Аутентификация электронной почты: SPF, DKIM и DMARC

В базовом протоколе SMTP, разработанном в 1970-х годах, отсутствует встроенная аутентификация отправителя. Любой почтовый сервер может заявить, что отправляет письмо от имени любого домена — этот метод называется подменой электронной почты. Злоумышленники используют его для рассылки фишинговых писем, которые выглядят отправленными легитимными организациями (Вашим банком, Вашим CEO или известным поставщиком). Для решения этой проблемы были разработаны три стандарта аутентификации электронной почты на основе DNS: SPF, DKIM и DMARC. Каждый из них отвечает за отдельный аспект проблемы подмены, а лучше всего они работают вместе.

SPF — это запись DNS TXT, в которой указано, какие почтовые серверы уполномочены отправлять электронную почту от имени домена. Когда принимающий почтовый сервер получает сообщение, якобы отправленное с example.com, он запрашивает запись SPF для example.com и проверяет, указан ли IP-адрес отправляющего сервера в списке. Если IP-адрес не авторизован, сообщение может быть помечено как спам или отклонено. SPF проверяет адрес From конверта (команду SMTP MAIL FROM), а не отображаемый пользователям заголовок From.

У SPF есть два существенных ограничения. Во-первых, пересылка нарушает работу SPF: при пересылке электронной почты IP-адрес сервера пересылки отсутствует в записи SPF исходного домена, из-за чего проверка SPF завершается неудачей даже для легитимно пересланных писем. Во-вторых, SPF аутентифицирует только From конверта (невидимый пользователям), но не видимый в почтовых клиентах заголовок From. Злоумышленники по-прежнему могут подменить видимый заголовок From, используя при этом From конверта, успешно прошедший SPF, — поэтому одного SPF недостаточно. Эти пробелы устраняют DKIM и DMARC.

DKIM добавляет к исходящим письмам криптографическую подпись. Отправляющий почтовый сервер использует закрытый ключ для подписи определённых заголовков и тела сообщения, добавляя заголовок DKIM-Signature. Открытый ключ публикуется в виде записи DNS TXT в поддомене селектора. Принимающие серверы получают открытый ключ и проверяют подпись, подтверждая, что письмо не было изменено при передаче и отправлено сервером, имеющим доступ к закрытому ключу. В отличие от SPF, подписи DKIM сохраняются при пересылке, поскольку передаются в заголовках электронной почты.

DKIM использует селекторы, чтобы разрешить одновременное использование нескольких открытых ключей для одного домена. Это удобно при работе с несколькими почтовыми службами (Google Workspace и маркетинговая платформа) или при ротации ключей без перерывов в работе. Имя селектора включается в заголовок DKIM-Signature, чтобы принимающие серверы знали, какую запись DNS запрашивать. Организациям следует менять ключи DKIM ежегодно или при подозрении на компрометацию ключа. Длина ключа: рекомендуется использовать ключи RSA длиной не менее 2048 бит; ключи длиной 1024 бита считаются устаревшими и могут быть взломаны с помощью современных вычислительных ресурсов.

DMARC (аутентификация сообщений на основе домена, отчётность и соответствие требованиям) расширяет SPF и DKIM, добавляя проверку согласованности (домен в видимом заголовке From должен совпадать с доменом, аутентифицированным через SPF или DKIM) и политику, указывающую принимающим серверам, что делать с сообщениями, не прошедшими проверку. Политики DMARC бывают следующими: none (только мониторинг), quarantine (доставить в папку спама) или reject (не доставлять). DMARC также поддерживает агрегированные отчёты (RUA) и криминалистические отчёты (RUF), отправляемые владельцу домена, чтобы он видел, кто отправляет сообщения от его имени.

Выравнивание — это механизм, благодаря которому DMARC эффективно защищает от подделки заголовков. При выравнивании SPF домен в SMTP-конверте From должен совпадать с доменом в видимом заголовке From. При выравнивании DKIM домен, выполняющий подпись (d= в DKIM-Signature), должен совпадать с доменом в заголовке From. В строгом режиме домены должны совпадать полностью. В ослабленном режиме допускаются поддомены. Сообщение проходит DMARC, если оно проходит SPF ИЛИ DKIM с корректным выравниванием — проходить оба механизма не требуется. Такое сочетание устраняет уязвимость, которую оставляет SPF, используемый отдельно, поскольку он не защищает от подделки видимого заголовка.

Организациям следует внедрять DMARC постепенно, чтобы не нарушить доставку легитимной почты. Этап 1: внедрите SPF и DKIM для всех потоков почты. Этап 2: опубликуйте запись DMARC p=none с Reporting RUA. Анализируйте отчёты (инструменты: DMARC Analyzer, dmarcian), чтобы за 2–4 недели выявить все легитимные источники отправки. Этап 3: перейдите к p=quarantine; pct=10, постепенно увеличивая pct до 100%. Этап 4: перейдите к p=reject, когда все легитимные потоки начнут проходить проверку. Переход к reject до выявления всех потоков почты приведёт к отклонению легитимных сообщений.

BIMI — это развивающийся стандарт, основанный на DMARC. Если для домена установлена политика DMARC quarantine или reject, почтовые клиенты (Gmail, Apple Mail) могут отображать подтверждённый логотип бренда рядом с именем отправителя во входящих сообщениях. Для BIMI требуется сертификат Verified Mark Certificate (VMC) от одобренного поставщика, подтверждающий право собственности на товарный знак. Хотя BIMI пока не входит в экзамен Security+, он отражает направление развития аутентификации почты: подтверждённых отправителей можно будет с первого взгляда визуально отличить от поддельных.

Эти три стандарта образуют полноценную систему аутентификации электронной почты. SPF проверяет, что отправляющий сервер авторизован владельцем домена. DKIM подтверждает целостность сообщения и наличие у отправляющей организации закрытого ключа. DMARC связывает оба механизма с видимым заголовком From, применяет политику при сбоях и предоставляет отчётность. Ни одного стандарта по отдельности недостаточно: один SPF не предотвращает подделку видимого заголовка; один DKIM не требует отклонять сообщения, не прошедшие проверку; у одного DMARC без SPF или DKIM нет данных для проверки. Для полной защиты от подделки домена необходимо внедрить все три стандарта вместе.

Практическая мера эшелонированной защиты от фишинга и BEC — добавление предупреждающего баннера внешней почты ко всем сообщениям, отправленным из-за пределов организации. Этот баннер, который обычно вставляет SEG, предупреждает сотрудников о том, что сообщение пришло от внешнего отправителя, даже если отображаемое имя похоже на имя коллеги или руководителя. Баннеры особенно эффективны для выявления попыток BEC, когда злоумышленник использует похожий домен или подделывает отображаемое имя. Баннер должен быть визуально заметным (цветной верхний или нижний колонтитул) и содержать инструкции по сообщению о подозрительных письмах.

Проверьте своё понимание концепций CompTIA Security+ (SY0-701), рассмотренных в этом уроке.

В этом уроке Вы узнали, что SPF использует записи DNS TXT для авторизации IP-адресов отправки, но проверяет только envelope From, а не видимый заголовок; DKIM добавляет криптографические подписи, подтверждающие целостность сообщения и сохраняющиеся при пересылке; а DMARC связывает SPF и DKIM с видимым заголовком From с помощью проверок выравнивания и применяемой политики (none/quarantine/reject), а также предоставляет отчётность. Далее мы рассмотрим защищённые почтовые шлюзы и средства защиты от спама.