Autenticazione delle e-mail: SPF, DKIM e DMARC

Il protocollo SMTP di base (progettato negli anni '70) non dispone di un'autenticazione integrata del mittente. Qualsiasi server di posta può dichiarare di inviare email da qualsiasi dominio: una tecnica chiamata email spoofing. Gli attaccanti la sfruttano per inviare email di phishing che sembrano provenire da organizzazioni legittime (la Sua banca, il Suo CEO o un fornitore noto). Per affrontare questo problema sono stati sviluppati tre standard di autenticazione delle email basati su DNS: SPF, DKIM e DMARC. Ognuno affronta un aspetto diverso del problema dello spoofing e funzionano al meglio quando vengono implementati insieme.

SPF è un record DNS TXT che specifica quali server di posta sono autorizzati a inviare email per conto di un dominio. Quando un server di posta ricevente riceve un messaggio che dichiara di provenire da example.com, cerca il record SPF di example.com e verifica che l'indirizzo IP del server mittente sia incluso nell'elenco. Se l'IP non è autorizzato, il messaggio può essere contrassegnato come spam o rifiutato. SPF verifica l'indirizzo From dell'envelope (il comando SMTP MAIL FROM), non l'intestazione From visualizzata dagli utenti.

SPF presenta due limitazioni significative. Innanzitutto, l'inoltro interrompe SPF: quando un'email viene inoltrata, l'IP del server di inoltro non è incluso nel record SPF del dominio originale, causando il fallimento di SPF anche per messaggi inoltrati legittimamente. In secondo luogo, SPF autentica solo il From dell'envelope (invisibile agli utenti), non l'intestazione From visibile nei client di posta. Gli attaccanti possono quindi falsificare l'intestazione From visibile utilizzando un From dell'envelope che supera SPF: per questo SPF da solo non è sufficiente. DKIM e DMARC colmano queste lacune.

DKIM aggiunge una firma crittografica alle email in uscita. Il server di posta mittente utilizza una chiave privata per firmare intestazioni specifiche dell'email e il corpo del messaggio, aggiungendo un'intestazione DKIM-Signature. La chiave pubblica viene pubblicata come record DNS TXT in un sottodominio del selettore. I server riceventi recuperano la chiave pubblica e verificano la firma, confermando che l'email non è stata manomessa durante il transito e che proviene da un server con accesso alla chiave privata. A differenza di SPF, le firme DKIM sopravvivono all'inoltro perché vengono trasportate nelle intestazioni dell'email.

DKIM utilizza i selettori per consentire più chiavi pubbliche simultanee per un dominio: è utile per gestire più servizi di posta (Google Workspace e una piattaforma di marketing) o per ruotare le chiavi senza interruzioni. Il nome del selettore è incluso nell'intestazione DKIM-Signature, così i server riceventi sanno quale record DNS interrogare. Le organizzazioni dovrebbero ruotare le chiavi DKIM ogni anno o quando si sospetta che una chiave sia stata compromessa. Lunghezza della chiave: sono consigliate chiavi RSA di almeno 2048 bit; le chiavi da 1024 bit sono deprecate e possono essere violate con le moderne capacità di calcolo.

DMARC (Domain-based Message Authentication, Reporting, and Conformance) si basa su SPF e DKIM aggiungendo: un controllo di allineamento (il dominio nell'intestazione From visibile deve corrispondere al dominio autenticato da SPF o DKIM) e un criterio che indica ai server riceventi come comportarsi quando i messaggi non superano i controlli. I criteri DMARC sono none (solo monitoraggio), quarantine (consegna nella cartella spam) o reject (non consegnare). DMARC consente inoltre di ricevere rapporti aggregati (RUA) e rapporti forensi (RUF) inviati al proprietario del dominio, per sapere chi sta inviando messaggi per Suo conto.

