Internet je zahlcován nevyžádanými zprávami, proto se poskytovatelé internetových služeb snaží najít metody, jak zabránit zneužívání jejich serverů a své uživatele ochránit před nevyžádanou poštou. Nevyžádaná pošta s odkazy na nebezpečné stránky nebo rovnou s nebezpečnou přílohou je také častým prostředkem k útoku.

1. úrovní přidané ochrany je SPF

Sender Policy Framework (SPF) se používá k ověření, zda poštovní server smí odesílat e-maily za doménu uvedenou v obálce zprávy (Return-Path). Záznam SPF je TXT záznam v DNS, který obsahuje seznam IP adres a serverů oprávněných odesílat e-maily jménem vaší domény – buď přímo, nebo odkazem na záznam jiného poskytovatele (include:). Každá doména smí mít jen jeden záznam SPF.

Doménu chráněnou protokolem SPF je obtížnější zneužít k podvržení odesílatele. SPF sám doručení nezaručuje, ale bez něj dnes velcí poskytovatelé (Gmail, Microsoft, Yahoo) poštu z domény odmítají nebo ji řadí do spamu.

Pokud chcete k odesílání pošty využívat jiný server, než je server poskytovatele e-mailových služeb, je nutné jej autorizovat přidáním jeho IP adresy nebo mechanismu include: poskytovatele do záznamu SPF.

Krok 1: Shromážděte IP adresy, které se používají k odesílání e-mailů
Prvním krokem k implementaci SPF je zjištění, které servery používáte k odesílání e-mailů z vaší domény. Mnoho organizací odesílá poštu z různých míst. Sestavte si seznam všech svých poštovních serverů a nezapomeňte zvážit, zda se k odesílání e-mailů jménem vaší značky nepoužívá některý z následujících serverů:

• Webový server (například kontaktní formuláře nebo e-shop)
• Poštovní server v kanceláři (například Microsoft Exchange)
• Poštovní server vašeho poskytovatele internetových služeb
• Poštovní server poskytovatele poštovních schránek vašich koncových uživatelů
• Jakýkoli jiný server třetí strany používaný k odesílání e-mailů jménem vaší značky (newslettery, CRM, fakturační systém, helpdesk)

Krok 2: Vytvořte si seznam domén
Je pravděpodobné, že vaše společnost vlastní více domén. Některé z nich slouží k odesílání e-mailů, jiné nikoli.

Je důležité vytvořit záznamy SPF pro všechny domény, které ovládáte, a to i pro ty, ze kterých neposíláte e-maily. Proč? Protože jakmile ochráníte odesílající domény pomocí SPF, první, co zločinec udělá, je, že se pokusí podvrhnout vaše domény, ze kterých poštu neodesíláte. Pro takové domény stačí záznam v=spf1 -all, který říká, že za doménu nesmí odesílat nikdo. Doplňte ho záznamem DMARC s politikou p=reject (viz níže).

Krok 3: Vytvořte záznam SPF
SPF ověřuje odesílatele porovnáním IP adresy odesílajícího poštovního serveru se seznamem oprávněných serverů zveřejněným v DNS. Záznam může vypadat například takto: v=spf1 mx include:_spf.poskytovatel.cz ip4:192.0.2.10 -all. Koncovka -all znamená, že ostatní servery oprávněné nejsou (~all je mírnější varianta). Vyhodnocení záznamu nesmí vyžadovat víc než 10 DNS dotazů.

Krok 4: Zveřejněte SPF v DNS
Ve spolupráci s registrátorem domény či správcem DNS zveřejněte záznam SPF v systému DNS, aby ho servery příjemců mohly ověřovat.

Krok 5: Otestujte nastavení
Otestujte svůj záznam SPF pomocí nástroje pro kontrolu SPF. Uvidíte to, co vidí příjemci: seznam serverů oprávněných odesílat e-maily jménem vaší domény. Pokud některá z vašich legitimních odesílacích IP adres v seznamu chybí, záznam aktualizujte.

2. úrovní přidané ochrany je DKIM

DKIM je zkratka pro DomainKeys Identified Mail a slouží k ověřování odesílaného e-mailu. DKIM umožňuje příjemci zkontrolovat, zda byl e-mail skutečně odeslán a autorizován vlastníkem dané domény, čímž je zajištěna jeho pravost. E-mail se k tomu opatří digitálním podpisem, který se nazývá podpis DKIM. Jde o kryptografický podpis vložený do hlavičky e-mailu, který uživatel běžně nevidí. Server příjemce ho ověří pomocí veřejného klíče zveřejněného v DNS vaší domény.

