Сигурността на имейлите е много повече, отколкото изглежда на пръв поглед. Всички сме наясно, че електронната поща е една от най-засегнатите области за фишинг на лични данни и чувствителна информация.
Хакерите стават все по-добри в създаването на автентично изглеждащи съобщения, които заблуждават мнозина да кликнат върху призива за действие и да предоставят на измамници търсената от тях информация – често данни за вход и финансов достъп.
Удостоверяване на имейл – какво представлява?
Удостоверяване на имейл е система, предназначена да защитава репутацията ви, като при изпращане на имейл кампания проверява дали сте този, за когото се представяте. Четирите концепции са достатъчно прости, но настройката на всеки от методите може да бъде сложна. Въпреки това защитата, предлагана в комбинация, е толкова добра, колкото можете да въведете при сегашните ни системи.
Какви са възможните методи?
Четирите типични метода за удостоверяване на електронна поща днес са следните:
- SPF – Рамка на политиката на изпращача
Този стандарт извършва първоначалната проверка, за да се увери, че всеки имейл идва от доверен IP адрес. - DKIM – DomainKeys Identified Mail
Друга проверка на самоличността, но този път с използване на ключ за криптиране като цифров подпис. - DMARC – Докладване на автентичността на съобщенията в домейна и съответствие
DMARC гарантира, че имейлите отговарят на SPF и DKIM, преди да бъдат доставени. - BIMI – Brand Indicators for Message Identification
BIMI извършва последна проверка, като се фокусира върху надеждността на подателя и показва имиджа на марката на подателя в пощенската кутия на получателя (където се поддържа в момента).
Ще разгледаме по-задълбочено всеки от тях малко по-нататък, но първо ще обясним защо са толкова важни и ще обясним малко как работят.
Как работи имейл удостоверяването?
Всеки от методите за удостоверяване (SPF DKIM DMARC BIMI) прилага ниво на сигурност към вашите имейли, като използва вашия имейл домейн, за да удостовери, че сте този, за когото се представяте.
- Изпращачът определя политиката/правилата за удостоверяване на неговия домейн.
- След това те конфигурират DNS сървърите на домейна и сървърите за електронна поща, за да приложат тези правила.
- Сървърите на получателите проверяват входящите имейли, като ги сравняват с правилата, фиксирани в DNS на домейна.
- При удостоверяване на автентичността сървърът на получателя обработва безопасно електронното съобщение; когато удостоверяването е неуспешно, съобщението се блокира, поставя се под карантина или се управлява в съответствие с решението за удостоверяване.
Какви са ползите?
Както виждате, ако не настроите удостоверяването на имейлите си, рискувате да получите отхвърлени имейли, да увеличите броя на спама и да намалите процента на доставка.
Вашите старателно обмислени, красиво проектирани и създадени съобщения имат много по-малък шанс да попаднат в пощенските кутии, за които са предназначени.
Още по-лошо е, че без въведени методи за удостоверяване на имейли вашата марка е много по-лесна за подправяне, което оставя вас и вашите клиенти широко отворени за имейл атаки, хакерски атаки и фишинг.
Настройка на удостоверяване на имейл
За да настроите домейна си да управлява всеки метод за удостоверяване, е необходим достъп до настройките на DNS ( Име на домейна System) чрез услугата за регистрация на домейн.
След като получите достъп до настройките на DNS, ще добавите различни TXT и CNAME записи към вашия домейн.
За да разберете стойностите на настройките на домейна, трябва да се обърнете към хостовете на имейли. Те ще ви предоставят настройките за SPF записите, ще генерират DKIM селектора от тяхната хостинг област и ще ви покажат как да приложите политиката си за DMARC, тъй като хостовете често се различават по начина на конфигуриране.
Ще добавите още един TXT запис, за да включите запис на BIMI, включително пътя до вашата марка. файл с изображение .
SPF – Рамка на политиката на изпращача
SPF е стандартното удостоверяване, създадено в началото на развитието на електронната поща. Ако някога той е бил подходящ за ранните системи за електронна поща, то сега има няколко проблема за съвременните методи за електронна поща. Ето защо е необходимо да се използват и четирите метода, за да се осигури форма на пълно покритие.
Записите SPF се съхраняват в обикновен текст в DNS домейна и диктуват IP адреси с разрешение за изпращане от домейна .
Когато сървърът за електронна поща на получателя извършва DNS проверка за извличане на SPF записа, той използва стойността в обратния път на съобщението.
Проблеми с удостоверяването на SPF
Синтаксис – Въпреки че са текстови записи, синтаксисът може да се окаже труден при въвеждането на DNS записите . Ако те не са точни, удостоверяването ще се провали, дори ако съобщението и подателят са истински.
Идентифициране на одобрени IP адреси – Споделените системи, като например платформите в облака, могат да бъдат хост на множество услуги с динамично задавани IP адреси. Въпреки че IP адресът може да бъде определен и одобрен, той може да позволи и на всеки друг да използва същия споделен IP адрес, като използва вашия SPF запис.
SPF може да бъде подправен – SPF използва скритото поле за обратен път за удостоверяване, а не полето „от“, което получателите могат ясно да видят. Хакер, който иска да получи информация, може да представи валиден домейн и имейл адрес в полето „от“, но да използва собствения си имейл като път за връщане, използвайки собствена система за удостоверяване, за да премине през проверките на сървъра.
SPF не поддържа препращане на имейли – Сървърът на получателя не може да потвърди препратено съобщение, тъй като идентифициращият домейн се оказва домейнът на препращащия сървър, а не оригиналният домейн.
