E -mail -godkendelse - Email authentication
E -mailgodkendelse eller validering er en samling teknikker, der har til formål at levere verificerbare oplysninger om e -mails oprindelse ved at validere domæneejerskabet for enhver meddelelsesoverførselsagent (MTA), der har deltaget i overførsel og muligvis ændring af en besked.
Den oprindelige base af internet -e -mail , Simple Mail Transfer Protocol (SMTP), har ingen sådan funktion, så forfalskede afsenderadresser i e -mails (en praksis kendt som e -mail -forfalskning ) har været meget udbredt i phishing , e -mail -spam og forskellige former for svindel. For at bekæmpe dette er mange konkurrerende forslag til e -mail -godkendelse blevet udviklet, men først for nylig er tre blevet bredt vedtaget - SPF , DKIM og DMARC . Resultaterne af en sådan validering kan bruges til automatisk e -mail -filtrering eller kan hjælpe modtagere, når de vælger en passende handling.
Denne artikel dækker ikke brugergodkendelse af e -mail indsendelse og hentning.
Begrundelse
I begyndelsen af 1980'erne, da Simple Mail Transfer Protocol (SMTP) blev designet, gav det ingen reel verifikation af afsendelse af bruger eller system. Dette var ikke et problem, mens e -mail -systemer blev drevet af betroede virksomheder og universiteter, men siden kommercialiseringen af Internettet i begyndelsen af 1990'erne involverer spam , phishing og andre forbrydelser i stigende grad e -mail.
E -mailgodkendelse er et nødvendigt første skridt i retning af at identificere meddelelsernes oprindelse og derved gøre politikker og love mere håndhævende.
At hænge på domæneejerskab er en holdning, der opstod i begyndelsen af 2000. Det indebærer en grovkornet godkendelse, da domæner vises på den rigtige del af e-mail-adresser efter at- tegnet . Finkornet godkendelse på brugerniveau kan opnås på andre måder, f.eks. Pretty Good Privacy og S/MIME . I øjeblikket skal digital identitet administreres af hver enkelt.
En enestående begrundelse for e -mail -godkendelse er muligheden for at automatisere e -mail -filtrering på modtagende servere. På den måde kan forfalskede meddelelser blive afvist, før de ankommer til en brugers indbakke. Mens protokoller stræber efter at udtænke måder til pålideligt at blokere mistroisk mail, kan sikkerhedsindikatorer mærke uautentificerede meddelelser, der stadig når indbakken. En undersøgelse fra 2018 viser, at sikkerhedsindikatorer kan sænke klikforholdet med mere end ti punkter, 48,9% til 37,2% af de brugere, der åbner forfalskede meddelelser.
Problemets art
SMTP definerer besked transport , ikke budskabet indhold . Således definerer den postkonvolutten og dens parametre, såsom konvolutafsenderen , men ikke overskriften (undtagen sporinformation ) eller selve meddelelsens brødtekst. STD 10 og RFC 5321 definerer SMTP (konvolutten), mens STD 11 og RFC 5322 definerer meddelelsen (header og brødtekst), der formelt kaldes Internet Message Format .
SMTP definerer sporingsoplysningerne for en meddelelse, som gemmes i overskriften ved hjælp af følgende to felter:
- Modtaget : Når en SMTP -server accepterer en besked, indsætter den denne sporingspost øverst i overskriften (sidst til først).
- Retursti : Når SMTP-serveren til levering foretager den sidste levering af en meddelelse, indsætter den dette felt øverst i overskriften.
En mail bruger agent (MUA) kender den udgående post SMTP-server fra dens konfiguration. En MTA (eller en relæserver) bestemmer typisk, hvilken server der skal oprettes forbindelse til, ved at slå op på MX (Mail eXchange) DNS -ressourceregistrering for hver modtagers domænenavn
Den nedenfor viste sti kan rekonstrueres på jorden af sporoverskriftsfelterne, som hver vært føjer til toppen af overskriften, når den modtager meddelelsen:
Return-Path: <[email protected]>
Received: from D.example.org by E.example.org with SMTP; Tue, 05 Feb 2013 11:45:02 -0500
Received: from C.example.net by D.example.org with SMTP; Tue, 05 Feb 2013 11:45:02 -0500
Received: from B.example.com (b.example.com [192.0.2.1])
by C.example.net (which is me) with ESMTP id 936ADB8838C
for <[email protected]>; Tue, 05 Feb 2013 08:44:50 -0800 (PST)
Received: from A.example.com by B.example.com with SMTP; Tue, 05 Feb 2013 17:44:47 +0100
Received: from [192.0.2.27] by A.example.com with SMTP; Tue, 05 Feb 2013 17:44:42 +0100
Det er vigtigt at indse, at modtageren normalt stoler på de første få linjer øverst i overskriften. Faktisk er disse linjer skrevet af maskiner i modtagerens Administrative Management Domain ( ADMD ), som virker på hendes eller hans eksplicitte mandat. Derimod de linjer, der viser sig at inddrage A og B , samt af den påståede forfatterens MUA kunne være en forfalsket skabt af C . Den Received:felt ovenfor er et epokegørende stykke af headeren. Den Return-Path:er skrevet af E , den postlevering agent (MDA), baseret på meddelelsen kuvert . Yderligere sporingsfelter, der er designet til e -mail -godkendelse, kan udfylde toppen af overskriften.