Podpisy DKIM se kontrolují na úrovni serveru a výsledky se koncovému příjemci přímo nezobrazují. E-mail se ve schránce zobrazí jako obvykle, ale díky ověření má větší šanci projít spamovými filtry a dalšími bezpečnostními kontrolami.

Jakmile přijímací systém dojde k závěru, že e-mail je podepsán platným podpisem DKIM, lze s jistotou říci, že tělo zprávy včetně příloh ani podepsané hlavičky (například odesílatel, předmět a datum) nebyly po odeslání změněny.

Stejně jako SPF je DKIM otevřený standard pro ověřování e-mailů. Záznam DKIM je také uložen v DNS, ale je o něco složitější než záznam SPF. Výhodou DKIM je, že na rozdíl od SPF může přežít přeposlání zprávy – podpis zůstane platný, pokud přeposílající server zprávu nijak nezmění (nepřidá patičku, neupraví předmět apod.). Proto je DKIM pro spolehlivé doručení důležitější než SPF.

Jak DKIM funguje v praxi

Nejprve správce domény vygeneruje pár soukromého a veřejného klíče (doporučená délka je 2048 bitů). Veřejný klíč zveřejní v DNS své domény, soukromý klíč zůstane uložen na odesílajícím poštovním serveru (MTA).

Při odesílání e-mailu vypočítá MTA otisk (hash) těla zprávy a vybraných hlaviček a podepíše ho svým soukromým klíčem. Podpis vloží do hlavičky DKIM-Signature spolu s použitým algoritmem a selektorem, podle kterého příjemce najde veřejný klíč v DNS.

Po přijetí e-mailu si cílový MTA vyžádá z DNS podepisující domény veřejný klíč DKIM a pomocí něj ověří podpis.

Zároveň sám znovu vypočítá otisk zprávy. Pokud je podpis platný a otisky se shodují, přijímající MTA ví, že zprávu podepsala uvedená doména a že podepsané části nebyly při přenosu změněny.

Příjemce si tak může být jistý, že e-mail, který prošel ověřením DKIM, podepsala doména uvedená v podpisu. Zda jde o stejnou doménu jako v poli Od (From), kontroluje až DMARC.

Jak otestovat DKIM

DKIM můžete otestovat tak, že odešlete e-mail na účet Gmail, otevřete ho ve webové aplikaci a v nabídce ⋮ u zprávy zvolíte „Zobrazit originál“. Pokud je v souhrnu u položky DKIM výsledek PASS s vaší doménou, je váš podpis DKIM platný.

Výsledek ověření DKIM je v podstatě binární: podpis buď projde, nebo neprojde – a pak je potřeba zjistit proč.

Výhody DKIM

Kromě samotného ověřování e-mailů přináší DKIM i další výhody.

1. Větší důvěryhodnost
Jakmile používáte DKIM ve všech doménách své organizace, působíte v očích partnerů, zákazníků i dalších služeb, se kterými komunikujete, jako důvěryhodný odesílatel.

Podepisování zpráv pomocí DKIM zvyšuje transparentnost vaší elektronické pošty a výrazně snižuje pravděpodobnost, že vaše e-maily skončí ve složce spamu.

Díky vyšší důvěryhodnosti odesílatele klesá riziko, že poštovní klient vaše zprávy označí varováním. Příjemci pak s nimi pracují bez pocitu nejistoty.

2. Menší riziko zachycení spamovými filtry
Přestože DKIM není antispamový systém, jeho konfigurace výrazně zvyšuje šanci, že vaše zpráva nebude označena jako spam.

Pokud vaše e-maily nedorazí ke konečnému příjemci, může to být způsobeno špatnou konfigurací záznamů DNS nebo chybějícími důležitými záznamy, jako jsou SPF, DKIM nebo DMARC.

Ale nezoufejte – tento problém můžete vždy vyřešit pravidelným auditem DNS, při kterém se ujistíte, že vše funguje správně.

