Вы используете устаревший браузер!

Страница может отображаться некорректно.

Чисто почта

Чисто почта

Другие выпуски этой рубрики (45)
  • добавить в избранное
    Добавить в закладки

Отбить на дальних подступах

Прочитали: 4783 Комментариев: 86 Рейтинг: 93

3 сентября 2018

Мы часто возвращаемся к теме антиспама, в том числе и в рамках продуктов Dr.Web. Напомним, что этот модуль принимает письмо и сравнивает его содержимое с определенными правилами, заложенными в его базе данных.

Модуль может использоваться для фильтрации спама и на рабочих станциях и на серверах, но если на ПК он обычно является единственным средством защиты от спама, то на серверах администраторы могут воспользоваться дополнительными технологиями.

Самое простое – базы DNSBL, аналог баз Родительского контроля. Это перечень ресурсов, запятнавших себя, скажем, рассылкой спама. Используется достаточно часто, но имеет крупный недостаток: в него легко попасть, но вот удаление оттуда зачастую платное, и пока вы не заплатите, все, кто используют эту базу DNSBL, ваши письма будут считать спамом. Подробнее можно почитать в нашем выпуске «Борьба с ”борцами” со спамом».

Не золотая пуля.

Еще одна технология – SPF. Фишеры стараются подменять домен отправителя, чтобы письмо выглядело пришедшим от доверенного человека. Идея технологии SPF достаточно проста: в служебной информации домена его владелец записывает список серверов, которые имеют право отправлять письма от имени этого домена, и механизм обработки писем, отправленных от других серверов. Соответственно, принимающий сервер может проверить эту информацию и выявить, что письмо, отправленное от имени Microsoft, отправлено совсем с другого IP-адреса.

dig work.ua TXT | grep spf
work.ua. 57416 IN TXT "v=spf1 a mx ip4:89.184.80.167 ip4:89.184.66.189 ip4:89.184.66.22 ip4:89.184.66.23 ip4:89.184.80.160/28 -all"

В данном примере:

  • v=spf1 — версия используемой SPF-записи;
  • a — принимать почту с сервера, IP-адрес которого стоит в A-записи домена (проще говоря, с сервера, где размещен сайт);
  • mx — принимать почту с серверов, указаных в MX-записях домена;
  • ip4:89.184.80.167 ip4:89.184.66.189 ip4:89.184.66.22 ip4:89.184.66.23 — принимать почту с серверов, которым соответствуют перечисленные IP-адреса;
  • ip4:89.184.80.160/28 — принимать почту с серверов, IP-адреса которых находятся в указанной подсети (диапазоне);
  • -all — письмо с сервера, который не входит в вышеперечисленный список, отвергается.

https://letsclearitup.com.ua/exim/chto-takoe-spf-sender-policy-framework.html

Для проверки наличия/корректности SPF-записи существуют специальные сервисы – например, Kitterman.

#drweb

Проблема этой технологии в том, что для ее реализации все серверы, принимающие и отправляющие электронную почту, должны использовать SPF. Но это априори нереально. Письма крайне редко идут напрямую от сервера к серверу – гораздо чаще они проходят несколько транзитных серверов. Один из них может не использовать SPF, и, если политика получающего сервера заключается в том, чтобы принимать корреспонденцию только с серверов, использующих SPF, письмо может быть отвергнуто как спам.

Не золотая пуля.

Следующая технология – DKIM (Domain Keys Identified Mail – идентификация письма по ключу домена).

Если в SPF каждому имени домена соответствует список доверенных серверов, то в случае DKIM:

…для идентификации законного отправителя используется цифровая подпись, которая связана с его доменным именем отправителя (DomainKeys).

Для того, чтобы настроить DKIM-подпись, необходимо сформировать пару ключей шифрования – публичный и приватный.

Для проверки подписей используется так называемая ассиметричная система шифрования: своим приватным ключом вы, как отправитель, создаёте подпись. А проверить её подлинность сервер-получатель может с помощью публичного ключа. Этот публичный ключ вы, как рассыльщик, публикуете на своём DNS-сервере или делегируете рассылочному серверу.

#drweb

https://habr.com/post/322616

Для проверки DKIM можно воспользоваться dkimcore.org.

#drweb

Проблемы? Спамеры могут настроить для своего сервера DKIM (как, кстати, и SPF). Ничто им не мешает это сделать. И если атака того стоит, они это сделают.

Еще одна проблема связана с целостностью письма. Почтовые серверы меняют содержимое при пересылке – например, структуру MIME-частей или разбивку на строки, что может приводить к нарушению DKIM-подписи.

А если взять и объединить SPF и DKIM? Это будет уже DMARC:

DMARC устанавливает стандарт для идентификации электронных сообщений принимающими узлами с использованием механизмов Sender Policy Framework (структуры политики отправителя, SPF) и DomainKeys Identified Mail (почты, идентифицируемой при помощи доменных ключей, DKIM).

#drweb

https://blog.expertsender.ru/2015/02/13/chto-takoe-dmark-i-pochemu-eta-texnologiya-neobxodima-vashim-emejl-kampaniyam

https://habr.com/company/mailru/blog/170957

Проблемы? Поскольку DMARC использует DKIM, то проблемы аналогичны. В этой статье весьма подробно описаны сложности, с которыми могут столкнуться пользователи.

Естественно, это не все технологии – их предлагалось гораздо больше: OMF, Sender-ID, ADSP... Но Sender ID (RFC 4406) использует патенты Microsoft и «не взлетел», ADSP тоже «не взлетел» и в 2013 году был переведен в статус Historic.

Интересно, что все эти технологии упрощают деанонимизацию отправителя. Что логично, так как сервер отправителя теперь должен идентифицироваться однозначно.

#спам #технологии #фишинг

Антивирусная правДА! рекомендует

Что показывает этот грустный список? А показывает он, что если исходный протокол передачи почтовых сообщений (SMTP) безопасности не обеспечивает (а он и создавался для тех, кто не мог реализовать безопасный протокол X25), то остается проявлять внимательность и еще раз внимательность при получении писем.

И конечно, использовать антиспам для фильтрации почты — не только на рабочих станциях, но и на дальних подступах к ним — на почтовом сервере. Как правильно организовать такую фильтрацию, рассказывает наш обучающий курс Основные принципы защиты почтового трафика.

Оцените выпуск

Сделайте репост

Необходимо войти на страницу выпуска через аккаунт на сайте «Доктор Веб» (или создать аккаунт). Аккаунт должен быть связан с вашим аккаунтом в социальной сети. Видео о связывании аккаунта.


Нам важно ваше мнение

Чтобы оставить комментарий, нужно зайти через свой аккаунт на сайте «Доктор Веб». Если аккаунта еще нет, его можно создать.

Комментарии пользователей

Комментарии к другим выпускам | Мои комментарии

 
На страницу: