En välrenommerad domän eller delad sändningstjänst kan bli en del av en missbrukande meddelandeväg. Den användbara frågan är inte om infrastrukturen i allmänhet är pålitlig. Det är huruvida det här meddelandet var auktoriserat att använda den autentiserade identiteten. Autentisering och företagsauktorisering svarar på olika frågor.
Definiera myndigheten som ska återanvändas
En komprometterad brevlåda kan skicka genom sin vanliga autentiserade rutt. En alltför bred nätverksauktorisering kan medge en oavsiktlig källa. En stafett kan underteckna ett meddelande efter att ha accepterat det enligt en otillräckligt specifik antagningsregel. Dessa mekanismer har olika ägare och botemedel. Kollapsa dem inte till ett oförklarat påstående om ryktekapning.
Den ursprungliga BreakSPF-forskningen undersöker tillåtande SPF konfigurationer och delad infrastruktur. Dess hotmodell gör åtkomst till källnätverk till ett centralt villkor. Det är en utplaceringsgräns, inte bevis på att en angripare kan förfalska någon DKIM signatur. BreakSPF-papper, avsnitt III. Behandla tidningens mätningar som historisk forskning, inte en nuvarande inventering av sårbara tjänster.
Bygg en exakt hotmodell
Skriv den skyddade domänen, autentiserad identifierare, tillåten källuppsättning, angriparkapacitet och mottagarbeslut separat. I det avgränsade scenariot här godkänner brand.test 192.0.2.0/24 för SPF . Den godkända ansökan använder 192.0.2.10 , medan en hypotetisk oavsiktlig hyresgäst kan härröra från 192.0.2.99 . Båda adresserna ligger i det publicerade intervallet. Huruvida sådan hyresgäståtkomst finns i en verklig tjänst kräver separata bevis.
SPF kontrollerar källauktorisering för sin utvärderade identitet. Den identifierar inte människan bakom en delad IP. Om den passerande SPF identiteten också överensstämmer med författarens domän, kan den sökvägen uppfyllas DMARC utan DKIM. RFC 7208 och RFC 9989. En framgångsrik utvärdering kan därför avslöja att för mycket auktoritet beviljades, snarare än att en mottagare ignorerar passregeln.
Jämför tre skriftliga auktorisationsärenden
Anta synlig Från alerts@brand.test , icke-tom MAIL FRÅN bounce@brand.test , ingen DKIM signatur och en i övrigt kvalificerad DMARC utvärdering. Jämför hypotetiska SPF rekord v=spf1 ip4:192.0.2.0/24 -all and v=spf1 ip4:192.0.2.10/32 -all. No other mechanisms exist in these examples.
- Godkänd källa 192.0.2.10 : ingår i båda nätverksprefixen; SPF godkänner och anpassar sig till brand.test, så det illustrativa meddelandet klarar DMARC i båda fallen.
- Oavsiktlig källa 192.0.2.99 : inkluderad av /24 men inte /32; SPF passerar endast under det breda rekordet. Utan DKIM signatur är det angivna DMARC resultatet godkänt under /24 och underkänt under /32.
- Extern källa 198.51.100.10 : ingår inte i något av prefixet; -all avkastningar SPF misslyckas i båda fallen. Utan DKIM signatur är det angivna DMARC resultatet misslyckat i båda.
Dessa är skrivna prefix-medlemskap och inriktning avdrag, inte en körande SPF parser, DNS observation eller reproduktion av BreakSPF. Källkontroll förutsätts, inte påvisad. Inget externt meddelande eller livetjänst testades. Tidningens tvärprotokollsteknik ligger utanför detta undervisningsexempel.
En enkel passerande inriktad mekanism kan uppfylla ett meddelandes DMARC passvillkor. Det gör inte enbart SPF-distribution tillräcklig: RFC9989 avsnitt 7.4 kräver giltig DKIM för domänpublicering p=reject, och avsnitt 8 tar upp fullständigt deltagande. Dessa är separata distributionsuppgifter, inte en extra port per meddelande.
Fixa den ansvariga gränsen
Innan du begränsar en riktig SPF post, inventera alla legitima avsändare och följ leverantörsstödda konfigurationer. En dedikerad källa är användbar endast om den faktiskt är exklusiv och underhålls. Bekräfta att sändningstjänsten binder kunder till deras tillåtna identiteter; verifiera DKIM konfigurationen och ta bort föråldrad auktoritet genom ändringskontroll.
Övervaka ruttspecifika fel efter ändringen, bevara en återställningsplan och dokumentera okända avsändare. Ersätt inte en bred post med en gissad IP-lista från detta exempel. Lärdomen är att förena auktorisation med faktisk tjänsteägande, inte att kopiera demonstrations- DNS till produktion.