E-postautentisering: SPF, DKIM og DMARC

Den grunnleggende SMTP-protokollen (utformet på 1970-tallet) har ingen innebygd autentisering av avsenderen. Enhver e-postserver kan hevde at den sender e-post fra hvilket som helst domene – en teknikk som kalles e-postforfalskning. Angripere utnytter dette til å sende phishing-e-poster som ser ut til å komme fra legitime organisasjoner (banken Deres, administrerende direktør eller en kjent leverandør). Tre DNS-baserte standarder for e-postautentisering ble utviklet for å løse dette: SPF, DKIM og DMARC. Hver av dem håndterer ulike sider av problemet med forfalskning, og de fungerer best når de innføres sammen.

SPF er en DNS TXT-oppføring som angir hvilke e-postservere som har tillatelse til å sende e-post på vegne av et domene. Når en mottakende e-postserver får en melding som hevder å komme fra example.com, slår den opp SPF-oppføringen for example.com og kontrollerer at IP-adressen til den sendende serveren står oppført. Hvis IP-adressen ikke er godkjent, kan meldingen merkes som søppelpost eller avvises. SPF kontrollerer konvoluttens From-adresse (SMTP-kommandoen MAIL FROM), ikke From-hodet som vises til brukerne.

SPF har to betydelige begrensninger. For det første ødelegger videresending SPF: Når e-post videresendes, står IP-adressen til den videresendende serveren ikke i SPF-oppføringen til det opprinnelige domenet, og SPF-kontrollen mislykkes for legitim videresendt e-post. For det andre autentiserer SPF bare konvoluttens From-adresse (som er usynlig for brukerne), ikke From-hodet som vises i e-postklientene. Angripere kan fortsatt forfalske det synlige From-hodet samtidig som de bruker en konvoluttens From-adresse som består SPF-kontrollen – derfor er SPF alene ikke tilstrekkelig. DKIM og DMARC dekker disse svakhetene.

DKIM legger til en kryptografisk signatur i utgående e-poster. Den sendende e-postserveren bruker en privat nøkkel til å signere bestemte e-posthoder og meldingsteksten, og legger til et DKIM-Signature-hode. Den offentlige nøkkelen publiseres som en DNS TXT-oppføring under et selektorunderdomene. Mottakende servere henter den offentlige nøkkelen og verifiserer signaturen. Dermed bekreftes det at e-posten ikke er endret under overføringen, og at den kom fra en server som har tilgang til den private nøkkelen. I motsetning til SPF overlever DKIM-signaturer videresending fordi de følger med i e-posthodene.

DKIM bruker selektorer for å tillate flere offentlige nøkler for et domene samtidig. Dette er nyttig når man kjører flere e-posttjenester (Google Workspace + en markedsføringsplattform), eller ved nøkkelrotasjon uten driftsavbrudd. Selektornavnet er inkludert i DKIM-Signature-hodet, slik at mottakende servere vet hvilken DNS-oppføring de skal spørre etter. Organisasjoner bør rotere DKIM-nøkler årlig eller når det er mistanke om at en nøkkel er kompromittert. Nøkkellengde: Det anbefales RSA-nøkler på minst 2048 bit; nøkler på 1024 bit er foreldet og kan knekkes med moderne datakraft.

DMARC (Domain-based Message Authentication, Reporting, and Conformance) bygger på SPF og DKIM ved å legge til: en justeringskontroll (domenet i det synlige From-hodet må samsvare med domenet som er autentisert av SPF eller DKIM) og en policy som forteller mottakende servere hva de skal gjøre når meldinger ikke består kontrollen. DMARC-policyer er none (bare overvåking), quarantine (lever til søppelpostmappen) eller reject (ikke lever). DMARC muliggjør også samlerapporter (RUA) og forensiske rapporter (RUF) som sendes tilbake til domeneeieren, slik at denne får oversikt over hvem som sender på deres vegne.

Justering er det som gjør DMARC effektivt mot forfalskning av headere. For SPF-justering må domenet i SMTP-konvoluttens From-felt samsvare med domenet i det synlige From-hodet. For DKIM-justering må signeringsdomenet (d= i DKIM-Signature) samsvare med domenet i From-hodet. I streng modus må domenene samsvare nøyaktig. I avslappet modus er underdomener tillatt. En e-post består DMARC hvis den består SPF ELLER DKIM med riktig justering – den trenger ikke å bestå begge. Kombinasjonen lukker smutthullet som SPF alene etterlater for forfalskning av synlige headere.

Organisasjoner bør implementere DMARC trinnvis for å unngå å forstyrre legitim e-post. Trinn 1: Implementer SPF og DKIM for alle e-postflyter. Trinn 2: Publiser en DMARC-post med p=none og RUA-rapportering. Analyser rapportene (verktøy: DMARC Analyzer, dmarcian) for å finne alle legitime avsenderkilder over 2–4 uker. Trinn 3: Gå over til p=quarantine; pct=10, og øk pct gradvis til 100 %. Trinn 4: Gå over til p=reject når alle legitime e-postflyter består kontrollene. Hvis man går for raskt over til reject før alle e-postflyter er identifisert, blir legitim e-post avvist.

BIMI er en fremvoksende standard som bygger på DMARC. Når et domene har en DMARC-policy på quarantine eller reject, kan e-postklienter (Gmail, Apple Mail) vise merkevarens bekreftede logo ved siden av avsenderens navn i innboksen. BIMI krever et Verified Mark Certificate (VMC) fra en godkjent utsteder som bekrefter eierskap til varemerket. Selv om BIMI ennå ikke inngår i Security+-eksamenen, viser standarden retningen for e-postautentisering – bekreftede avsendere blir visuelt skilt fra forfalskede avsendere med et øyekast.

De tre standardene utgjør et komplett system for e-postautentisering. SPF bekrefter at avsenderserveren er autorisert av domeneeieren. DKIM bekrefter meldingsintegriteten og at avsenderorganisasjonen har den private nøkkelen. DMARC knytter begge til det synlige From-hodet, håndhever en policy ved feil og tilbyr rapportering. Ingen enkeltstandard er tilstrekkelig: SPF alene kan ikke forhindre forfalskning av synlige headere, DKIM alene krever ikke avvisning av meldinger som ikke består kontrollen, og DMARC alene har ingenting å kontrollere mot uten SPF eller DKIM. Alle tre må implementeres sammen for full beskyttelse mot domeneforfalskning.

Et praktisk forsvar-i-dybden-tiltak mot phishing og BEC er å legge til et advarselsbanner for ekstern e-post i alle meldinger som kommer utenfra organisasjonen. Dette banneret – som vanligvis settes inn av SEG-en – varsler ansatte om at e-posten kommer fra en ekstern avsender, selv når visningsnavnet ser ut til å tilhøre en kollega eller leder. Bannere er spesielt effektive for å oppdage BEC-forsøk der angriperen bruker et domenenavn som ligner på det ekte, eller forfalsker visningsnavnet. Banneret bør være visuelt tydelig (farget topp- eller bunntekst) og inneholde instruksjoner for rapportering av mistenkelige meldinger.

I denne leksjonen har De lært at SPF bruker DNS TXT-poster til å autorisere avsender-IP-adresser, men bare kontrollerer konvoluttens From-felt, ikke det synlige hodet, at DKIM legger til kryptografiske signaturer som bekrefter meldingsintegriteten og overlever videresending, og at DMARC knytter SPF og DKIM til det synlige From-hodet gjennom justeringskontroller og en håndhevbar policy (none/quarantine/reject), i tillegg til rapportering. Neste tema er sikre e-postgatewayer og kontroller mot søppelpost.