Wiadomość może używać znanego adresu Od, kierując odpowiedzi gdzie indziej. Ta różnica może być uzasadniona, np. w przypadku usługi sprzedaży biletów, lub może przekierować poufną rozmowę. Sprawdź rzeczywiste pola i odbierającą granicę zaufania, zanim nazwiesz niezgodność atakiem lub potraktujesz uwierzytelnienie jako zatwierdzenie miejsca docelowego odpowiedzi.
Zrozum rolę pola
RFC 5322 opisuje Reply-To jako skrzynkę lub skrzynki pocztowe, do których autor sugeruje wysyłanie odpowiedzi. W przypadku jego braku odpowiedzi zwykle trafiają do skrzynki Od. Jest to instrukcja w formacie wiadomości, różniąca się od dostarczania w kopercie SMTP i odmienna od decyzji o zatwierdzeniu przez człowieka. Klienci i narzędzia przepływu pracy mogą stosować własne zachowanie w zakresie odpowiedzi, dlatego przed wysłaniem wrażliwej odpowiedzi sprawdź rzeczywistego odbiorcę. RFC 5322 sekcja 3.6.2.
DMARC używa domeny autora, a nie pola Reply-To, dla swojej relacji tożsamości. Zatem przepustka nie stwierdza, że inna domena Reply-To należy do tej samej organizacji. Ważne Podpis DKIM może obejmować opcję Reply-To, gdy pole to znajduje się na liście podpisanych nagłówków podpisu, ale integralność wartości nie oznacza pozwolenia na użycie jej w poufnej korespondencji. DMARC I DKIM.
Dodaj adnotację do oryginału, a nie do zrzutu ekranu
Zachowaj surowe bajty wiadomości. Utwórz osobną adnotację pokazującą Od, Odpowiedz do, Return-Path, DKIM d= and h= values, and the receiving system that produced Authentication-Results. Oznacz od i Reply-To jako pola dostarczone przez nadawcę, podpis DKIM jako żądanie wymagające weryfikacji, a wyniki uwierzytelnienia jako zaufane tylko wtedy, gdy zostanie ustalone ich pochodzenie. RFC 8601.
Nie zakładaj, że skopiowana linia Authentication-Results jest autentyczna. Podobnie pole Return-Path w dowolnym zapisanym pliku tekstowym nie potwierdza niezależnie koperty SMTP . W razie potrzeby koreluj z dziennikami autoryzowanych odbiorów.
Porównaj trzy pisemne scenariusze nagłówków
Załóż, że w każdym przypadku widoczne jest od billing@supplier.example.test . Tożsamość koperty, wartości DKIM d= i h=, rzeczywiste podpisy i wyniki zaufanego odbiorcy nie są dostarczane. Skopiowane potwierdzenie przebiegu nie może wypełnić tych luk.
- Nieoczekiwana trasa: Odpowiedź na case@support.example.test ; brak zatwierdzenia przepływu pracy. Oznacz inną domenę do sprawdzenia, przechowuj poufne odpowiedzi i zapytaj właściciela usługi za pośrednictwem znanego kanału.
- Trasa w tej samej domenie: Odpowiedź na adres help@supplier.example.test . Reguła niedopasowania dokładnego domeny nie oznaczałaby tego, ale nie jest to dowód, że skrzynka pocztowa lub żądane informacje są autoryzowane.
- Wyjątek o określonym zakresie: Odpowiedź na case@tickets.example.test ; załóżmy, że fikcyjny inwentarz zezwala na tę usługę tylko w przypadku rutynowych zgłoszeń do pomocy technicznej. Traktuj je zgodnie z oczekiwaniami, a nie zgodę na zmiany płatności lub poufne dokumenty.
Te przykłady to zapisane wartości i decyzje, a nie dołączony plik .eml, uruchomienie parsera lub rzeczywisty wynik uwierzytelnienia. Żaden podpis DKIM nie jest wytwarzany. Proponowany właściciel usługi weryfikuje zarówno informacje o odbiorcy, jak i dozwolone informacje przed udzieleniem prawdziwej odpowiedzi; badacz poczty osobno uzyskuje oryginalne bajty i zaufane dowody uwierzytelnienia.
Sprawdź miejsce docelowe odpowiedzi pod kątem przepływu pracy
Zapytaj właściciela usługi, czy dla tego typu wiadomości oczekiwane jest zewnętrzne miejsce docelowe i czy jest ono odpowiednie dla proponowanych informacji. Skrzynka pocztowa pomocy technicznej może zasadniczo różnić się od skrzynki nadawcy rozliczeń, a mimo to nie nadawać się do przechowywania instrukcji dotyczących płatności ani poufnych załączników. Zatwierdzenie powinno odpowiadać celowi, a nie tylko istnieniu domeny.
W przypadku nieoczekiwanych żądań skontaktuj się z rzekomym nadawcą za pośrednictwem znanego niezależnego kanału. Nie testuj wątpliwego miejsca docelowego, wysyłając e-mailem poufne materiały. Jeśli klient automatycznie wypełnił opcję Odpowiedz do, anuluj wersję roboczą do czasu zweryfikowania miejsca docelowego.
Zamknij pytanie na poziomie pola
Zapisz, czy rozbieżność była oczekiwana, nieuprawniona lub nierozwiązana, i jakie dowody potwierdzają to ustalenie. Zachowaj wyniki uwierzytelniania jako osobną obserwację. Zachowuje to przydatne rozróżnienie: wiadomość może być nienaruszona i uwierzytelniona w domenie, podczas gdy sugerowana trasa odpowiedzi jest nieodpowiednia dla działania biznesowego.