Normalt går meddelelser, der sendes ud af en forfatters ADMD, direkte til destinationens MX (det er B → D i figurerne). Afsenderens ADMD kan kun tilføje godkendelsestokener, hvis meddelelsen går gennem dens felter. De mest almindelige tilfælde kan skematiseres som følger:
Sender fra ADMD's netværk (MUA 1)
- ADMD's MSA godkender brugeren, enten baseret på dens IP -adresse eller andre SMTP -godkendelsesmidler. Afhængigt af modtagerens adresse kan meddelelsen følge den normale sti eller passere en mailingliste eller en videresendelsestjeneste. B kan være en udgående SMTP -proxy eller en smarthost .
- Hvis det lokale netværk ikke blokerer udgående port 25-forbindelser, kan brugeren implementere noget "direkte til-mx" -software. Typisk opfører zombier og andre ondsindede værter sig sådan.
- Hvis MUA er dårligt konfigureret, kan den også bruge et andet relæ, f.eks. Et forældet åbent relæ , der ofte ikke godkender brugeren.
Roaming -bruger (MUA 2)
- De fleste gange er det stadig muligt at bruge sin egen ADMD MSA.
- Udgående forbindelser til port 25 kan opsnappes og tunneleres til en gennemsigtig proxy.
- En MUA kan konfigureres til at bruge et SMTP -relæ, som den lokale netværksudbyder tilbyder som en bonus.
Frakoblet bruger
- Et e-kort kan sende e- mail på vegne af en kunde, der har indtastet e-mail-adresser på det lokale tastatur; nogle webformularer kan anses for at fungere på samme måde.
Afsnitsnotater
Godkendelsesmetoder i udbredt brug
SPF
SPF giver modtageren mulighed for at kontrollere, at en e -mail, der hævdes at være kommet fra et bestemt domæne, kommer fra en IP -adresse, der er godkendt af dette domænes administratorer. Normalt vil en domæneadministrator godkende de IP -adresser, der bruges af deres egne udgående MTA'er, herunder enhver proxy eller smarthost.
IP -adressen på den afsendende MTA er garanteret gyldig af Transmission Control Protocol , da den etablerer forbindelsen ved at kontrollere, at den eksterne vært er tilgængelig. Den modtagende mailserver modtager HELO SMTP -kommandoen kort efter, at forbindelsen er oprettet, og a Mail from:i begyndelsen af hver meddelelse. Begge kan indeholde et domænenavn. SPF -verifikatoren forespørger Domain Name System (DNS) om en matchende SPF -post, som hvis den findes, angiver de IP -adresser, der er godkendt af dette domænes administrator. Resultatet kan være "bestået", "mislykkedes" eller et mellemliggende resultat - og systemer vil generelt tage dette i betragtning i deres anti -spam -filtrering.
DKIM
.png)
DKIM kontrollerer meddelelsesindholdet og anvender digitale signaturer . I stedet for at bruge digitale certifikater distribueres nøglerne til signaturbekræftelse via DNS. På den måde bliver en besked knyttet til et domænenavn.
En DKIM-kompatibel domæneadministrator genererer et eller flere par asymmetriske nøgler og overdrager derefter private nøgler til den signerende MTA og udgiver offentlige nøgler på DNS. DNS -etiketterne er opbygget som selector._domainkey.example.com, hvor vælgeren identificerer nøgleparret og _domainkeyer et fast nøgleord efterfulgt af underskrivelsesdomænens navn, så offentliggørelse sker under myndighed for dette domænes ADMD. Lige før der injiceres en besked i SMTP -transportsystemet, opretter signatur -MTA en digital signatur, der dækker udvalgte felter i overskriften og brødteksten (eller kun dens begyndelse). Signaturen bør dække materielle overskriftsfelter såsom From:, To:, Date:og Subject:, og derefter bliver føjet til brevhovedet selve, som et spor felt. Et vilkårligt antal relæer kan modtage og videresende meddelelsen, og ved hvert hop kan signaturen verificeres ved at hente den offentlige nøgle fra DNS. Så længe mellemliggende relæer ikke ændrer signerede dele af en meddelelse, forbliver dens DKIM-signaturer gyldige.
DMARC
DMARC tillader specifikation af en politik for godkendte meddelelser. Det er bygget oven på to eksisterende mekanismer, Sender Policy Framework (SPF) og DomainKeys Identified Mail (DKIM).
