Autenticação de E-mail: SPF, DKIM e DMARC

O protocolo SMTP básico (projetado na década de 1970) não possui autenticação integrada do remetente. Qualquer servidor de e-mail pode alegar enviar uma mensagem de qualquer domínio — uma técnica chamada falsificação de e-mail. Os invasores exploram isso para enviar e-mails de phishing que parecem vir de organizações legítimas (seu banco, seu CEO ou um fornecedor conhecido). Três padrões de autenticação de e-mail baseados em DNS foram desenvolvidos para tratar desse problema: SPF, DKIM e DMARC. Cada um aborda um aspecto diferente da falsificação, e eles funcionam melhor quando implantados em conjunto.

O SPF é um registro TXT do DNS que especifica quais servidores de e-mail estão autorizados a enviar mensagens em nome de um domínio. Quando um servidor de e-mail receptor recebe uma mensagem que afirma ser de example.com, ele consulta o registro SPF de example.com e verifica se o endereço IP do servidor remetente está listado. Se o IP não estiver autorizado, a mensagem poderá ser marcada como spam ou rejeitada. O SPF verifica o endereço From do envelope (o comando SMTP MAIL FROM), e não o cabeçalho From exibido aos usuários.

O SPF tem duas limitações significativas. Primeiro, o encaminhamento interrompe o SPF: quando um e-mail é encaminhado, o IP do servidor de encaminhamento não está no registro SPF do domínio original, fazendo o SPF falhar em mensagens encaminhadas legitimamente. Segundo, o SPF autentica apenas o From do envelope (invisível para os usuários), e não o cabeçalho From visível nos clientes de e-mail. Os invasores ainda podem falsificar o cabeçalho From visível usando um From do envelope que passa no SPF — por isso, o SPF sozinho é insuficiente. O DKIM e o DMARC tratam dessas lacunas.

O DKIM adiciona uma assinatura criptográfica aos e-mails enviados. O servidor de e-mail remetente usa uma chave privada para assinar cabeçalhos específicos do e-mail e o corpo da mensagem, adicionando um cabeçalho DKIM-Signature. A chave pública é publicada como um registro TXT do DNS em um subdomínio seletor. Os servidores receptores obtêm a chave pública e verificam a assinatura, confirmando que o e-mail não foi alterado durante o trânsito e que se originou de um servidor com acesso à chave privada. Diferentemente do SPF, as assinaturas DKIM sobrevivem ao encaminhamento porque são transportadas nos cabeçalhos do e-mail.

O DKIM usa seletores para permitir várias chaves públicas simultâneas para um domínio — algo útil para executar vários serviços de e-mail (Google Workspace e uma plataforma de marketing) ou fazer a rotação de chaves sem interrupções. O nome do seletor é incluído no cabeçalho DKIM-Signature para que os servidores receptores saibam qual registro DNS consultar. As organizações devem alternar as chaves DKIM anualmente ou quando houver suspeita de comprometimento de uma chave. Comprimento da chave: recomenda-se usar chaves RSA de no mínimo 2048 bits; chaves de 1024 bits estão obsoletas e podem ser quebradas com recursos computacionais modernos.

O DMARC (Autenticação, Relatórios e Conformidade de Mensagens Baseados em Domínio) baseia-se no SPF e no DKIM, acrescentando: uma verificação de alinhamento (o domínio no cabeçalho From visível deve estar alinhado com o domínio autenticado pelo SPF ou pelo DKIM) e uma política que informa aos servidores receptores o que fazer quando as mensagens falham. As políticas DMARC são none (somente monitorar), quarantine (entregar na pasta de spam) ou reject (não entregar). O DMARC também permite relatórios agregados (RUA) e relatórios forenses (RUF), enviados de volta ao proprietário do domínio para fornecer visibilidade sobre quem está enviando mensagens em seu nome.

