 있는 가상의 메시지를 생각해 보세요. 하나는 receiver.example 에서 가져온 것이고 다른 하나는 forged.example 에서 가져온 것입니다. 두 라벨 모두 자체 원산지를 증명하지 않습니다. 수신 서비스의 문서화된 경계 및 로그에 승인된 검증자가 이를 삽입했음이 확인된 경우에만 첫 번째 서비스를 신뢰하십시오. 그렇지 않으면 출처가 확인되지 않은 것으로 표시됩니다. 두 번째는 단순히 pass가 포함되어 있다고 해서 인증의 증거가 아닙니다.
지도를 조사로 바꾸세요
각 관련 ID에 대해 값, 소스 시스템, 관찰된 홉, 신뢰 기반 및 답변하는 질문을 기록합니다. 표시되는 작성자 도메인은 인증된 제출 계정 또는 봉투 반송 도메인과 다른 질문에 답변합니다. 제한된 증거 저장소에 원본 바이트를 보관하고 일상적인 토론을 위해 수정된 작업 복사본을 사용합니다. 수정 작업으로 인해 DKIM 무효화될 수 있으므로 확인이 필요한 경우 손대지 않은 원본을 보존하세요.
헤더 맵을 SMTP 로그 및 신뢰할 수 있는 수신자 결과와 비교하세요. 가상의 청구 경로에서 MAIL FROM은 bounce@vendor.example 이고 From은 invoices@brand.example 입니다. 그 차이는 타당할 수 있습니다. 검증된 DKIM 서명 d=brand.example 사용하면 봉투 도메인이 다르더라도 정확한 정렬을 제공할 수 있습니다. 적용 가능한 DMARC 정책이 있고 해결되지 않은 평가 오류가 없다고 가정합니다. 실제 공급자, 서명 또는 메시지는 여기서 테스트되지 않았습니다.
어떤 도메인이 인증되었는지, 어떤 경로가 관찰되었는지, 어떤 권한 부여 질문이 남아 있는지에 대한 증거와 관련된 결론으로 마무리합니다. 이러한 조사 결과를 모든 필드 또는 요청된 조치가 신뢰할 수 있다는 주장으로 축소하지 마십시오.
5열 출처 메모 사용
- 값: 원본 증거에서 정확한 필드 또는 봉투 ID를 복사합니다.
- 생산자: 어떤 클라이언트, 중계, 배달 서비스 또는 검증자가 이를 제공했는지 식별합니다.
- 홉(Hop): 관찰된 트랜잭션 또는 수신 경계를 기록합니다.
- 신뢰 기반: 해당 시스템의 기록이 신뢰할 수 있는 이유를 설명하거나 신뢰할 수 없음이라는 라벨을 붙입니다.
- 의미: 가치가 대답하는 질문과 그것이 증명하지 못하는 신원 또는 사업 허가를 명시합니다.