3. Ochrana před phishingem
DKIM pomáhá příjemcům rozpoznat, zda zpráva skutečně pochází od uvedeného odesílatele.

Chcete-li se skutečně připravit na boj proti phishingovým útokům, měli byste mít ve všech doménách své organizace nastavené DKIM spolu s SPF a DMARC.

Stručně řečeno, DKIM je dnes nezbytnou součástí zabezpečení elektronické pošty. Pro hromadné odesílatele je u Gmailu, Yahoo a Microsoftu povinný.

3. úrovní přidané ochrany je DMARC

DMARC (Domain-based Message Authentication, Reporting and Conformance) je otevřený standard, který navazuje na SPF a DKIM. Zpráva projde ověřením DMARC, pokud projde SPF nebo DKIM a zároveň se ověřená doména shoduje s doménou v poli Od (From), kterou vidí příjemce. Zavedením DMARC mohou velcí i malí vlastníci domén bojovat proti kompromitaci firemních e-mailů, phishingu a spoofingu.

Pomocí DMARC můžete světu sdělit, jak naložit se zprávami, které vaši doménu zneužívají. Slouží k tomu politika v záznamu DMARC, která může mít tři hodnoty:

Politika v tagu p platí i pro subdomény, pokud ji nezměníte tagem sp. Nový tag np určuje politiku pro subdomény, které v DNS neexistují a které útočníci rádi zneužívají. Při přechodu na přísnější politiku lze použít testovací režim t=y, při kterém příjemci uplatní o stupeň mírnější politiku, než je uvedená.

Značka „fo“ určuje, kdy se odesílají hlášení o selhání na adresu uvedenou ve značce „ruf“. Bez ní se hlášení neposílají a většina velkých poskytovatelů včetně Gmailu je neodesílá vůbec. Možnosti jsou čtyři:

fo=0: Vytvoří hlášení o selhání DMARC, pokud žádný z mechanismů (SPF ani DKIM) nevrátí zarovnaný výsledek „pass“. (Výchozí nastavení)
fo=1: Vytvoří hlášení o selhání DMARC, pokud kterýkoli z mechanismů (SPF nebo DKIM) nevrátí zarovnaný výsledek „pass“. (Doporučeno)
fo=d: Vytvoří hlášení o selhání DKIM, pokud ověření podpisu selže, bez ohledu na zarovnání domén.
fo=s: Vytvoří hlášení o selhání SPF, pokud ověření SPF selže, bez ohledu na zarovnání domén.

Souhrnné denní zprávy o vyhodnocení politiky DMARC si můžete nechat zasílat na e-mailovou adresu uvedenou ve značce „rua“. Pokud adresa leží v jiné doméně, musí tato doména příjem reportů povolit záznamem v DNS.

Nastavení služeb pro domény našich klientů

Všem klientům, kteří mají založené e-mailové schránky na poskytovaném hostingu (poštovní servery Webglobe), jsou služby SPF, DKIM a DMARC aktivovány. Podmínkou je pouze přístup k nastavení DNS záznamů domény. Pokud nemáme přístup ke správě DNS vaší domény a jejím technickým správcem není společnost Webglobe, zašleme vám instrukce pro nastavení záznamů.

Výchozí nastavení politiky DMARC je následující:

Zprávy, které neprojdou ověřením, mají příjemci přesunout do složky spam (p=quarantine). Stejná politika platí i pro subdomény. Zprávy z neexistujících subdomén, které útočníci často zneužívají, mají být rovnou odmítnuty (np=reject).

Pokud vaši doménu používají k odesílání pošty i další služby (newslettery, e-shop, CRM), dejte nám vědět – nastavíme pro ně SPF a DKIM, aby jejich zprávy nekončily ve spamu. Po vyhodnocení reportů lze politiku zpřísnit na p=reject. Pro domény, ze kterých se poštu neodesílá, doporučujeme nastavit p=reject rovnou.

Souhrnné reporty zasílají servery příjemců na adresu uvedenou v záznamu (tag rua). Pokud se v nich nechcete vyznat sami, rádi je pro vás vyhodnotíme.

Samozřejmě se neváhejte obrátit na náš tým s jakýmikoli dotazy týkajícími se bezpečnosti. Jsme tu, abychom vám pomohli.

Nastavení politik pro vaši doménu si můžete kdykoli zkontrolovat na serveru mxtoolbox.com.