E-posta Kimlik Doğrulaması: SPF, DKIM ve DMARC

Temel SMTP protokolünde (1970'lerde tasarlanmıştır) yerleşik gönderen kimlik doğrulaması yoktur. Her posta sunucusu, herhangi bir etki alanından e-posta gönderdiğini iddia edebilir; bu teknik e-posta sahteciliği olarak adlandırılır. Saldırganlar bunu, meşru kuruluşlardan (bankanız, CEO'nuz veya tanınmış bir tedarikçi) geliyormuş gibi görünen kimlik avı e-postaları göndermek için kullanır. Bu sorunu ele almak üzere DNS tabanlı üç e-posta kimlik doğrulama standardı geliştirilmiştir: SPF, DKIM ve DMARC. Her biri sahtecilik sorununun farklı bir yönünü ele alır ve birlikte kullanıldıklarında en iyi sonucu verirler.

SPF, bir etki alanı adına e-posta göndermeye yetkili posta sunucularını belirten bir DNS TXT kaydıdır. Alıcı posta sunucusu example.com adresinden geldiğini iddia eden bir ileti aldığında, example.com için SPF kaydına bakar ve gönderen sunucunun IP adresinin listede bulunduğunu doğrular. IP yetkili değilse ileti istenmeyen posta olarak işaretlenebilir veya reddedilebilir. SPF, kullanıcıların gördüğü görüntülenen From üstbilgisini değil, zarf From adresini (SMTP MAIL FROM komutunu) denetler.

SPF'nin iki önemli sınırlaması vardır. İlk olarak, iletme SPF'yi bozar: e-posta iletildiğinde, ileten sunucunun IP adresi özgün etki alanının SPF kaydında bulunmaz ve bu da meşru şekilde iletilen postalarda SPF'nin başarısız olmasına neden olur. İkinci olarak SPF, e-posta istemcilerinde görünen From üstbilgisini değil, yalnızca kullanıcıların göremediği zarf From adresini doğrular. Saldırganlar SPF denetiminden geçen bir zarf From adresi kullanırken görünür From üstbilgisini yine de taklit edebilir; SPF'nin tek başına yetersiz olmasının nedeni budur. DKIM ve DMARC bu boşlukları ele alır.

DKIM, giden e-postalara şifreleme tabanlı bir imza ekler. Gönderen posta sunucusu, belirli e-posta üstbilgilerini ve ileti gövdesini imzalamak için bir özel anahtar kullanır ve DKIM-Signature üstbilgisini ekler. Genel anahtar, bir seçici alt etki alanı altında DNS TXT kaydı olarak yayımlanır. Alıcı sunucular genel anahtarı alır ve imzayı doğrular; böylece e-postanın aktarım sırasında değiştirilmediğini ve özel anahtara erişimi olan bir sunucudan geldiğini doğrular. SPF'nin aksine DKIM imzaları, e-posta üstbilgilerinde taşındıkları için iletme işleminden etkilenmez.

DKIM, bir etki alanı için aynı anda birden fazla genel anahtar kullanılmasına olanak tanımak üzere seçicileri kullanır. Bu özellik, birden fazla posta hizmeti (Google Workspace + bir pazarlama platformu) çalıştırmak veya kesinti olmadan anahtar döndürmek için kullanışlıdır. Seçici adı DKIM-Signature üstbilgisine eklenir; böylece alıcı sunucular hangi DNS kaydını sorgulayacağını bilir. Kuruluşlar DKIM anahtarlarını yılda bir kez veya bir anahtarın güvenliğinin ihlal edildiğinden şüphelenildiğinde döndürmelidir. Anahtar uzunluğu: en az 2048 bitlik RSA anahtarları önerilir; 1024 bitlik anahtarların kullanımı bırakılmıştır ve modern işlem gücüyle kırılabilir.

DMARC (Domain-based Message Authentication, Reporting, and Conformance), SPF ve DKIM'yi şu özellikleri ekleyerek temel alır: bir uyum denetimi (görünür From üstbilgisindeki etki alanı, SPF veya DKIM ile kimliği doğrulanmış etki alanıyla uyumlu olmalıdır) ve iletiler başarısız olduğunda alıcı sunuculara ne yapacağını bildiren bir ilke. DMARC ilkeleri none (yalnızca izleme), quarantine (istenmeyen posta klasörüne teslim etme) veya reject (teslim etmeme) olabilir. DMARC ayrıca, sizin adınıza kimin gönderim yaptığını görmeyi sağlayan toplu raporların (RUA) ve adli raporların (RUF) etki alanı sahibine geri gönderilmesini sağlar.

