Wyrównanie jest relacją domenową w centrum DMARC. SPF Lub DKIM może uchodzić za domenę, która nie ma żadnego kwalifikującego się związku z domeną w polu From. DMARC potrzebuje co najmniej jednej ścieżki przechodzącej, która również jest zgodna.
Ścisłe i luźne dopasowanie definiują różne granice zaufania. Wybór nie jest po prostu „bezpieczniejszy” w porównaniu z „bardziej kompatybilnym”. Określa, które relacje domen kontrolowanych mogą spełnić kryteria oceny.
Zidentyfikuj domeny przed ich porównaniem
Odniesienia do protokołu: RFC 9989 §3.2.2, RFC 9989 §4.4.1, RFC 9989 §4.4.2. Poniższe operacyjne listy kontrolne i decyzje stanowią wskazówki redakcyjne.
Dla każdej wiadomości otrzymanej przez przedstawiciela zapisz:
- Pole: Widoczne z; Domena używana do wyrównania: oceniana jest domena autora DMARC
- Pole: SPF ; Domena używana do wyrównania: uwierzytelniona domena koperty dla odpowiedniego wyniku SPF
- Pole: DKIM ; Domena używana do wyrównania: domena d= każdego przechodzącego podpisu
Uwierzytelnianie i wyrównanie to osobne kolumny. Najpierw ustal, czy SPF czy A Podpis DKIM przeszedł. Następnie porównaj tę przekazującą tożsamość z domeną autora w skonfigurowanym trybie.
Surowa przepustka dla niepowiązanej domeny dostawcy pozostaje użytecznym dowodem protokołu, ale nie jest dostosowywana, ponieważ organizacja ma konto komercyjne u dostawcy.
Ścisłe wyrównanie wymaga dokładnych domen
Odniesienia do protokołu: RFC 9989 §3.2.10.2. Poniższe operacyjne listy kontrolne i decyzje stanowią wskazówki redakcyjne.
W przypadku ścisłego dostosowania SPF uwierzytelniona domena SPF musi dokładnie odpowiadać domenie autora. W przypadku ścisłego dopasowania DKIM domena d= przekazującego podpisu musi dokładnie odpowiadać domenie autora.
W przypadku wszystkich poniższych urządzeń załóż obowiązującą, obowiązującą politykę, zakończone kontrole i wykrytą witrynę example.com domena organizacyjna. Rozważmy syntetyczną wiadomość z From na billing.example.com :
- Ścieżka: SPF ; Domena uwierzytelniona: billing.example.com ; Surowy wynik: Pass; Ścisłe wyrównanie: Tak
- Ścieżka: DKIM ; Domena uwierzytelniona: example.com ; Surowy wynik: Pass; Ścisłe wyrównanie: Nie
W tym przykładzie wiadomość może spełniać wymagania DMARC poprzez SPF . Przekazujący podpis DKIM nie jest ściśle dopasowany, ponieważ example.com i billing.example.com nie są dokładnie dopasowane.
Zrelaksowane dopasowanie wykorzystuje relację organizacja-domena
Odniesienia do protokołu: RFC 9989 §3.2.10.1, RFC 9989 §4.10.2. Poniższe operacyjne listy kontrolne i decyzje stanowią wskazówki redakcyjne.
Swobodne dostosowanie może zaakceptować obowiązującą relację organizacja-domena zdefiniowaną przez DMARC . Nie jest to skrót składający się z dwóch ostatnich etykiet ani dowolne dopasowanie sufiksu.
