En käll-IP kan identifiera en transportväg utan att identifiera kunden som är behörig att använda en viss domän. Delade tjänster sätter icke-närstående hyresgäster bakom gemensam infrastruktur. Håll transportens ursprung, hyresgästbehörighet, signeringsidentitet och mänskligt ansvar åtskilda. En giltig domänsignatur är ett viktigt bevis, men ett auktoriseringsfel uppströms kan tillåta att fel begäran når undertecknaren.
Ange hotmodellen och historiska bevis
Risken som beaktas här är ett relä som litar på en bred leverantörskälla utan att binda den källan till kunden som får använda sin signeringsväg. Angriparen i modellen kontrollerar en annan hyresgäst på samma delade tjänst, inte varumärkets privata nyckel. De berörda tillgångarna är auktoriserad domänanvändning och riktigheten av senare tillskrivning. Detta är en historisk felklass, inte ett påstående om att en namngiven tjänst för närvarande är sårbar.
Guardio Labs ursprungliga EchoSpoofing-rapport, publicerad av Nati Tal den 29 juli 2024, beskriver missbruk genom Microsoft 365 och Proofpoint routing där obehöriga meddelanden fick legitim autentisering. Dess informationsavsnitt beskriver hyresgästspecifik filtrering som en begränsning och diskuterar härkomsten av hyresgästmetadata. Ursprunglig forskning. Den skriftliga jämförelsen nedan illustrerar den gränsen; den varken reproducerar utnyttjandet eller utvärderar nuvarande leverantörsimplementationer.
Håll tillskrivningsfält åtskilda
SMTP observationer beskriver meddelandehantering, medan DKIM kopplar ett meddelande till en signeringsdomän. Ingendera ensam fastställer den person som sammanställde eller godkände en affärsförfrågan. RFC 5321 och RFC 6376. Bevara den betrodda mottagningstiden, anslutningskällan, hyresgästbevis där tillgängligt, från domänen och verifierad signeringsdomän som distinkta fält.
Bevis för hyresgästen måste komma från en etablerad pålitlig gräns. Ett godtyckligt meddelandehuvud som gör anspråk på en tillåten hyresgäst motsvarar inte verifierad transportkontext. Authentication-Results fält kräver på samma sätt ett pålitligt ursprung. RFC 8601. En implementeringsgranskning måste fastställa hur en tjänst autentiserar och skyddar det sammanhanget snarare än att bara kontrollera om ett fält existerar.
Jämför fem hypotetiska auktorisationsfall
Anta att en avsiktligt bred regel tillåter alla förfrågningar från källa-familj delad-A. En föreslagen snävare regel kräver också oberoende betrodd hyresgästkontext lika med hyresgäst-goda. Dessa är skrivna regelantaganden, inte körande kod eller leverantörskonfiguration.
- Fall1: delat-A; pålitlig hyresgäst hyresgäst-bra; meddelande anspråk hyresgäst-bra. Båda föreslagna reglerna medger begäran.
- Fall2: delad-A; betrodd hyresgäst hyresgäst-annan; meddelande anspråk hyresgäst-annan. Den breda regeln medger; hyresgästregeln förnekar.
- Fall3: delad-A; betrodd hyresgäst hyresgäst-annan; meddelande anspråk hyresgäst-bra. Den breda regeln medger; hyresgästregeln förnekar trots det obetrodda kravet.
- Fall4: delad-A; betrodd hyresgäst otillgänglig; meddelande anspråk hyresgäst-bra. Den breda regeln medger; hyresgästregeln nekar för att bevis saknas.
- Fall5: utanför familjen; pålitlig hyresgäst hyresgäst-bra; meddelande anspråk hyresgäst-bra. Båda reglerna förnekar eftersom villkoret för källa-familj inte är uppfyllt.
I tankeexperimentet kunde en tillåten begäran nå en nedströms undertecknare. Ingen nyckel genererades, meddelande signerades, kryptografisk kontroll kördes eller SMTP begäran skickades för denna undervisningsrevision. Antagningsbeslutet är inte ett DMARC dom eller leveransbevis.
Verifiera det betrodda sammanhanget snarare än dess etikett
Fältet för betrodd hyresgäst ovan är en premiss, inte en demonstrerad säkerhetsmekanism. En verklig distribution måste fastställa hur det sammanhanget autentiseras och skyddas från meddelandekontrollerade åsidosättningar, inklusive hur saknad kontext hanteras. Den historiska rapporten bevisar inte att dagens konfiguration är exponerad. Använd aktuell leverantörsvägledning och godkänd ruttbevis för att utvärdera faktisk signeringsauktorisering; behandla aldrig en godtycklig rubrik som betrodd bara för att dess namn liknar ett leverantörsfält.
Korrelera innan du namnger en ansvarig part
För en incident, slå ihop originalmeddelanden med auktoriserade tidsspecifika rutt- och kontologgar. En delad reläadress och giltig signatur kan samexistera med ett auktoriseringsfel, kontomissbruk eller en legitim avsändare; dessa förklaringar kräver olika bevis. Håll inneslutningsbeslut åtskilda från anklagelser. Begär leverantörsutredning via godkända kanaler när attribution på hyresgästnivå är nödvändig, dela endast relevanta identifierare och tider.
Stäng med observerade fakta, förtroende, saknade kontobevis och nästa ansvarsfulla åtgärd. Det försvarbara fyndet kan identifiera en autentiserad domän och delad rutt samtidigt som skådespelaren lämnas olöst. Det är mer användbart än att tilldela ett företag ansvar enbart för att dess post använde samma infrastruktur.
Håll fynden inom bevisen
Exemplen är defensiva beslutshjälpmedel, inte observerade anklagelser mot verkliga personer eller nuvarande leverantörer. Behåll autentiseringsbevis, affärsverifiering och attribution separat. Aktuella protokollkällor beskriver domänvalidering och betrodda resultatgränser; de tillhandahåller inte bevis för saknat konto eller godkänner publicering av en anklagelse.