BreakSPF，在 NDSS 2024 上发布，研究了共享基础设施如何放大过于广泛的范围 SPF 授权。其核心操作教训是询问谁可以从授权地址发起流量，而不仅仅是询问是否可以 一个记录 在语法上是有效的。历史研究结果是评估当前配置的原因，而不是证明指定提供商仍然容易受到攻击。
将研究成果与当今的系统分开
原始论文研究了攻击者可访问的基础设施、宽松的SPF依赖性和接收者行为，包括跨协议路径。它的讨论报告在研究过程中进行了修正，并考虑了其他过滤控制。阅读这些范围和披露部分以及标题调查结果。 BreakSPF 原始论文，第 VII-IX 节.
不要将论文的域名计数转化为当前的互联网普及率估计，或重复历史例子作为当前的指控。本文不会重现实验、扫描第三方基础设施或评估实时提供商。以下建议是基于方案和研究问题的防御性审查计划。
明确授权边界
SPF评估连接主机是否有权使用评估的SMTP身份。其结果并不能确定谁控制了发起该消息的应用程序。授权范围可能适合严格控制的发送服务，但当不相关的租户可以在不强制执行域所有权的情况下发起同等流量时，则不适合。 RFC 7208 ，第 2、4 和 11 节.
清点组织的实际信封域、 SPF依赖性和发送服务。对于每个依赖项，记录其所有者、需要它的原因以及服务如何限制客户使用发件人身份。较大的范围是一个审查信号，其本身没有足够的信息来声明利用的可能性。当前的网络路径和服务控制很重要。
在分析中保持DMARC对齐
DMARC 需要通过对齐的身份验证路径。如果过于广泛的授权为与可见的 From 域一致的身份生成SPF通行证，则添加 DKIM 合法邮件本身不会删除该SPF路径。相反，不相关信封域的SPF通行证并不能单独满足DMARC 结盟. RFC 9989.
更严格的DMARC策略要求处理故障；它不会将已经通过的对齐路径转换为故障。修复不必要的授权并评估服务端域控制，而不是将策略标签视为完整的补救措施。通过分阶段、经过审查的更改来保护合法发件人。
通过有界审查矩阵进行工作
下面的书面前提分类账规定了四个独立字段： SPF源授权、非预期源能力、路径可达性以及SPF身份与 From 的对齐。没有行是观察到的提供者发现的。
- A：授权真实；非预期来源能力 true；可达真；对齐为真。升级此可能的对齐 SPF 路径的当前授权验证；不要标记已建立的生产利用。
- B：授权真实；能力真实；可达真；对齐错误。此特定SPF路径不建立DMARC通行证。在决定完整的DMARC结果之前， DKIM和其他实际消息证据仍有待检查。
- C：授权真实；能力真实；可达假；对齐为真。保留配置问题，但这些前提没有证明可到达的发送路径。
- D：授权真实；能力未知；可达真；对齐为真。获取服务控制证据；未知的能力既不安全也不被证明可利用。
这些是叙述性推论，而不是运行评估器、漏洞利用或接收器测试。未访问任何DNS或云基础设施。 RFC9989第 7.4 节要求有效的DKIM p=reject 域；该部署任务不会删除已经通过的对齐SPF路径。
将缓解措施应用于责任层
仅在确认发件人依赖性后查看并删除过时的授权。询问服务所有者有关身份执行和隔离的信息。基础设施运营商应通过其授权的安全流程评估意外邮件出口和协议边界控制。收件人应保留受信任的身份验证证据，并使用受控域和收件人测试策略行为。
为了进行真正的评估，请保留过时的DNS 、服务所有权证据、批准的测试范围和观察到的接收结果。独立的安全审查应将配置风险与演示的路径和传递的消息结果区分开来。目前的提供商验证和实验复制仍然很突出；保留的原始论文阅读支持研究摘要，而书面矩阵仅说明其规定的先决条件。