Korzystanie z tej samej fikcyjnej domeny autora billing.example.com :
- Domena uwierzytelniona: mail.example.com ; Surowy wynik: Pass; Swobodna relacja: ta sama domena organizacyjna; Wynik dla tej ścieżki: Wyrównany
- Domena uwierzytelniona: example.com ; Surowy wynik: Pass; Swobodna relacja: ta sama domena organizacyjna; Wynik dla tej ścieżki: Wyrównany
- Domena uwierzytelniona: example.net ; Surowy wynik: Pass; Zrelaksowany związek: niepowiązana domena; Wynik dla tej ścieżki: Niedopasowany
- Uwierzytelniona domena: customer-example.com ; Surowy wynik: Pass; Zrelaksowany związek: tylko podobny tekst; Wynik dla tej ścieżki: Niedopasowany
Dokładny wynik zależy od prawidłowego przetwarzania w domenie zasad. Kod kraju i sufiksy kontrolowane prywatnie to przykłady powodów, dla których wizualne liczenie etykiet jest niebezpieczne.
Traktuj delegowane subdomeny jako uprawnienia
Załóżmy, że organizacja kontroluje witrynę example.com , ale deleguje campaigns.example.com do marketingowej jednostki biznesowej lub platformy zewnętrznej. W przypadku swobodnego dopasowania przekazująca tożsamość w ramach tej samej mającej zastosowanie relacji organizacja-domena może zostać dopasowana do innej subdomeny From.
To może być przydatne operacyjnie. Oznacza to również, że organizacja musi wiedzieć, kto może tworzyć tożsamości podpisujące, domeny kopertowe i adresy nadawcy poniżej odpowiednich granic.
Ryzyko nie polega na tym, że swobodne ustawienie jest automatycznie niebezpieczne. Ryzyko polega na przyznaniu uprawnień do subdomeny bez utrzymywanego modelu własności. Zapomniane delegowanie może stać się ścieżką uwierzytelniania, która pozostaje technicznie dostosowana.
Porównaj dwa modele delegowania
Model A: subdomeny zarządzane centralnie
Zmiany DNS , selektory DKIM i wdrażanie nadawcy wymagają centralnego zatwierdzenia. W tym hipotetycznym modelu kontrole techniczne ograniczają to, jakie tożsamości mogą tworzyć delegowane zespoły; sama polityka zatwierdzania nie może ustanowić tego ograniczenia. Swobodne wyrównanie może zmniejszyć tarcia konfiguracyjne, podczas gdy model zarządzania ogranicza, kto może korzystać z przestrzeni nazw.
Model B: szeroka niezależna delegacja
Jednostki biznesowe lub dostawcy kontrolują poddomeny i klucze podpisujące za pomocą ograniczonych zasobów centralnych. Swobodne dopasowanie może sprawić, że te niezależnie obsługiwane tożsamości będą istotne dla oceny DMARC dla powiązanych domen From. Ścisłe wyrównanie zawęża relację, ale nie naprawia nieznanych delegacji ani naruszonych kluczy.
Wyrównanie wybieraj dopiero po ustaleniu, który model przypomina rzeczywistość.
Użyj jednej wiadomości, aby obliczyć wynik
Odniesienia do protokołu: RFC 9989 §5.3.5. Poniższe operacyjne listy kontrolne i decyzje stanowią wskazówki redakcyjne.
Ta fikcyjna wiadomość zawiera:
- Obserwacja: Od; Wartość: alerts@security.example.com
- Obserwacja: SPF ; Wartość: Przekaż dla bounce.notifications.example.com
- Obserwacja: DKIM 1; Wartość: podaj z d=notifications.example.com
- Obserwacja: DKIM 2; Wartość: Przekaż z d=mailer.example.net
- Obserwacja: aspf; Wartość: s
- Obserwacja: adkim; Wartość: r
SPF nie jest ściśle dopasowany, ponieważ bounce.notifications.example.com nie jest dokładnym dopasowaniem do security.example.com . DKIM 1 może działać w ramach luźnej relacji organizacja-domena. DKIM 2 nie jest wyrównany, ponieważ example.net nie jest powiązany.
Wiadomość ma zatem kwalifikującą się ścieżkę DKIM i może przekazać DMARC na poziomie wiadomości. Wniosek ten nie wymaga wyrównania obu mechanizmów, a niepowiązany drugi podpis nie anuluje wyrównanego mijającego podpisu.