Hizalama, DMARC'ı Header sahteciliğine karşı güçlü kılan unsurdur. SPF hizalamasında, SMTP zarfındaki From alanındaki domain, görünür From Header'ındaki domain ile eşleşmelidir. DKIM hizalamasında, imzalama domain'i (d= in DKIM-Signature) From Header'ındaki domain ile eşleşmelidir. Katı modda domain'ler tam olarak eşleşmelidir. Esnek modda alt domain'ler kabul edilir. Bir Email, uygun hizalamayla SPF OR DKIM denetimlerinden birini geçerse DMARC'ı geçer; her ikisini de geçmesi gerekmez. Bu birleşim, SPF'nin tek başına görünür Header sahteciliğine karşı açık bıraktığı boşluğu kapatır.

Organization'lar, meşru Email trafiğini kesintiye uğratmamak için DMARC'ı aşamalı olarak uygulamalıdır. Stage 1: Tüm Mail akışları için SPF ve DKIM uygulayın. Stage 2: RUA Reporting içeren p=none DMARC kaydını yayımlayın. 2-4 hafta boyunca tüm meşru gönderim kaynaklarını keşfetmek için Report'ları analiz edin (araçlar: DMARC Analyzer, dmarcian). Stage 3: p=quarantine; pct=10 değerine geçin ve pct'yi kademeli olarak %100'e çıkarın. Stage 4: Tüm meşru akışlar PASS olduğunda p=reject değerine geçin. Tüm Mail akışlarını keşfetmeden reject'e geçmek, meşru Email'lerin reddedilmesine neden olur.

BIMI, DMARC üzerine kurulan yeni bir standarttır. Bir domain'in DMARC policy'si quarantine veya reject olduğunda, Email istemcileri (Gmail, Apple Mail) gelen kutusunda gönderenin adının yanında markanın doğrulanmış logosunu gösterebilir. BIMI, marka tescili sahipliğini doğrulayan onaylı bir düzenleyiciden alınmış bir Verified Mark Certificate (VMC) gerektirir. BIMI henüz Security+ sınavında yer almasa da Email Authentication'ın yönünü temsil eder; doğrulanmış gönderenleri sahte göndericilerden tek bakışta görsel olarak ayırt edilebilir hâle getirir.

Bu üç standart, eksiksiz bir Email Authentication sistemi oluşturur. SPF, gönderim Server'ının domain sahibi tarafından yetkilendirildiğini doğrular. DKIM, mesaj bütünlüğünü ve gönderim Organization'ının özel key'i elinde tuttuğunu doğrular. DMARC, her ikisini görünür From Header'ına bağlar, başarısızlıklar için policy uygular ve Reporting sağlar. Tek bir standart yeterli değildir: SPF tek başına görünür Header sahteciliğini önleyemez; DKIM tek başına başarısızlıkların reddedilmesini zorunlu kılmaz; SPF veya DKIM olmadan DMARC'ın karşılaştırma yapacağı hiçbir şey yoktur. Domain sahteciliğine karşı tam koruma için üçünün de birlikte uygulanması gerekir.

Kimlik avı ve BEC'e karşı pratik bir savunma derinliği önlemi, Organization dışından gelen her mesaja harici Email uyarı banner'ı eklemektir. Genellikle SEG tarafından eklenen bu banner, görünen ad bir çalışma arkadaşına veya yöneticiye aitmiş gibi görünse bile çalışanları Email'in harici bir göndericiden geldiği konusunda uyarır. Banner'lar, saldırganın benzer görünümlü bir domain veya görünen ad sahteciliği kullandığı BEC girişimlerini işaretlemede özellikle etkilidir. Banner görsel olarak ayırt edici olmalı (renkli Header veya alt bilgi) ve şüpheli mesajların nasıl bildirileceğine ilişkin talimatlar içermelidir.

Bu dersteki CompTIA Security+ (SY0-701) kavramlarını anlayıp anlamadığınızı test edin.

Bu derste şunları öğrendiniz: SPF, gönderim IP'lerini yetkilendirmek için DNS TXT kayıtlarını kullanır ancak görünür Header'ı değil yalnızca zarf From alanını denetler; DKIM, mesaj bütünlüğünü doğrulayan ve iletmeye rağmen korunan kriptografik imzalar ekler; DMARC ise SPF ve DKIM'i hizalama denetimleri ve uygulanabilir bir policy (none/quarantine/reject) ile birlikte Reporting sağlayarak görünür From Header'ına bağlar. Sırada güvenli Email gateway'lerini ve anti-spam denetimlerini inceleyeceğiz.