Det giver den administrative ejer af et domæne mulighed for at offentliggøre en politik i deres DNS -poster for at specificere, hvilken mekanisme (DKIM, SPF eller begge dele), der bruges, når der sendes e -mail fra det domæne; hvordan man kontrollerer From:feltet, der præsenteres for slutbrugere; hvordan modtageren skal håndtere fejl - og en rapporteringsmekanisme for handlinger, der udføres under disse politikker.
Andre metoder
En række andre metoder er blevet foreslået, men er nu enten udfaset eller har endnu ikke opnået udbredt støtte. Disse har inkluderet afsender -id , certificeret servervalidering , DomainKeys og dem herunder:
ADSP
ADSP tillod specificering af en politik for meddelelser underskrevet af forfatterens domæne. En besked skulle først gennemgå DKIM -godkendelse, derefter kunne ADSP kræve en strafbehandling, hvis meddelelsen ikke var underskrevet af forfatterdomæne (r) - i henhold til From:overskriftsfeltet.
ADSP blev degraderet til historisk i november 2013.
VBR
VBR tilføjer et værdibevis til en allerede godkendt identitet. Denne metode kræver nogle globalt anerkendte myndigheder, der attesterer domæneres omdømme.
En afsender kan ansøge om en henvisning til en godkendende myndighed. Referencen, hvis den accepteres, offentliggøres på DNS -grenen, der administreres af denne myndighed. En godkendt afsender bør tilføje et VBR-Info:overskriftsfelt til de meddelelser, den sender. Det skal også tilføje en DKIM -signatur eller bruge en anden godkendelsesmetode, f.eks. SPF. En modtager kan efter at have valideret afsenderens identitet verificere værdikuponen, der gøres gældende VBR-Info:ved at slå referencen op.
iprev
Applikationer bør undgå at bruge denne metode som et middel til godkendelse. Ikke desto mindre udføres det ofte, og dets resultater, hvis nogen, skrives i Received:headerfeltet udover de TCP -oplysninger, der kræves af SMTP -specifikationen.
IP -omvendt, bekræftet ved at slå IP -adressen til det netop fundne navn op, er blot en indikation på, at IP'en var konfigureret korrekt i DNS. Den omvendte opløsning af en række IP -adresser kan delegeres til den ADMD, der bruger dem, eller kan forblive administreret af netværksudbyderen. I sidstnævnte tilfælde kan der ikke opnås nogen nyttig identitet relateret til meddelelsen.
DNSWL
Slå en DNSWL (DNS-baseret hvidliste) kan give en vurdering af afsenderen, muligvis herunder dens identifikation.
Godkendelses-resultater
RFC 8601 definerer et sporoverskriftsfelt, Authentication-Results:hvor en modtager kan registrere resultaterne af e -mail -godkendelseskontroller, som den har udført. Flere resultater for flere metoder kan rapporteres i det samme felt, adskilt af semikolon og indpakket efter behov.
For eksempel er følgende felt angiveligt skrevet af receiver.example.orgog rapporterer SPF- og DKIM -resultater:
Authentication-Results: receiver.example.org;
spf=pass smtp.mailfrom=example.com;
dkim=pass [email protected]
Det første token efter feltnavnet ,, er id'etreceiver.example.org til godkendelsesserveren, et token kendt som en authserv-id . En modtager, der understøtter RFC 8601, er ansvarlig for at fjerne (eller omdøbe) ethvert falsk overskrift, der påstår at tilhøre sit domæne, så nedstrøms filtre ikke kan blive forvirret. Disse filtre skal dog stadig konfigureres, da de skal vide, hvilke identiteter domænet kan bruge.
For en Mail User Agent (MUA) er det lidt sværere at lære, hvilke identiteter den kan have tillid til. Da brugere kan modtage e -mail fra flere domæner -f.eks. Hvis de har flere e -mail -adresser -kunne ethvert af disse domæner lade Authentication-Results:felter passere, fordi de så neutrale ud. På den måde kan en ondsindet afsender smede et authserv-id , som brugeren ville stole på, hvis meddelelsen kom fra et andet domæne. En legitim Authentication-Results:vises typisk lige over et Received:felt af det samme domæne, hvorfra meddelelsen blev videresendt. Yderligere Received:felter kan forekomme mellem det og toppen af overskriften, da meddelelsen blev overført internt mellem servere, der tilhører den samme, pålidelige ADMD.
De Internet Assigned Numbers Authority vedligeholder et register over e-mail Authentication Parametre . Ikke alle parametre behøver dog at blive registreret. For eksempel kan der være lokale "politik" -værdier, der kun er beregnet til et websteds interne brug, som svarer til lokal konfiguration og ikke kræver registrering.
Se også
- DMARC - System til at forhindre e -mailsvindel
- E -mail -kryptering
- E -mailforfalskning - Oprettelse af spam eller phishing -e -mails med en forfalsket afsenderidentitet eller adresse
- Ident - Internetprotokol, der hjælper med at identificere brugeren af en bestemt TCP -forbindelse
- Sikker besked
