Um gateway de segurança pode aparecer como a origem vista por um receptor de relatório porque retransmitiu a mensagem. Sua aparência não estabelece que ele criou a mensagem, é o proprietário do aplicativo remetente ou causou uma falha de autenticação. Investigue a rota e o ponto em que o conteúdo da mensagem foi alterado antes de fazer uma alteração DNS ou na política de gateway.
Estabeleça a função de gateway
Referências: RFC 9990 §3.1.1.8, RFC 9990 §3.1.1.10.
Desenhe a rota pretendida desde a aplicação até o sistema de recebimento final. Distinguir retransmissão de saída, gateway de entrada e intermediário de encaminhamento. Registre qual organização controla cada salto e qual salto o receptor do relatório realmente viu. Um nome de host de gateway familiar é apenas uma pista de infraestrutura até que a rota seja corroborada.
Preservar IP de origem, repórter, intervalo, contagem, domínio do autor, identidade do envelope, DKIM domínios e relatados alinhamento resultados. Compare-os com logs de gateway autorizados e evidências de receptores confiáveis. Restrinja o acesso a mensagens brutas porque elas podem conter conteúdo pessoal ou confidencial.
Localize o limite de assinatura
Referências: RFC 6376 §3.4, RFC 6376 §3.7.
RFC 6376 define como DKIM cobre cabeçalhos selecionados e conteúdo canônico do corpo. Um gateway que altera o material coberto após a assinatura pode invalidar a assinatura. Nem toda mudança necessariamente acontece: os campos assinados, canonização e a transformação exata importa.
Obtenha mensagens seguras do representante imediatamente antes e depois da suspeita de transformação, quando autorizado. Preserve seus bytes originais e compare resultados de verificação, cabeçalhos selecionados e entrada de corpo canônico. Não compare capturas de tela ou textos salvos novamente, pois eles preservam exatamente a mensagem assinada. Estabeleça se a assinatura ocorreu antes ou depois da inserção do rodapé, reescrita do assunto ou outro processamento.
Avalie SPF separadamente
Referências: RFC 7208 §4.1, RFC 9989 §4.4, RFC 9989 §5.3.5.
Um receptor downstream avalia a fonte de conexão em relação ao relevante SPF identidade. Um relé pode, portanto, alterar a situação SPF mesmo quando DKIM sobrevive. O sucesso SPF bruto não satisfaz DMARC se essa identidade autenticada não estiver relacionada ao domínio do autor sob a regra de alinhamento aplicável.
DMARC pode passar por um caminho SPF ou DKIM alinhado. Evite tratar uma assinatura com falha como prova de falha geral DMARC sem verificar o outro mecanismo. Da mesma forma, não trate a própria assinatura não relacionada do gateway como alinhada automaticamente para o autor original.
Trabalhe por meio de uma comparação controlada
Cenário hipotético, não um teste executado nesta revisão: um aplicativo assina example.com e, em seguida, um gateway de saída anexa um aviso de isenção de responsabilidade. Suponha que a caixa de correio de teste de recebimento mostre uma falha de hash corporal para essa assinatura. SPF passa para um domínio de envelope de serviço não relacionado. Sem nenhum outro mecanismo de passagem alinhado, este exemplo falha DMARC .
A investigação precisaria comparar amostras retidas de antes e depois e confirmar se o corpo coberto mudou no portal. Um reparo proposto é colocar sinalização alinhada autorizada após a transformação pretendida, usando um projeto suportado. Essa é uma solução candidata, não uma afirmação de que todo gateway oferece esse recurso ou que mover um assinante é sempre seguro.
Verifique o reparo escolhido
Faça com que os proprietários responsáveis aprovem o design e as implicações de segurança. Teste a rota real com conteúdo representativo, incluindo modelos que acionam a reescrita. Confirme a autenticação alinhada em um receptor externo e verifique o fluxo de trabalho comercial. Mantenha a verificação de segurança eficaz; não desative os controles indiscriminadamente para passar no teste.
Encerre o incidente com a rota verificada, a transformação exata, a colocação da assinatura, as evidências de teste retidas e os critérios de reversão. Se a evidência do antes e depois não estiver disponível, mantenha a causa suspeita como tentativa e adquira uma reprodução controlada. Um rótulo de gateway por si só não pode justificar uma conclusão de causa raiz ou uma autorização SPF ampla.