Zidentyfikuj operację kryjącą się za adresem
Adres zwany grupą może rozpowszechniać kopie, zbierać wiadomości we udostępnionej skrzynce pocztowej lub uruchamiać przepływ pracy listy mailingowej, który edytuje i redystrybuuje posty. Operacje te mają różne konsekwencje uwierzytelniania. Sklasyfikuj faktyczne kroki obsługi, zanim zapytasz, dlaczego wiadomość grupowa się nie powiodła DMARC. Znajoma etykieta produktu nie określa koperty wychodzącej, podpisanej treści ani decyzji odbiorcy.
W tym przewodniku porównano proponowane dowody, a nie sprawdzone sprawozdania. Nie uzyskano dostępu do członkostwa w grupie, udostępnionej skrzynki pocztowej, konfiguracji listy ani oryginalnej próbki dostawy. Poniższe fikcyjne przepływy ilustrują, jak zadawać lepsze pytania. Wymagane oryginalne dowody: próbki dostaw bezpośrednich i pośrednich z porównaniem trasy, koperty, podpisów i wiarygodnych wyników.
Odróżnij dystrybucję od dostępu współdzielonego
Firma Microsoft opisuje listy dystrybucyjne Exchange Online jako sposób dystrybucji wiadomości i odróżnia je od grup dynamicznych, grup zabezpieczeń i grup Microsoft 365 . Zamiast tego dokumentacja współdzielonej skrzynki pocztowej opisuje kilka osób uzyskujących dostęp do tej samej skrzynki pocztowej, z odpowiednimi uprawnieniami do wysyłania w imieniu tej skrzynki pocztowej lub w jej imieniu. Te udokumentowane cele nie przewidują sposobu, w jaki konkretny dzierżawca kieruje kopię zewnętrzną. Listy dystrybucyjne Microsoftu Udostępnione skrzynki pocztowe Microsoft
Oddziel otrzymywanie wiadomości do pamięci współdzielonej od przekazywania jej w inne miejsce i tworzenia odpowiedzi. Pracownik otwierający zapisaną wiadomość nie spowodował w ten sposób kolejnego przeskoku SMTP . Reguła przekazywania może ją utworzyć. Odpowiedź wysłana przy użyciu udostępnionego adresu jest nową wiadomością wychodzącą, której domena autora i konfiguracja podpisu wymagają własnej oceny. Zapisz, jakiej operacji faktycznie dotyczy zgłoszona awaria.
Niezależnie od siebie prześledź kopertę i wiadomość
Na każdej granicy SMTP zapisz hosta łączącego i POCZTA OD tożsamość odrębna od tego, co widzialne RFC5322. SPF ocenia połączenie wysyłające pod kątem odpowiedniej tożsamości koperty. Redystrybuowana wiadomość może zachować oryginalnego, widocznego autora, docierając do następnego odbiorcy z innego serwera. Ta różnica jest powodem do zbadania SPF , a nie dowodem na to, że każdy mechanizm dystrybucji musi zawieść. RFC 7208 sekcje 2.4 i 4
DKIM wynika z innej zależności. Podpis identyfikuje domenę podpisu i obejmuje wybrane instancje nagłówka oraz kanonizowaną treść, z zastrzeżeniem ograniczeń długości treści. Samo wysłanie tej samej treści do dodatkowych odbiorców niekoniecznie powoduje zmianę tych danych wejściowych. Edycja zakrytego materiału może spowodować unieważnienie podpisu, natomiast zmiana usunięta przez zaznaczonego kanonizacja może pozostawić weryfikację bez zmian. Sprawdź rzeczywiste wartości h=, c= i wszelkie l=. RFC 6376 sekcje 3.4–3.5
Rozpoznaj, kiedy lista staje się mediatorem
Menedżer listy mailingowej może dodać przedrostek tematu, stopkę, nagłówki list, opakowanie podsumowania lub zastępczy adres autora. RFC 7960 dokumentuje te wzorce przepływu pośredniego i problemy z ich interoperacyjnością. Użyj go jako wyjaśnienia możliwych transformacji, a nie dowodu, że nazwana lista umożliwia korzystanie z każdej funkcji. Przechwyć wiadomość przed i po redystrybucji, aby ustalić, które przekształcenia miały miejsce. RFC 7960 sekcja 3.2.3
Oceń wszystkie istotne Podpis DKIM niezależnie. Dodatkowy podpis listy nie naprawia oryginalnego podpisu, którego treść uległa zmianie. W przypadku DMARC prawidłowy podpis jest przydatny tylko wtedy, gdy jego domena podpisująca jest zgodna z ocenianą domeną autora. Podobnie, przekazanie SPF dla domeny kopertowej kontrolowanej przez listę nie zostaje ustanowione wyrównanie z niezmienioną zewnętrzną domeną autorską. RFC 6376 sekcja 4.2 RFC 9989 sekcje 3.2.10 i 5.3.5
Porównaj dwie fikcyjne gałęzie dostaw
Wyobraź sobie fikcyjną wiadomość od alex@writer.example zaadresowaną do discussion@club.example . Jeden oddział dystrybuuje niezmienioną kopię do członka zewnętrznego. Inna gałąź listy dołącza stopkę po dodaniu oryginalnego writer.example podpisu DKIM . Załóżmy, że podpis pierwotnie zweryfikowany, obejmuje całe ciało i wykorzystuje zrelaksowaną kanonizację ciała. Są to wyraźne założenia scenariusza, a nie zaobserwowane wyniki.
