BreakSPF，在 NDSS 2024 上發布，研究了共享基礎設施如何放大過於廣泛的範圍 SPF 授權。其核心操作教訓是詢問誰可以從授權地址發起流量，而不僅僅是詢問是否可以 一個記錄 在語法上是有效的。歷史研究結果是評估目前配置的原因，而不是證明指定提供者仍然容易受到攻擊。
將研究成果與當今的系統分開
原始論文研究了攻擊者可訪問的基礎設施、寬鬆的SPF依賴性和接收者行為，包括跨協定路徑。它的討論報告在研究過程中進行了修正，並考慮了其他過濾控制。閱讀這些範圍和披露部分以及標題調查結果。 BreakSPF 原文論文，第 VII-IX 節.
不要將論文的網域計數轉化為當前的網路普及率估計，或重複歷史範例作為當前的指控。本文不會重現實驗、掃描第三方基礎設施或評估即時提供者。以下建議是基於方案和研究問題的防禦性審查計劃。
明確授權邊界
SPF評估連線主機是否有權使用已評估的SMTP身分。其結果並不能確定誰控制了發起該訊息的應用程式。授權範圍可能適合嚴格控制的發送服務，但當不相關的租戶可以在不強制執行網域所有權的情況下發起同等流量時，則不適合。 RFC 7208 ，第 2、4 和 11 節.
清點組織的實際信封域、 SPF依賴性和發送服務。對於每個依賴項，記錄其所有者、需要它的原因以及服務如何限制客戶使用寄件者身分。較大的範圍是一個審查訊號，其本身沒有足夠的資訊來聲明利用的可能性。目前的網路路徑和服務控制很重要。
在分析中保持DMARC對齊
DMARC 需要通過對齊的身份驗證路徑。如果過於廣泛的授權為與可見的 From 網域一致的身份產生SPF通行證，則添加 DKIM 合法郵件本身不會刪除該SPF路徑。相反，不相關信封域的SPF通行證並不能單獨滿足DMARC 結盟. RFC 9989.
更嚴格的DMARC策略要求處理故障；它不會將已經通過的對齊路徑轉換為故障。修復不必要的授權並評估服務端網域控制，而不是將策略標籤視為完整的補救措施。透過分階段、經過審查的變更來保護合法寄件者。
透過有界審查矩陣進行工作
下面的書面前提分類帳規定了四個獨立欄位： SPF來源授權、非預期來源能力、路徑可達性以及SPF身分與 From 的對齊。沒有行是觀察到的提供者發現的。
- A：授權真實；非預期來源能力 true；可達真；對齊為真。升級此可能的對齊 SPF 路徑的目前授權驗證；請勿標記已建立的生產利用。
- B：授權真實；能力真實；可達真；對齊錯誤。此特定SPF路徑不建立DMARC通行證。在決定完整的DMARC結果之前， DKIM和其他實際訊息證據仍有待檢查。
- C：授權真實；能力真實；可達假；對齊為真。保留配置問題，但這些前提沒有證明可到達的發送路徑。
- D：授權真實；能力未知；可達真；對齊為真。取得服務控制證據；未知的能力既不安全也不被證明可利用。
這些是敘述性推論，而不是執行評估器、漏洞或接收器測試。未存取任何DNS或雲端基礎設施。 RFC9989第 7.4 節要求有效的DKIM p=reject 域；該部署任務不會刪除已經通過的對齊SPF路徑。
將緩解措施應用於責任層
僅在確認寄件者依賴性後查看並刪除過時的授權。詢問服務所有者有關身分執行和隔離的資訊。基礎設施營運商應透過其授權的安全流程評估意外郵件出口和協議邊界控制。收件人應保留受信任的身份驗證證據，並使用受控網域和收件人測試策略行為。
為了進行真正的評估，請保留過時的DNS 、服務所有權證據、核准的測試範圍和觀察到的接收結果。獨立的安全審查應將配置風險與演示的路徑和傳遞的訊息結果區分開來。目前的提供者驗證和實驗複製仍然很突出；保留的原始論文閱讀支援研究摘要，而書面矩陣僅說明其規定的先決條件。