Zdecyduj, korzystając z inwentarza zaufania
Dla każdej rodziny domen zapisz:
- granice organizacyjne wykorzystywane do przetwarzania zasad;
- każda delegowana subdomena i odpowiedzialny właściciel;
- systemy mogą wybierać widoczne z domen;
- systemy umożliwiające tworzenie tożsamości kopertowych;
- Klucz DKIM i selektor właściciele;
- czy ścisłe dostosowanie jest technicznie obsługiwane;
- daty wyjątków i wygaśnięcia;
- dowody z otrzymanych wiadomości reprezentatywnych.
Nie wnioskuj o własności na podstawie samego DNS . Potwierdź właściciela firmy i jej przeznaczenie.
Zmień wyrównanie bez niszczenia legalnej poczty
Przed przejściem od wyrównania swobodnego do ścisłego przetestuj każdą trasę, która obecnie przechodzi tylko przez pokrewną, ale nieidentyczną domenę. Typowe przykłady obejmują podpis DKIM domeny nadrzędnej dla subdomeny From lub udostępnionej subdomeny zwrotnej.
Plan kontrolowanych zmian obejmuje bieżące i proponowane tagi, nadawców, których to dotyczy, prace konfiguracyjne, testy reprezentatywne, zatwierdzenie i wycofanie zmian. Monitoruj wyniki odbiornika po zmianie DNS i zezwalaj na synchronizację pamięci podręcznej.
Przed przejściem od ścisłego do swobodnego dostosowania przejrzyj delegowanie subdomen i własność klucza. Zmiana może rozszerzyć kwalifikujące się relacje domen, dlatego zasługuje na takie samo zarządzanie, jak migracja techniczna.
Unikaj trzech typowych błędów
Odniesienia do protokołu: RFC 9989 §8. Poniższe operacyjne listy kontrolne i decyzje stanowią wskazówki redakcyjne.
Po pierwsze, nie porównuj wyświetlanych nazw. Wyrównanie porównuje domeny powiązane z uwierzytelnionymi ścieżkami i domenę autora.
Po drugie, nie zakładaj, że zrelaksowany oznacza jakąkolwiek subdomenę, która wygląda podobnie. Użyj odpowiedniej metody domeny organizacyjnej.
Po trzecie, nie traktuj przepustki DMARC na poziomie komunikatu jako pełnej gotowości programu. Niezawodne uczestnictwo wymaga również utrzymywania uwierzytelnienia, zasad, raportowania i własności. Pojedyncza, wyrównana ścieżka świadczy o rezultacie tej wiadomości, a nie o kondycji każdego nadawcy.
Sprawdź wyrównanie w przypadku zmiany właściciela
Dokonaj ponownej oceny zgodności podczas przejmowania firmy, delegowania subdomeny, zmiany platformy e-mail, zmiany kluczy DKIM lub odkrywania nieznanego nadawcy. Tagi DNS mogą pozostać niezmienione podczas rozszerzania się rzeczywistej granicy zaufania.
Właściwy tryb wyrównania to taki, w którym zaakceptowane relacje domen odpowiadają wyraźnemu, bieżącemu modelowi własności i którego legalne trasy mogą wykazywać niezawodne ścieżki mijania.
Zastosuj dowody, nie wyolbrzymiając ich
W przypadku urządzenia w trybie mieszanym ścisły SPF nie sprawdza porównania domen, DKIM 1 zapewnia zrelaksowaną, wyrównaną ścieżkę, a DKIM 2 nie zapewnia wyrównanej ścieżki. Zmiana tylko adkim na s usuwa kwalifikującą się ścieżkę DKIM ponieważ notifications.example.com nie jest security.example.com . Przy podanych założeniach dotyczących zakończonej kontroli i niezmienionych danych wejściowych żaden mechanizm nie zapewnia następnie przechodzącej wyrównanej ścieżki. To jest rozumowanie analityczne, a nie weryfikacja.