Tre tjek, hver gang en mail lander
Når en mail lander hos modtageren, sker der tre ting. Serveren tjekker, om afsender-IP’en er godkendt i jeres SPF-record, og om mailens DKIM-signatur er gyldig. Derefter vurderer den alignment, altså om det domæne, der bestod tjekket, er det samme som det, modtageren ser i Fra-feltet.
Alignment-kravet er grunden til, at DMARC er stærkere end SPF og DKIM hver for sig. En angriber kan sagtens bestå SPF for sit eget domæne. Han kan bare ikke gøre det for jeres.
1. SPF og DKIM tjekkes
Modtagerserveren validerer, om mailen kommer fra en godkendt server, og om den er signeret med jeres kryptografiske nøgle.
2. Alignment vurderes
DMARC kræver, at det validerede domæne matcher domænet i Fra-feltet. Det forhindrer, at angribere låner et andet domænes godkendelse for at udgive sig for jer.
3. Jeres politik afgør
Fejler begge tjek, følger modtageren den politik, I har publiceret i DNS. Gør ingenting, læg i karantæne, eller afvis helt.
Sådan ser en DMARC-record ud
En DMARC-record er én TXT-record i DNS på subdomænet _dmarc. Her er et eksempel på en færdig, håndhævet opsætning:
_dmarc.jeresdomæne.dk. IN TXT "v=DMARC1; p=reject; rua=mailto:dmarc@jeresdomæne.dk; adkim=s; aspf=s; pct=100"| Felt | Betydning |
|---|---|
v=DMARC1 | Versionen. Skal altid stå først. |
p=reject | Politikken. Afvis mails, der fejler. Se næste afsnit. |
rua= | Hvor de aggregerede rapporter sendes hen. Jeres øjne på misbrug af domænet. |
adkim=s / aspf=s | Strict alignment. Subdomæner kan ikke låne hoveddomænets godkendelse. |
pct=100 | Politikken gælder 100 % af mailstrømmen. |
none, quarantine eller reject
Politikken er jeres instruks til alverdens mailservere om, hvad de skal gøre, når en mail fejler godkendelsen.
| Politik | Hvad sker der | Hvornår er den rigtig |
|---|---|---|
p=none | Ingenting. Mails leveres som normalt, men I modtager rapporter. | Kun som midlertidig overvågningsfase, typisk 2 til 6 uger. Mange bliver stående her i årevis og er reelt ubeskyttede. |
p=quarantine | Mistænkelige mails sendes i spam eller karantæne. | Overgangsfase, når rapporterne viser, at alle legitime afsendere er sat rigtigt op. |
p=reject | Mails, der fejler, afvises helt. | Målet. Først her er domænet beskyttet mod spoofing. |
De fire fejl vi ser oftest
p=none for evigt
Recorden findes, men beskytter ingenting. Det er den fejl, vi ser flest af hos danske SMV’er. DMARC blev sat op engang, politikken blev aldrig strammet, og domænet kan stadig spoofes frit.
Af de elleve domæner, vi har gennemgået den seneste måned, havde syv ingen håndhævet politik. Tre havde slet ingen record, fire stod på p=none. Det er ikke et statistisk udsnit af Danmark. Men fordelingen har ikke overrasket os en eneste gang.
Hvor jeres eget domæne står, kan I se i vores DMARC-tjek. Det viser, hvilken politik I har, og hvad næste skridt er.
Glemte tredjepartsafsendere
Nyhedsbrevssystem, bogføring, CRM og supportplatform sender alle mails på jeres vegne. Mangler bare én af dem i SPF- eller DKIM-opsætningen, ryger legitime mails i spam den dag, politikken strammes. Så ruller nogen den tilbage til p=none i panik, og der bliver den stående.
Ingen læser rapporterne
rua-rapporterne er XML og ulæselige med det blotte øje. Uden et værktøj til at samle og fortolke dem flyver både misbrug og fejlkonfigurationer under radaren.
SPF-recorden sprænger grænsen på ti opslag
SPF tillader maksimalt ti DNS-opslag. For mange include-statements gør hele SPF-tjekket ugyldigt, og så vakler fundamentet under DMARC, uden at nogen opdager det.
Hvad kræver det i praksis?
Selve DNS-ændringerne tager minutter. Arbejdet ligger i rejsen mod p=reject.
Først publiceres recorden med p=none, så rapporterne begynder at strømme ind. Derefter analyseres de. Hvilke systemer sender legitimt på jeres vegne, og hvilke af dem fejler i dag? Når alle legitime afsendere er bragt på plads i SPF og DKIM, strammes politikken trinvist til quarantine og til sidst reject.
For en SMV med en håndfuld afsendersystemer tager forløbet fire til otte uger. Vores erfaring er, at det ikke er teknikken, der trækker tiden. Det er beslutningen om at stramme. Sæt en dato på allerede, når recorden oprettes, ellers bliver det en opgave, der altid kan vente til efter næste kvartal.
Hele forløbet fra overvågning til blokering, med tidsplan og hvad det kræver af jer, står i vores whitepaper Falske mails i jeres eget navn. Den kan læses her på siden eller hentes som PDF til ledelsen.
Det er præcis det forløb, vi har lagt i E-mail Skjold, og DMARC indgår også i vores bredere ydelse Mail- & Domænesikkerhed. Er I allerede blevet spoofet, starter vi i stedet på stop mailspoofing.