Както виждате, методът, който някога е бил приемлив, сега има значителни недостатъци. Той предоставя основите, върху които може да се надгражда, за да се повиши всеобхватната сигурност. Като самостоятелен метод обаче той просто не отговаря на изискванията на съвременните технологии.
DKIM – DomainKeys Identified Mail
DKIM използва криптиране с публичен/частен ключ за подписване на имейл съобщения. Той удостоверява, че имейлите са изпратени от домейна и че не са били променяни по време на пренасянето им.
Това е по-сигурен метод за удостоверяване, тъй като гарантира, че съобщението не е било променено по време на доставката. Друго предимство е, че удостоверяването с DKIM оцелява и при препращане на имейл.
Собственикът на домейна създава криптографски ключове по двойки: публичен и частен. Публичният ключ се поставя като TXT запис в DNS на домейна. Когато се изпраща имейл, се генерира „хеш“ въз основа на съдържание на съобщението . Този хеш се криптира с частния ключ на домейна и се прикрепя към заглавието на имейла.
Сървърът за електронна поща на получателя прочита криптираната информация, като използва публичния ключ, разположен в DNS, и ако всичко съвпада, удостоверяването се извършва.
Селектори DKIM
Всеки домейн може да използва няколко селектора. Тези стойности се използват за идентифициране на уникални свойства, например поддомейни, потребители, местоположения и услуги. Всеки селектор работи, използвайки свой собствен публичен ключ, като се отказва от един общ ключ за всички случаи.
Проблеми с удостоверяването на DKIM
Несъответстващи подписи – валиден DKIM подпис може да използва напълно различен домейн от този, посочен в полето „от“. Това прави фишинга от друг домейн на електронна поща прост процес .
Сигурност на ключовете – хакер, който подписва съобщения, използвайки домейна на друг потребител, може да потвърди имейлите си перфектно с помощта на частния ключ на този домейн.
Внедряване и управление на ключове – Дългите и по-сигурни ключове могат да се окажат проблемни при прилагането им в DNS домейна. Тези дълги низове от данни лесно се прилагат неправилно, дори при копиране и поставяне.
За да се извлече максимална полза от DKIM, той трябва да се свърже с DMARC, като се включи домейнът, използван в полето „от“. Сега можете да видите как всяка система зависи от предишния си метод, за да създаде цялостна и ефективна система за удостоверяване.
DMARC – Докладване на автентичността на съобщенията в домейна и съответствие
Както вече беше споменато, DMARC налага използването на домейна, зададен в полето from, за да предотвратяване на хакерите и нападателите да използват алтернативни домейни, за да заобикалят проверките за сигурност.
Той включва и механизъм за докладване, който позволява на изпращача да реши какво да прави с резултатите от удостоверяването. Записът DMARC контролира къде и как сървърите на получателите изпращат отчети.
На практика DMARC запълва празнините между SPF и DKIM и повишава възможността за доставяне на имейли. Спамърите вече не могат да злоупотребяват с тези защитени домейни; следователно репутацията на домейна се повишава, като през цялото време се подобрява нивото на доставяне.
Изпълнение на DMARC
Записът DMARC указва какво да се прави с имейлите, които не са оторизирани. Политиката има три резултата: да не се прави нищо, да се постави под карантина или да се отхвърли. Отчетът DMARC предупреждава притежателя на домейна за това откъде идват такива неуспешни съобщения, като предоставя важна информация за нарушението и какво може да направи, за да предприеме допълнителни мерки за защита.
BIMI – Brand Indicators for Message Identification
Надяваме се, че включването на удостоверяването на имейли от BIMI ще осигури около 10% увеличение на ангажираността чрез възможност за доставка – това не е число, което трябва да се приема с лека ръка.
Предвид факта, че този метод за удостоверяване е в начален стадий на развитие и все още се очаква да бъде въведен от много доставчици на електронна поща, има няколко стъпки, които потребителите могат да предприемат, за да са сигурни, че са готови за голямото му въвеждане, когато най-накрая се появи на нашите сървъри.
Едно нещо е сигурно, тъй като Google включва интеграцията на BIMI в G Suite, би трябвало да е въпрос на време, преди останалата част от света да я настигне.
Как да се подготвите за BIMI?
За да активирате удостоверяването на имейли с BIMI, първо трябва да удостоверите имейлите си с SPF, DKIM и DMARC, като осигурите съответствие (домейнът е един и същ навсякъде). Политиката DMARC трябва да бъде наложена на карантина или отхвърляне, а DNS на домейна трябва да има правилния запис BIMI.
Освен това ще трябва да разположите подходящ файл с лого като връзка, за да може получената автентификация да се показва в пощенските кутии на получателите. Вашето лого ще трябва да бъде в правилния SVG формат и евентуално да разполагате с VMC (Verified Mark Certificate), за да удостоверите автентичността на файла.
Пълно удостоверяване на автентичността за вашите имейл кампании
Научихме, че всеки от тези методи сам по себе си няма да осигури някакво универсално решение, което да улесни живота. Въпреки това, с малко работа за обединяване на всяка от системите в едно цяло, ще бъдете много по-сигурни в доставката на вашите имейл кампании и съобщения, отколкото бихте могли никога не може да бъде без тях.
Струва си да отделите време и усилия, ако това гарантира защитата на вашата услуга, на вашите Абонирайте се за и повишава свързаността и възвръщаемостта на вашия маркетинг.
във Вроцлав, 🇵🇱. Домакин в 🇪🇺.
