Wiadomość, która wydaje się mieć dwóch nadawców, może obejmować kilka różnych elementów: jedno pole Od zawierające wielu autorów, dwa oddzielne pola Od lub nazwę wyświetlaną wyglądającą jak inny adres. To są różne przypadki analizowania i bezpieczeństwa. Zrzut ekranu linii nadawczej klienta pocztowego nie pozwala na ich niezawodne rozróżnienie.
Zachowaj oryginalny nagłówek wiadomości i zacznij od jego struktury. Nie wybieraj po cichu adresu, który pasuje do przechodzącego podpisu. Może to ukryć dwuznaczność, którą odbiorca i odbiorca muszą zrozumieć.
Oddziel liczbę pól od liczby adresów
RFC 5322 dopuszcza pojedyncze pole Od z listą skrzynek pocztowych. Jeśli lista ta zawiera więcej niż jedną skrzynkę pocztową, wymagane jest pole Nadawca z jedną skrzynką pocztową. Reguły formatu wiadomości nadal określają jedno pole Od, więc dwa oddzielne pola Od nie są tą samą konstrukcją, co jedno prawidłowe pole wielu autorów.
Nadawca identyfikuje agenta nadawczego w modelu formatu wiadomości. Nie zastępuje domeny From as DMARCDomena autora. Odpowiedź na, Return-Path i nazwa wyświetlana również służą różnym celom.
Używać przewodnik po łańcuchu tożsamości aby oddzielić te role przed zbadaniem uwierzytelnienia.
Zastosuj jawnie regułę domeny DMARC
RFC 9989normalne przetwarzanie wymaga dokładnie jednego wyodrębnionego z domeny. Jeśli zostanie wyodrębniona zero lub więcej niż jedna domena, jej zwykły proces sprawdzania kończy się. Specyfikacja pozwala odbiornikowi kontynuować pracę w przypadku wielu domen i omawia implikacje dotyczące bezpieczeństwa i przetwarzania.
Nie oznacza to, że narzędzie diagnostyczne może wybrać najdogodniejszego autora i zgłosić bezwarunkowy sukces. Jeśli odbiorca zdecyduje się ocenić wiele domen, należy zarejestrować wynikającą z tego procedurę i zakres.
W sekcji 11.5 omówiono ocenę każdej domeny i zastosowanie najsilniejszej polityki spośród kontroli, które zakończyły się niepowodzeniem. Ostrzega również, że przetwarzanie nadmiernej liczby domen może spowodować problemy z zasobami; jeżeli nie wszystkie zostaną przetworzone, ocena jest niekompletna. Są to kwestie związane z obsługą odbiorcy, a nie obietnica, że każdy produkt będzie akceptował lub wyświetlał taką pocztę w identyczny sposób.
Używaj kontrolowanych przypadków z oznakowanymi oczekiwaniami
Poniższe przypadki to syntetyczne fragmenty nagłówka. Nie są to wykonywane testy ani zgłaszane wyniki odbiorcy, a każdy z nich potrzebowałby reszty poprawnie skonstruowanego komunikatu w kontrolowanym teście.
| Sprawa | Pola ilustracyjne | Ocena do zapisania |
|---|---|---|
| Pojedynczy autor | Od: author@example.com | Zwykła ścieżka w jednej domenie, podlegająca kontroli pozostałej wiadomości i uwierzytelnienia |
| Wielu autorów w jednej dziedzinie | Od: author@example.com , editor@example.net | Przy wymaganym oddzielnym polu nadawcy dla pojedynczej skrzynki pocztowej może to być prawidłowy format dla wielu autorów; wiele domen Z nadal wymaga analizy wyjątkowej obsługi DMARC |
| Duplikuj pola z | Jedno pole Od dla example.com i drugie dla example.net | Wada formatu wiadomości; nie naprawiaj go w sposób niewidoczny, jednocześnie żądając oceny oryginalnej wiadomości |
| Nazwa wyświetlana przypominająca adres | Wyświetl tekst zawierający pozorny adres przed rzeczywistą skrzynką pocztową | Przeanalizuj rzeczywistą domenę skrzynki pocztowej; oddzielnie ocenić ryzyko związane z wyświetlaniem |
W każdym przypadku zachowaj surowe dane wyjściowe urządzenia i parsera. Zlicz pola, wylistuj wyodrębnione wartości skrzynek pocztowych i zapisz wynik domeny, który doprowadził do wybranej ścieżki przetwarzania. Jeśli dwie skrzynki pocztowe korzystają z tej samej domeny, nie zakładaj, że wyświetlacz klienta poczty odpowiada, w jaki sposób oceniający radzi sobie z konstrukcją z wieloma autorami; zachowaj wynik ekstrakcji i przetestuj implementację.
Zachowaj dowody uwierzytelnienia powiązane z przeanalizowaną tożsamością
Jakiś SPF Lub DKIM przepustka na jedną domenę nie może wyjaśniać innej wyświetlanej tożsamości bez wymaganego wyrównanie analiza. Zachowaj wszystkie istotne wartości DKIM d i wyniki zaufanych odbiorców. Zachowaj także dokładne bajty From, łącznie ze składaniem i komentarzami, aby można było odtworzyć analizę.
Nie przepisuj oryginału Od jednemu autorowi przed sprawdzeniem oryginalnego podpisu lub sprawdzeniem, co zobaczył system odbierający. Przepisana kopia może być użyteczna jako oddzielny przypadek testowy, ale oznacz ją jako zmodyfikowane urządzenie z innym pytaniem identyfikacyjnym.
Odrzucona próba może nigdy nie wygenerować dostarczonych nagłówków. Zachowaj odpowiedzi SMTP i dzienniki odbiorcze, jeśli są dostępne, zamiast wymyślać dostarczone Authentication-Results próbka.
Prezentacja testu i jego przetwarzanie
Kwestia bezpieczeństwa obejmuje to, co widzi odbiorca. Jeden komponent może ocenić jedną konstrukcję, podczas gdy klient pocztowy wyróżnia innego widocznego autora. W autoryzowanym środowisku testowym porównaj dane wyjściowe parsera, wynik uwierzytelnienia, obsługę i wyświetloną linię nadawczą dla dokładnie tego samego urządzenia.
Rejestruj wersje oprogramowania i ustawienia na podstawie rzeczywistych obserwacji. Nie kopiuj zachowania jednego klienta do uniwersalnego roszczenia. RFC 9989 identyfikuje konstrukcje wielodomenowe jako potencjalny sposób uniknięcia normalnego przetwarzania DMARC , dlatego wynik oznaczony jako „nie oceniony” nie powinien być przedstawiany jako „bezpieczny”.
Praktyczna konfiguracja poczty wychodzącej zazwyczaj korzysta z jednej czystej skrzynki pocztowej Od dla zwykłej poczty automatycznej. Jeśli potrzebna jest prawdziwa funkcja wielu autorów, potwierdź odpowiedni format i obsługiwaną obsługę w systemach, które będą je przetwarzać, zamiast zakładać, że wymagane pole nadawcy rozwiązuje każdy problem z uwierzytelnianiem na dalszym etapie.
Badanie jest zakończone, gdy zachowuje oryginalną składnię, wyjaśnia decyzję dotyczącą wyodrębnionej domeny i łączy tę decyzję z rzeczywistą obsługą i prezentacją odbiornika. Zachowaj widoczność wyjątkowego lub niekompletnego przetwarzania, zamiast generować pojedynczą odpowiedź dotyczącą zielonego uwierzytelnienia.