L'allineamento è ciò che rende DMARC efficace contro lo spoofing delle intestazioni. Per l'allineamento SPF, il dominio nel campo From dell'envelope SMTP deve corrispondere al dominio nell'intestazione From visibile. Per l'allineamento DKIM, il dominio di firma (d= in DKIM-Signature) deve corrispondere al dominio dell'intestazione From. In modalità strict, i domini devono corrispondere esattamente. In modalità relaxed, sono accettati i sottodomini. Un'email supera DMARC se supera SPF OPPURE DKIM con il corretto allineamento: non è necessario che superi entrambi. Questa combinazione elimina la vulnerabilità che SPF da solo lascia aperta allo spoofing dell'intestazione visibile.

Le organizzazioni dovrebbero implementare DMARC progressivamente per evitare di interrompere le email legittime. Fase 1: implementare SPF e DKIM per tutti i flussi di posta. Fase 2: pubblicare un record DMARC p=none con report RUA. Analizzare i report (strumenti: DMARC Analyzer, dmarcian) per individuare tutte le fonti legittime di invio nell'arco di 2-4 settimane. Fase 3: passare a p=quarantine; pct=10, aumentando gradualmente pct fino al 100%. Fase 4: passare a p=reject quando tutti i flussi legittimi superano i controlli. Passare troppo rapidamente a reject, prima di aver individuato tutti i flussi di posta, fa sì che le email legittime vengano rifiutate.

BIMI è uno standard emergente basato su DMARC. Quando un dominio ha una policy DMARC quarantine o reject, i client di posta (Gmail, Apple Mail) possono visualizzare il logo verificato del brand accanto al nome del mittente nella posta in arrivo. BIMI richiede un Verified Mark Certificate (VMC) rilasciato da un emittente approvato, che confermi la titolarità del marchio. Sebbene BIMI non faccia ancora parte dell'esame Security+, rappresenta la direzione verso cui si sta evolvendo l'autenticazione delle email: rendere i mittenti verificati visivamente distinguibili da quelli contraffatti a colpo d'occhio.

I tre standard formano un sistema completo di autenticazione delle email. SPF verifica che il server di invio sia autorizzato dal proprietario del dominio. DKIM verifica l'integrità del messaggio e che l'organizzazione mittente possieda la chiave privata. DMARC collega entrambi all'intestazione From visibile, applica una policy in caso di errori e fornisce report. Nessun singolo standard è sufficiente: SPF da solo non può impedire lo spoofing dell'intestazione visibile; DKIM da solo non impone il rifiuto dei messaggi che non superano i controlli; DMARC da solo, senza SPF o DKIM, non ha nulla su cui effettuare i controlli. Per una protezione completa dallo spoofing del dominio, è necessario implementare tutti e tre.

Una misura pratica di difesa in profondità contro il phishing e il BEC consiste nell'aggiungere un banner di avviso per le email esterne a ogni messaggio proveniente dall'esterno dell'organizzazione. Questo banner, in genere inserito dal SEG, avvisa i dipendenti che l'email proviene da un mittente esterno, anche quando il nome visualizzato sembra essere quello di un collega o di un dirigente. I banner sono particolarmente efficaci nel segnalare tentativi di BEC in cui l'attaccante utilizza un dominio simile a quello legittimo o falsifica il nome visualizzato. Il banner dovrebbe essere visivamente distintivo (con un'intestazione o un piè di pagina colorato) e includere istruzioni per segnalare i messaggi sospetti.

In questa lezione ha appreso che: SPF utilizza record DNS TXT per autorizzare gli IP di invio, ma controlla solo il From dell'envelope e non l'intestazione visibile; DKIM aggiunge firme crittografiche che verificano l'integrità del messaggio e restano valide anche dopo l'inoltro; DMARC collega SPF e DKIM all'intestazione From visibile mediante controlli di allineamento e una policy applicabile (none/quarantine/reject), oltre a fornire report. Nella prossima lezione esamineremo i gateway email sicuri e i controlli antispam.