W niezmienionym oddziale oryginalny podpis może pozostać ważny, z zastrzeżeniem innych wymogów weryfikacyjnych. Dodana stopka na drugiej gałęzi zmienia zakrytą kanonizowaną treść i unieważnia ten podpis. Jeśli żadna z gałęzi nie ma wyrównanego SPF , pierwsza może nadal mieć wyrównaną ścieżkę DKIM podczas gdy druga wymaga innego wyjaśnienia lub ograniczenia. Sam nowy podpis domeny listy nie może być zgodny z niezmienionym writer.example Od. RFC 6376 sekcja 3.4.4 RFC 9989 sekcja 5.3
Zlokalizuj wiarygodne obserwacje dotyczące uwierzytelnienia
Zachowaj oryginalne, nieprzetworzone kopie i zidentyfikuj, kto je włożył Authentication-Results pole. Wynik zapisany na zaufanym wejściu organizacji może opisywać wiadomość przed wewnętrzną modyfikacją. Dalsza kontrola opisuje późniejszą reprezentację. Obydwa mogą być dokładne w swoich odpowiednich granicach. Dowolny nagłówek wyniku dostarczony przez nadawcę nie jest równoważnym dowodem; RFC 8601 wymaga modelu granicy zaufania do korzystania z tych asercji. RFC 8601 sekcja 7
Jeśli ARC się pojawi, zapisz osobno weryfikację łańcucha i decyzję o zaufaniu odbiorcy. RFC 8617 ma charakter eksperymentalny, a ARC nie jest uniwersalną strukturą zaufania. Oficjalna propozycja zmiany klasyfikacji była aktywną wersją roboczą internetową po przeglądzie w dniu 8 listopada 2026 r., a nie zatwierdzoną specyfikacją zastępczą. Ani nagłówek ARC , ani zaakceptowana wiadomość nie dowodzą, że oryginalny podpis DKIM aktualnie weryfikuje. RFC 8617 sekcja 9.3 Propozycja statusu IETF ARC
Wybierz naprawę, która pasuje do przepływu
Proponowana decyzja powinna identyfikować faktycznie wadliwą gałąź: nieautoryzowane użycie koperty, modyfikację objętej treścią, nieprawidłową tożsamość autora lub decyzję dotyczącą zaufania specyficzną dla odbiorcy. Następnie rozważ obsługiwane zmiany konfiguracji u właściciela usługi. Zamiast całkowicie wyłączać funkcje grupowe, należy zachować wymagane przetwarzanie zabezpieczeń i oczekiwania użytkowników. Analiza ta nie sugeruje żadnego pozwolenia na zmianę grupy, najemcy, podpisującego ani listy.
Zatwierdzona weryfikacja powinna porównać kontrolę bezpośrednią z odpowiednimi oddziałami pośrednimi, w tym członkami zewnętrznymi i odpowiedziami ze wspólnym adresem, jeśli jest to objęte zakresem. Zachowaj surowe wiadomości, znaczniki czasu, dowody trasy, szczegóły podpisu i wyniki znanych osób oceniających. Dopóki te próbki nie istnieją, możliwym do obrony wynikiem jest mapa przepływu i plan testów, a nie deklaracja, że grupy organizacji są bezpieczne dla DMARC.