O alinhamento é o que torna o DMARC eficaz contra a falsificação de cabeçalhos. No alinhamento do SPF, o domínio do campo From do envelope SMTP deve corresponder ao domínio do cabeçalho From visível. No alinhamento do DKIM, o domínio de assinatura (d= em DKIM-Signature) deve corresponder ao domínio do cabeçalho From. No modo estrito, os domínios devem corresponder exatamente. No modo relaxado, subdomínios são aceitos. Um e-mail passa pelo DMARC se passar pelo SPF OU pelo DKIM com o alinhamento correto — não é necessário passar por ambos. Essa combinação elimina a brecha que o SPF sozinho deixa aberta para a falsificação do cabeçalho visível.

As organizações devem implantar o DMARC progressivamente para evitar interromper e-mails legítimos. Etapa 1: implante SPF e DKIM em todos os fluxos de e-mail. Etapa 2: publique um registro DMARC p=none com relatórios RUA. Analise os relatórios (ferramentas: DMARC Analyzer, dmarcian) para descobrir todas as fontes legítimas de envio durante 2 a 4 semanas. Etapa 3: mude para p=quarantine; pct=10, aumentando gradualmente o pct até 100%. Etapa 4: mude para p=reject quando todos os fluxos legítimos passarem. Adotar reject às pressas, antes de descobrir todos os fluxos de e-mail, faz com que e-mails legítimos sejam rejeitados.

O BIMI é um padrão emergente que se baseia no DMARC. Quando um domínio tem uma política DMARC de quarantine ou reject, os clientes de e-mail (Gmail, Apple Mail) podem exibir o logotipo verificado da marca ao lado do nome do remetente na caixa de entrada. O BIMI exige um Verified Mark Certificate (VMC) emitido por uma autoridade aprovada, que confirme a propriedade da marca registrada. Embora o BIMI ainda não faça parte do exame Security+, ele representa a direção da autenticação de e-mail: tornar visualmente distinguíveis, de imediato, os remetentes verificados e os remetentes falsificados.

Os três padrões formam um sistema completo de autenticação de e-mail. O SPF verifica se o servidor de envio está autorizado pelo proprietário do domínio. O DKIM verifica a integridade da mensagem e se a organização remetente possui a chave privada. O DMARC vincula ambos ao cabeçalho From visível, aplica uma política em caso de falhas e fornece relatórios. Nenhum padrão isolado é suficiente: o SPF sozinho não impede a falsificação do cabeçalho visível; o DKIM sozinho não exige a rejeição de falhas; e o DMARC sozinho, sem SPF ou DKIM, não tem nada para verificar. Os três devem ser implantados em conjunto para oferecer proteção completa contra a falsificação de domínios.

Uma medida prática de defesa em profundidade contra phishing e BEC é adicionar um banner de aviso de e-mail externo a toda mensagem originada fora da organização. Esse banner — normalmente inserido pelo SEG — alerta os funcionários de que o e-mail veio de um remetente externo, mesmo quando o nome exibido parece ser o de um colega ou executivo. Os banners são especialmente eficazes para sinalizar tentativas de BEC nas quais o invasor usa um domínio semelhante ou falsifica o nome exibido. O banner deve ser visualmente distinto (um cabeçalho ou rodapé colorido) e incluir instruções para denunciar mensagens suspeitas.

Teste sua compreensão dos conceitos do CompTIA Security+ (SY0-701) abordados nesta lição.

Nesta lição, você aprendeu que o SPF usa registros DNS TXT para autorizar IPs de envio, mas verifica apenas o From do envelope, não o cabeçalho visível; o DKIM adiciona assinaturas criptográficas que verificam a integridade da mensagem e sobrevivem ao encaminhamento; e o DMARC vincula SPF e DKIM ao cabeçalho From visível por meio de verificações de alinhamento e de uma política aplicável (none/quarantine/reject), além de fornecer relatórios. A seguir, exploraremos gateways seguros de e-mail e controles antispam.