Uttrykket DMARC bypass kan beskrive svært forskjellige hendelser. Et gyldig pass fra en overautorisert kilde, levering til tross for et sviktende resultat og en implementeringsfeil er ikke den samme feilen. Start med en falsifiserbar påstand: hvilken identitet ble hevdet, hvilke bevis ble klarert og hvilken avgjørelse skilte seg fra den forventede regelen?
Rekonstruer den observerte avgjørelsen
Bevar forfatterdomenet, konvoluttdomenet, signeringsdomener, pålitelige autentiseringsresultater og mottakerdisposisjon. Registrer politikken og observasjonstiden. En melding som leveres, beviser ikke i seg selv et DMARC pass. Mottakerhåndtering inkluderer lokale retningslinjer, og en domeneeiers forespurte behandling er ikke en universell leveringsgaranti. RFC 9989.
Likeledes en kopiert Authentication-Results streng er ikke bevis på mottakersystemets beslutning. Etabler den pålitelige autentiseringstjenesten og relevant hop. RFC 8601. Hvis det eneste beviset er et skjermbilde som sier bestått, bevar kravet som uløst inntil de underliggende identitetene og tillitskonteksten er tilgjengelig.
Skille overautorisasjon fra regelunndragelse
BreakSPF studerer hvor ettergivende SPF autorisasjon og tilgang til delt infrastruktur kan tillate forfalskning. Trusselmodellen gir angriperen en kvalifisert kildebane; mottakeren kan deretter vurdere den publiserte autorisasjonen som skrevet. BreakSPF, seksjon III.A og figur 3.
Hvis den angriperkontrollerte kilden er innenfor et autorisert område og bruker en justert konvoluttidentitet, kan den vanlige passregelen lykkes. Svakheten ligger i autoriteten som er gitt eller tjenestegrensen, snarere enn en ny definisjon av DMARC . Omvendt, hvis bare en ikke-relatert identitet autentiseres og forfatterdomenet ikke er justert, trenger et krav om pass en annen forklaring.
Klassifiser tre hypotetiske funn
Anta en enkelt synlig From alerts@brand.test og en ellers kvalifisert DMARC evaluering. Dette er skriftlige hypoteser, ikke observerte hendelser.
- Autorisasjonssak: kilde 192.0.2.99 er innenfor et fastsatt SPF ip4:192.0.2.0/24 ; POST FRA bounce@brand.test passerer SPF ; ingen DKIM signatur. Den justerte SPF banen gir en DMARC -passering på meldingsnivå. Spør om den kilden virkelig er kontrollerbar av en utilsiktet avsender og hvilken eier som har gitt den autoritet.
- Håndteringssak: POST FRA bounce@other.test består SPF og DKIM d=other.test passes, but assume neither aligns with brand.test. DMARC fails. If the trusted receiver record separately says delivered, investigate its handling policy; delivery alone has not changed the failed justering resultat.
- Bevissak: en kopiert overskrift sier bestått, men pålitelig mottakeropprinnelse, evaluerte identiteter og anvendt policy er ukjent. Verken et protokollbrudd eller et pålitelig pass er etablert. Be om originalen og mottakersiden.
En autorisert positiv avsender 192.0.2.10 og en ekstern kilde 198.51.100.10 kan gi foreslåtte kontroller ved undersøkelse av den første saken. En hypotetisk ip4:192.0.2.10/32 -all post tillater bare førstnevnte; ingen reell produksjonsendring følger av denne prefiksaritmetikken. Det er ingen utført parser, signatursjekk eller utnyttelse her.
RFC9989 avsnitt 7.4 krever gyldig DKIM for domenepublisering p=reject. En bestått justert SPF mekanisme er tilstrekkelig for en bestemt meldings beståtttilstand, men er ikke en anbefaling for kun SPF-håndhevelse.
Gjør funnet handlingsdyktig
Nevn den gjengitte tilstanden og bevisene mangler fortsatt. Et nyttig funn sier at en spesifisert kilde er innrømmet med en spesifisert autorisasjon og identifiserer den ansvarlige eieren. Det står ikke at all DMARC beskyttelse er beseiret. Sjekk om den virkelige tjenesten begrenser leietakers identiteter, om kilden faktisk er kontrollerbar og om mottakeren har brukt det påståtte resultatet.
Bevar en harmløs autorisert positiv kontroll når du tester en foreslått avbøtende behandling. Å begrense et område eller endre en kobling kan ødelegge legitime avsendere. Krev rutespesifikk endringsgodkjenning og bekreftelse etter endring, og hold leverandørens atferd som ikke er testet i laboratoriet eksplisitt uløst. Dette støtter en presis løsning uten å overdrive en pedagogisk modell til en produksjonssårbarhet.