Frasen DMARC bypass kan beskriva väldigt olika händelser. Ett giltigt pass från en överauktoriserad källa, leverans trots ett misslyckat resultat och ett implementeringsfel är inte samma fel. Börja med ett förfalskbart påstående: vilken identitet hävdades, vilket bevis litade på och vilket beslut skilde sig från den förväntade regeln?
Rekonstruera det observerade beslutet
Bevara författarens domän, kuvertdomän, signeringsdomäner, betrodda autentiseringsresultat och mottagardisposition. Anteckna policyn och observationstiden. Ett meddelande som levereras bevisar inte i sig ett DMARC pass. Mottagarens hantering inkluderar lokal policy, och en domänägares begärda behandling är inte en universell leveransgaranti. RFC 9989.
Likaså en kopia Authentication-Results sträng är inte bevis på det mottagande systemets beslut. Upprätta den pålitliga autentiseringstjänsten och relevant hop. RFC 8601. Om det enda beviset är en skärmdump som säger godkänt, behåll anspråket som olöst tills de underliggande identiteterna och förtroendekontexten är tillgängliga.
Separera överauktorisation från regelundandragande
BreakSPF studerar hur tillåtande SPF auktorisering och tillgång till delad infrastruktur kan tillåta spoofing. Dess hotmodell ger angriparen en kvalificerad sökväg; mottagaren kan sedan utvärdera den publicerade auktorisationen som skriven. BreakSPF, avsnitt III.A och figur 3.
Om den angriparkontrollerade källan är inom ett auktoriserat intervall och använder en anpassad kuvertidentitet kan den vanliga passregeln lyckas. Svagheten ligger i den beviljade auktoriteten eller tjänstegränsen, snarare än en ny definition av DMARC . Omvänt, om bara en icke-relaterad identitet autentiseras och författarens domän inte är justerad, behöver ett pass som görs anspråk på en annan förklaring.
Klassificera tre hypotetiska fynd
Antag en enda synlig From alerts@brand.test och en i övrigt kvalificerad DMARC utvärdering. Detta är skrivna hypoteser, inte observerade incidenter.
- Auktoriseringsfall: källa 192.0.2.99 är inom ett fastställt SPF ip4:192.0.2.0/24 ; MAIL FRÅN bounce@brand.test klarar SPF ; inga DKIM signatur. Den justerade SPF -vägen ger ett DMARC -pass på meddelandenivå. Fråga om den källan verkligen kan kontrolleras av en oavsiktlig avsändare och vilken ägare som beviljat den auktoritet.
- Hanteringsärende: MAIL FRÅN bounce@other.test klarar SPF och DKIM d=other.test passes, but assume neither aligns with brand.test. DMARC fails. If the trusted receiver record separately says delivered, investigate its handling policy; delivery alone has not changed the failed inriktning resultat.
- Bevisfall: en kopierad rubrik säger godkänt, men pålitligt mottagarursprung, utvärderade identiteter och tillämpad policy är okända. Varken ett protokollbrott eller ett tillförlitligt pass fastställs. Begär original- och mottagarsidan.
En auktoriserad positiv avsändare 192.0.2.10 och en extern källa 198.51.100.10 kan tillhandahålla föreslagna kontroller när det första fallet utreds. En hypotetisk ip4:192.0.2.10/32 -all -post tillåter endast den förra; ingen verklig produktionsförändring följer av denna prefixaritmetik. Det finns ingen exekverad parser, signaturkontroll eller exploatering här.
RFC9989 avsnitt 7.4 kräver giltig DKIM för domänpublicering p=reject. En passerande inriktad SPF mekanism räcker för ett visst meddelandes passningsvillkor, men är inte en rekommendation för enbart SPF-tillämpning.
Gör upptäckten handlingsbar
Namnge det återgivna tillståndet och bevisen som fortfarande saknas. Ett användbart fynd säger att en specificerad källa släpps in med ett specificerat tillstånd och identifierar den ansvariga ägaren. Det står inte att allt DMARC skydd är besegrat. Kontrollera om den verkliga tjänsten begränsar hyresgästens identiteter, om källan faktiskt är kontrollerbar och om mottagaren tillämpade det påstådda resultatet.
Bevara en ofarlig auktoriserad positiv kontroll när du testar en föreslagen begränsning. Att begränsa ett intervall eller ändra en anslutning kan bryta legitima avsändare. Kräv ruttspecifikt ändringsgodkännande och verifiering efter ändring, och håll leverantörens beteende som inte testats i labbet uttryckligen olöst. Detta stöder en exakt fix utan att överdriva en utbildningsmodell till en produktionssårbarhet.