Perché la verifica DKIM ha esito positivo con una firma di Yahoo quando tutte le intestazioni sono falsificate per sembrare GMail?

Non posso essere sicuro di non vedere le intestazioni, ma suppongo che da / reply-to / return-path siano tutte falsificate e consegnate dall'hacker come parte della transazione SMTP. Come hai detto tu, l'HELO è di yahoo, ed è yahoo che lo ha firmato. Yahoo non sta attestando il / i valore / i di nessuna delle intestazioni nella transazione, solo che è stato iniettato in un server yahoo, che poi ha dovuto firmarlo DKIM, a nome di yahoo, e che è andato via.

Per quanto riguarda il motivo per cui OpenDKIM non indica phishy-ness quando Return-Path e DKIM domain non corrispondono, sarebbe una domanda / bug-report per gli utenti di OpenDKIM a cui rispondere. Di nuovo, suppongo che sia solo il controllo del dominio del mittente MTA, contro la firma DKIM, che corrisponderà.

Sono d'accordo che sembra un bug.

Tutti DKIM fa dire che alcune parti del messaggio non sono state alterate tra firma del server SMTP in uscita e del client (in questo caso, DKIM ha firmato il corpo e diverse intestazioni identificate dalle chiavi b e h nell'intestazione DKIM-Signature ).

Integrità ≠ Autorità ≠ Sicurezza

Integrità: questi elementi firmati si limitano a garantire che non siano intromessi tra il relay di invio e il destinatario finale (tu). Una verifica verificata sulle firme dimostrerà solo che il server ha visto lo stesso contenuto che fai.

✅ Questo messaggio con DKIM valido ha integrità, quindi lo vedi come previsto dal mittente.

Autorità: DMARC (e SPF ) possono determinare se il messaggio è stato approvato dal dominio in questione (gmail. com). SPF elenca i server di posta autorizzati a inviare per il dominio specificato e DMARC descrive le politiche da seguire se il messaggio manca allineato SPF o DKIM. (Allineamento significa che l'intestazione From corrisponde alla mail enveolope from (per SPF) o alla DKIM-Signature dell'intestazione d key (DKIM). Può essere "strict" per le corrispondenze host esatte o "rilassata" per le corrispondenze del dominio dell'organizzazione.)

DKIM's d = yahoo.com non è allineato con From's @ gmail.com, quindi non passa DMARC. SPF non riesce (l'infrastruttura di Yahoo non è consentita da GMail) ... e non è comunque allineata.

❌ Questo messaggio manca di DKIM o SPF allineati + validi, quindi non è autorizzato.
_{... Sebbene il criterio DMARC (p = nessuno) non imponga un'azione, quindi è stato consegnato a te.}

Sicurezza è qualcosa su cui i server hanno poco controllo. Se un utente viene compromesso (o all'inizio era malizioso), l'account può essere utilizzato per inviare spam firmato. La maggior parte dei relay di posta in uscita, in particolare quelli gratuiti come Yahoo e GMail, dispongono di funzionalità di rilevamento dello spam in uscita, ma tutti i sistemi di rilevamento dello spam hanno errori e mancano (soprattutto per l'outbound) sul lato della consegna. negativi invece di intrappolare la posta legittima come falsi positivi.

⚠️ DKIM, SPF e DMARC non giudicano la sicurezza del contenuto, solo l'integrità e l'autorità.

Spero di entrare nel vivo della questione così com'è ora espressa.

DKIM non ha lo scopo di verificare che i contenuti della busta siano precisi per il loro dominio. DKIM autorizza l'e-mail e il destinatario utilizza il protocollo DKIM per verificare che l'e-mail sia stata autorizzata per essere inviata dal mailer registrato nella busta.

Dalla RFC :

DKIM allows an organization to take responsibility for transmitting a message, in a way that can be verified by a recipient.

Ciò consente ad un intermediario di firmare e autorizzare l'invio della posta elettronica e l'invio da parte di un emailer per conto di altri domini.

Quindi, nel tuo caso, qualcuno ha creato un mittente falsificato, ma ha utilizzato il client e-mail e il mailer Yahoo per inviarlo. SPF fallisce (come dovrebbe) ma il protocollo DKIM fa esattamente quello che dovrebbe: firma la busta e il mailer la invia come email legittima inviata dai suoi sistemi. Il destinatario può vedere che la posta è stata autorizzata per essere inviata dal mailer di Yahoo e non modificata durante il trasporto, grazie a DKIM.

Quindi, sì, ciò che vedi nella tua intestazione è possibile, ma completamente valido, secondo il protocollo DKIM. Il mittente non verifica; autorizza.

Qual è il punto di DKIM, quindi? DKIM è utile in molti modi, inclusa la prevenzione della manipolazione in transito, ma anche per impedire che un server di posta elettronica personalizzato sia configurato per falsificare un emailer legittimo. Ad esempio, se realizzo un server di posta elettronica e configuro tutte le buste per indicare che l'e-mail è Yahoo. DKIM garantisce che quando il destinatario riceve l'e-mail, l'IP e i domini e le firme non corrispondono.

DKIM ha un caso d'uso molto ristretto e specifico. Quel caso d'uso è molto utile ma ha delle limitazioni conosciute, come questa. Ecco perché la raccomandazione è quella di combinare SPF, DKIM e DMARC. DMARC è il protocollo che dice al ricevitore cosa fare quando SPF fallisce (come ha fatto) ma passa DMARC. DMARC lega insieme i protocolli e insieme può essere creato il criterio che avrebbe respinto questa email sul tuo sistema.