De zin DMARC bypass kan heel verschillende gebeurtenissen beschrijven. Een geldige pas van een overgeautoriseerde bron, levering ondanks een falend resultaat en een implementatiefout zijn niet hetzelfde falen. Begin met een falsifieerbare bewering: welke identiteit werd beweerd, welk bewijsmateriaal werd vertrouwd en welke beslissing week af van de verwachte regel?
Reconstrueer de waargenomen beslissing
Behoud het auteursdomein, het envelopdomein, de ondertekeningsdomeinen, de vertrouwde authenticatieresultaten en de beschikking over de ontvanger. Leg het beleid en de observatietijd vast. Een afgeleverd bericht bewijst op zichzelf niet dat er sprake is van een DMARC -pas. De afhandeling door de ontvanger omvat lokaal beleid, en de door een domeineigenaar aangevraagde behandeling is geen universele leveringsgarantie. RFC 9989.
Zo ook een gekopieerde Authentication-Results string is geen bewijs van de beslissing van het ontvangende systeem. Breng de vertrouwde authenticatieservice en relevante hop tot stand. RFC 8601. Als het enige bewijs een screenshot is waarop staat dat de claim is goedgekeurd, moet u de claim als onopgelost laten totdat de onderliggende identiteiten en vertrouwenscontext beschikbaar zijn.
Scheid over-autorisatie van regelontduiking
BreakSPF onderzoekt hoe tolerant SPF autorisatie en toegang tot gedeelde infrastructuur kunnen dit mogelijk maken spoofen. Het dreigingsmodel geeft de aanvaller een geschikt bronpad; de ontvanger kan vervolgens de gepubliceerde autorisatie als geschreven beoordelen. BreakSPF, sectie III.A en figuur 3.
Als de door de aanvaller bestuurde bron zich binnen een geautoriseerd bereik bevindt en een uitgelijnde envelopidentiteit gebruikt, kan de gewone doorgangsregel slagen. De zwakte zit hem in de verleende autoriteit of de servicegrens, en niet in een nieuwe definitie van DMARC . Omgekeerd, als alleen een niet-gerelateerde identiteit authenticeert en het auteurdomein niet op één lijn ligt, heeft een geclaimde pas een andere uitleg nodig.
Classificeer drie hypothetische bevindingen
Ga uit van een enkele zichtbare From alerts@brand.test en een anderszins in aanmerking komende DMARC evaluatie. Dit zijn geschreven hypothesen, geen waargenomen incidenten.
- Autorisatiegeval: bron 192.0.2.99 ligt binnen een bepaald SPF ip4:192.0.2.0/24 ; MAIL VAN bounce@brand.test voldoet aan SPF ; Nee DKIM -handtekening. Het uitgelijnde SPF pad levert een DMARC -pas op berichtniveau op. Vraag of die bron werkelijk controleerbaar is door een onbedoelde afzender en welke eigenaar hem de bevoegdheid heeft verleend.
- Behandelingsgeval: MAIL FROM bounce@other.test passeert SPF en DKIM d=other.test passes, but assume neither aligns with brand.test. DMARC fails. If the trusted receiver record separately says delivered, investigate its handling policy; delivery alone has not changed the failed uitlijning resultaat.
- Bewijsgeval: een gekopieerde header zegt geslaagd, maar de herkomst van de vertrouwde ontvanger, de geëvalueerde identiteiten en het toegepaste beleid zijn onbekend. Er is geen sprake van een protocolovertreding, noch van een betrouwbare pas. Vraag het origineel en het record aan de ontvangerzijde op.
Een geautoriseerde positieve afzender 192.0.2.10 en een externe bron 198.51.100.10 kunnen voorgestelde controles bieden bij het onderzoeken van het eerste geval. Een hypothetisch ip4:192.0.2.10/32 -all record geeft alleen de eerste toe; uit deze voorvoegselberekening volgt geen echte productieverandering. Er is hier geen uitgevoerde parser, handtekeningcontrole of exploit.
RFC9989 sectie 7.4 vereist geldige DKIM voor het publiceren van domeinen p=reject. Een op passeren afgestemd SPF mechanisme is voldoende voor de doorgangsvoorwaarde van een bepaald bericht, maar is geen aanbeveling voor het afdwingen van alleen SPF.
Maak de bevinding uitvoerbaar
Noem de gereproduceerde aandoening en het bewijsmateriaal dat nog steeds ontbreekt. Een nuttige bevinding is dat een gespecificeerde bron wordt toegelaten door een gespecificeerde autorisatie en de verantwoordelijke eigenaar identificeert. Er staat niet dat alle DMARC bescherming is verslagen. Controleer of de echte dienst de identiteit van de huurder beperkt, of de bron daadwerkelijk controleerbaar is en of de ontvanger het geclaimde resultaat heeft toegepast.
Zorg voor een onschadelijke geautoriseerde positieve controle bij het testen van een voorgestelde beperking. Het verkleinen van een bereik of het wijzigen van een connector kan legitieme afzenders kapot maken. Vereist routespecifieke goedkeuring van wijzigingen en verificatie na wijziging, en zorgt ervoor dat het gedrag van de provider dat niet in het lab is getest expliciet onopgelost blijft. Dit ondersteunt een precieze oplossing zonder een educatief model te overdrijven tot een productiekwetsbaarheid.