SPF, DKIM, DMARC: e-mail hitelesítés

Hogyan akadályozza meg, hogy bárki a cége nevében küldjön levelet. A három rekord szerepe, a bevezetés sorrendje és a leggyakoribb hibák.

A levelezés alapprotokollja nem tartalmaz hitelesítést: bárki beírhat a feladó mezőbe bármit. A három DNS-rekord (SPF, DKIM, DMARC) ezt a hiányt pótolja, és együtt megakadályozzák, hogy idegen a cég nevében küldjön levelet.

A gond, hogy sok szervezetnél be vannak állítva, csak nem működnek.

Mit csinál a három rekord

SPF felsorolja, mely szerverek küldhetnek levelet a domain nevében. A fogadó ellenőrzi, hogy a küldő IP szerepel-e a listán.

DKIM kriptográfiai aláírást tesz a levélre. A fogadó a DNS-ből lekért nyilvános kulccsal ellenőrzi, hogy a levél nem változott útközben, és tényleg a domainről indult.

DMARC összeköti a kettőt: megmondja, mi történjen, ha az ellenőrzés megbukik, és hova jelentsenek erről. Ez a legfontosabb, mert az SPF és a DKIM önmagában csak jelez, nem tilt.

A leggyakoribb hiba: a DMARC megfigyelő módban marad

A p=none beállítás semmit nem blokkol, csak jelentést kér. Ez a bevezetés első lépésének való, de sok szervezetnél évekig ott marad, mert senki nem meri továbblépni.

Az érvényesítés két szintje:

  • p=quarantine: a megbukott levél a levélszemét mappába kerül
  • p=reject: a megbukott levelet a fogadó elutasítja

Amíg nincs p=reject, addig bárki küldhet levelet a cég nevében, és az célba is ér.

A bevezetés sorrendje

1. Küldő-leltár. Melyik rendszer küld levelet a domain nevében? A saját levelezőn kívül jellemzően van hírlevélküldő, számlázó, CRM, HR-rendszer, monitorozó eszköz. Ezek mindegyikét fel kell venni az SPF-be, különben a saját leveleit fogja blokkolni.

2. SPF beállítása. Figyelem a tíz DNS-lekérdezés korlátjára: ha túl sok include van benne, az SPF érvénytelenné válik. Ez gyakori probléma sok szolgáltatásnál.

3. DKIM minden küldőn. Nem elég a fő levelezőn: minden rendszernek, ami a domain nevében küld, saját aláíró kulcsot kell kapnia.

4. DMARC p=none, jelentésekkel. Néhány hét alatt kiderül, mely küldők buknak meg, és melyik jogos.

5. Fokozatos szigorítás. p=quarantine részleges százalékkal, aztán teljes, végül p=reject.

A DMARC-jelentések nyers XML-ben érkeznek, és olvashatatlanok. Van több ingyenes és fizetős feldolgozó szolgáltatás, ami grafikusan mutatja, ki küld a nevében. Enélkül a jelentések a postafiókban maradnak és senki nem nézi őket.

Amit még érdemes beállítani

BIMI. A logó megjelenítése a levél mellett a fogadó levelezőjében. Feltétele az érvényesített DMARC, tehát csak akkor jön szóba, ha a fenti kész. Márkaérték és bizalmi jelzés.

MTA-STS. Kikényszeríti, hogy a levelezés titkosított kapcsolaton menjen. Nélküle a titkosítás opcionális, és lefokozható.

Külső feladó jelölése. Nem DNS-rekord, hanem a saját levelezőben beállítható szabály: a kívülről érkező levelekhez látható jelzés kerül. A vezetői utasítás típusú adathalászat ellen ez az egyik leghatékonyabb kontroll.

Amit nem old meg

Az e-mail hitelesítés azt akadályozza meg, hogy a te domained nevében küldjenek levelet. Nem akadályozza meg:

  • a hasonló domainről érkező levelet (arl1tech.hu),
  • a kompromittált partnerfiókból érkező, technikailag hibátlan levelet,
  • a megjelenített névvel való megtévesztést.

Ezekre az oktatás, a folyamat és a technikai szűrés együtt a válasz. Erről az adathalászatról szóló cikkünkben írtunk részletesen.

Ellenőrzés

A beállítás néhány perc alatt ellenőrizhető: küldjön levelet egy külső postafiókba, és nézze meg a fejlécben az Authentication-Results sort. Ott látszik, hogy az SPF, a DKIM és a DMARC átment-e.

Ha bármelyik fail vagy none, ott van tennivaló. A teljes levelezési architektúra átvizsgálása az IT biztonsági szolgáltatásaink része.

Vissza a Tudástárba
Kapcsolódó tartalom

Kapcsolódó tartalom

Kérdése van a témában?

Szakértőink szívesen átbeszélik, mit jelent mindez az Ön szervezetének környezetében.