‏امنیت ایمیل؛ سفری که اکثر سازمان‌ها نصفه رهاش می‌کنن

نویسنده تو این مقاله می‌گه که خیلی از سازمان‌ها احراز هویت ایمیل رو یه کار تیک‌زدنی می‌بینن: SPF رو منتشر می‌کنن، DMARC رو تو حالت گزارش‌گیری می‌ذارن و فکر می‌کنن کار تمومه. ولی به نظرش داستان اصلی درباره‌ی «نردبان بلوغ» نیست، بلکه اینه که هر مرحله چه قابلیتی برات باز می‌کنه که قبلش ممکن نبود. هر فاز روی فاز قبلی سوار می‌شه.

اول یه تصویر از واقعیت می‌ده. تو میلیون دامنه‌ی برتر اینترنت، حدود ۸۵ درصد SPF دارن و ۵۷ درصد DMARC، ولی فقط حدود ۲۶ درصد DMARC رو واقعاً اجبار کردن (یعنی p=reject یا p=quarantine). بقیه‌ی فناوری‌ها مثل MTA-STS با ۱.۱ درصد و DNSSEC با ۶.۷۵ درصد و DANE با ۰.۷۳ درصد، تقریباً خالی‌ان.

فاز ۱ یعنی راه‌اندازی SPF و DMARC تو حالت p=none. این بهت دیده‌بانی می‌ده که کی داره به اسم دامنه‌ی تو ایمیل می‌فرسته، ولی هیچ ایمیل جعلی رو واقعاً جلوگیری نمی‌کنه. نویسنده اینو «نمایش امنیت» می‌نامه، چون به سرورهای گیرنده می‌گه «برام مهم نیست احراز هویت شکست بخوره، بازم قبولش کن». ۷۴ درصد سازمان‌ها همین‌جا وایمیستن و حتی گزارش‌های DMARC رو هم نمی‌خونن.

فاز ۱.۵ همون نقطه‌ی واقعیه: DMARC رو می‌ذاری روی p=reject. حالا ایمیل‌های جعلی به اسم دامنه‌ی تو واقعاً رد می‌شن. نویسنده می‌گه طبق مطالعات این کار موفقیت حملات فیشینگ علیه دامنه‌ی تو رو ۷۰ تا ۸۵ درصد کم می‌کنه. دلیل گیر کردن اکثرا هم ترس از قطع شدن ایمیل‌های قانونیه، چون اگه SPF کامل تنظیم نشده باشه ممکنه ایمیل‌های درست هم بپرن بیرون.

بعدش MTA-STS میاد (فاز ۲) که به سرورهای فرستنده می‌گه اتصال به سرور ایمیل من حتماً باید رمزنگاری‌شده و با TLS باشه. این جلوی حملات «تنزل رمزنگاری» رو می‌گیره که توش مهاجم وانمود می‌کنه TLS هست ولی بعد حذفش می‌کنه. نویسنده می‌گه با اینکه راه‌اندازیش فقط چند ساعت کاره، نرخ پذیرشش ۱.۱ درصده که واقعاً کمه. در ادامه TLS-RPT بهت دید می‌ده که این سیاست‌ها واقعاً کار می‌کنن یا نه، و CAA محدود می‌کنه که کدوم مراجع صدور گواهی (CA) حق دارن برای دامنه‌ت گواهی صادر کنن.

فازهای آخر یعنی DNSSEC و DANE برای تهدیدهای خاص و الزامات قانونی‌ان. DNSSEC همه‌ی رکوردهای DNS رو امضای رمزنگاری می‌کنه ولی سربار عملیاتی سنگینی داره و اگه زنجیره‌ش بشکنه کل دامنه از دسترس خارج می‌شه. DANE هم گواهی سرور ایمیل رو از طریق DNS پین می‌کنه و حتی اگه یه CA معتبر هک بشه و گواهی جعلی صادر کنه، جلوش رو می‌گیره. نویسنده می‌گه اکثر سازمان‌های تجاری به این دوتا نیازی ندارن.

جمع‌بندی نویسنده اینه که بزرگ‌ترین نقطه‌ی شکست، فاصله‌ی بین فاز ۱ و ۱.۵ هست؛ همون میوه‌ی دم‌دستی که کسی نمی‌چینه. توصیه‌ش اینه که به جای دفاع در برابر تهدیدهایی که شاید هیچ‌وقت اتفاق نیفتن، روی همون اجبار DMARC تمرکز کنی که بیشترین سود امنیتی رو داره.

نکات کلیدی:

• ۷۴ درصد سازمان‌ها DMARC رو تو حالت گزارش‌گیری p=none رها می‌کنن که عملاً هیچ ایمیل جعلی رو نمی‌گیره
• رفتن به p=reject موفقیت فیشینگ علیه دامنه رو ۷۰ تا ۸۵ درصد کم می‌کنه
• MTA-STS با چند ساعت کار اتصال SMTP رو رمزنگاری اجباری می‌کنه ولی پذیرشش فقط ۱.۱ درصده
• TLS-RPT و CAA دید و کنترل صدور گواهی می‌دن؛ DNSSEC و DANE فقط برای تهدید خاص و الزام قانونی‌ان
• توصیه‌ی نویسنده: روی اجبار DMARC تمرکز کن، نه فازهای پیشرفته‌ای که اکثر سازمان‌ها بهشون نیاز ندارن