SMTP'nin doğuştan gelen zayıflığı
E-posta iletimi için kullanılan SMTP protokolü, internetin küçük ve güvene dayalı bir topluluk olduğu dönemde tasarlandı. Protokolün kendisi, bir sunucunun "Bu mesaj ornek.com adına gönderiliyor" demesini doğrulamaz. Bu nedenle uygun önlemler alınmamış bir alan adı adına, başka bir sunucudan e-posta göndermek teknik olarak mümkündür. Bu durum, oltalama ve iş e-postası dolandırıcılığının (BEC) temel araçlarından birini oluşturur.
İki farklı "gönderen" adresi
E-postada kimlik doğrulamayı anlamanın anahtarı, bir mesajda iki farklı gönderen adresi bulunduğunu bilmektir:
| Adres | Diğer adları | Nerede bulunur? | Kim görür? |
|---|---|---|---|
| Zarf göndericisi | MAIL FROM, Return-Path, 5321.From, bounce adresi | SMTP oturumunda | Genellikle yalnızca sunucular |
| Başlık göndericisi | From, 5322.From | Mesaj başlığında | Kullanıcı (e-posta istemcisinde görünen adres) |
Bir mektup benzetmesiyle: Zarf göndericisi zarfın arkasındaki iade adresidir; başlık göndericisi ise mektubun içindeki antetli kâğıtta yazan addır. İkisi farklı olabilir ve meşru durumlarda da sıklıkla farklıdır. Örneğin bir bülten hizmeti, geri dönen iletileri toplamak için kendi alan adını zarf göndericisi olarak kullanırken From adresinde sizin alan adınız görünür.
Üç standart, üç görev
| Standart | Ne doğrular? | Hangi adresle ilgilidir? | RFC |
|---|---|---|---|
| SPF | Gönderen sunucunun IP adresi, alan adı adına göndermeye yetkili mi? | Zarf göndericisi (ve HELO) | RFC 7208 |
| DKIM | Mesaj, imzalayan alan adının özel anahtarıyla imzalanmış ve yolda değiştirilmemiş mi? | İmzadaki d= alan adı | RFC 6376 |
| DMARC | SPF veya DKIM sonucu, kullanıcının gördüğü From alan adıyla hizalı mı? Değilse ne yapılmalı? | Başlık göndericisi (From) | RFC 7489 |
Burada kritik nokta şudur: SPF ve DKIM tek başına, kullanıcının gördüğü From adresini korumaz. Saldırgan kendi alan adı için geçerli SPF ve DKIM yapılandırıp From adresine sizin alan adınızı yazabilir. DMARC, SPF veya DKIM ile doğrulanan alan adının From adresiyle eşleşmesini (hizalanmasını) şart koşarak bu boşluğu kapatır ve alıcı sunucuya başarısız mesajlar için bir politika bildirir.
Neden şimdi önemli?
- Alan adınızın taklit edilmesi müşterilerinize, tedarikçilerinize ve çalışanlarınıza yönelik dolandırıcılıkta kullanılabilir.
- Büyük e-posta sağlayıcıları kimlik doğrulaması olmayan mesajları giderek daha sık spam klasörüne gönderir veya reddeder.
- Google ve Yahoo, 2024'ten itibaren toplu göndericilerden (Gmail için günde 5.000'den fazla ileti gönderenler) SPF, DKIM ve en az
p=nonepolitikalı bir DMARC kaydı yayımlamalarını ve From alan adının hizalı olmasını istemektedir.
Kayıtlar nerede durur?
Üç standardın tamamı DNS üzerinde TXT kayıtları olarak yayımlanır:
ornek.com. TXT "v=spf1 ... "
secici1._domainkey.ornek.com. TXT "v=DKIM1; k=rsa; p=..."
_dmarc.ornek.com. TXT "v=DMARC1; p=none; rua=mailto:..."Bu kayıtları yalnızca alan adının DNS yönetimine erişimi olan kişi oluşturabilir; bu da sistemin güven temelini oluşturur. Dolayısıyla DNS ve alan adı kayıt hesabınızın güçlü parola ve MFA ile korunması, e-posta güvenliğinin ön koşuludur.