înregistrare Logare
Puncte:3
avatar Server

Cum trece acest e-mail DMARC?

drapel in
Lawrence Wagerfield

Astăzi am primit un e-mail falsificat: ne-a fost trimis „de la noi”. (Să presupunem că deținem foo.com -- domeniul real redactat.)

introduceți descrierea imaginii aici

Acest lucru este deranjant, deoarece arată ca „de la foo.com”, dar cu siguranță expeditorul nu este de la „foo.com”.

Cutia poștală „[email protected]” este un grup Google, setat pentru a permite oricui să „publice postări” (adică, oamenii de pe internet să îi poată trimite mesaje, ca o cutie poștală obișnuită), dar numai membrii „foo.com” pot vizualizați acele „postări” (adică e-mailurile primite).

Avem configurate DMARC (p=reject), DKIM și SPF.

DNS-ul nostru:

TXT foo.com „v=spf1 include:_spf.google.com include:helpscoutemail.com ~all”

TXT _dmarc.foo.com "v=DMARC1; p=reject; rua=mailto:[email protected];ruf=mailto:[email protected]; pct=100; aspf=r; adkim=r;"

TXT google._domainkey.foo.com "v=DKIM1; k=rsa; p=MIIBIjANBgkqhkiG9w0B..."

Antetele mesajului:

Livrat-către: [email protected]
Primit: până în 2002:ad4:552d:0:0:0:0:0 cu id-ul SMTP ba13csp6199730qvb;
        Duminică, 12 decembrie 2021 09:14:44 -0800 (PST)
X-Received: by 2002:a05:6102:a46:: with SMTP id i6mr23802281vss.19.1639329284522;
        Duminică, 12 decembrie 2021 09:14:44 -0800 (PST)
ARC-Seal: i=3; a=rsa-sha256; t=1639329284; cv=pass;
        d=google.com; s=arc-20160816;
        b=WReYbvjEI4p+IYx6Y3fT/N5jiaEEA60C4t/3utW/afsQbsrWaMMeWv51lxVOb/HvIx
         oLaSaK6Hskbjeo9rUnYYIlZEnT9ME4Gf/1tfyVXC+YTRBsBEWHCKr064RzBS9X8LUr2C
         Mo++Fm16blzUIgR8wZoq54WwY7ZK6POjEOXWqUqvKsJOk6GyrAgxza2DrKJsOYCFBu2G
         wzH+gfyx7HwCSNzcd+u18ByLyzXLs1vPW7/T5ztP5v+02QHLTG2snvrrW8TwWpGtDLt3
         zU8oGksIcHluHiQwYS056Prsa7/4rHng9D9QNIP6AjlamZejEAlAZjlbajLt4xM17Ozn
         Xt8A==
ARC-Mesaj-Semnătură: i=3; a=rsa-sha256; c=relaxat/relaxat; d=google.com; s=arc-20160816;
        h=list-unsubscribe:list-archive:list-help:list-post:list-id
         :mailing-list:precedence:reply-to:to:message-id:subject:data
         :mime-version:from:content-transfer-encoding:dkim-signature;
        bh=4ht9G50SlYlr7BPTCuy+KjNotHQlLEXbSKghIYlF3TI=;
        b=qHESIMBiX+DsyurBJ3jkT1tBYiQGFfvjr57xoDFsgoF/KhZNtVfb1JjwT/klZN/Phu
         NoXTTYULEP9j64ynhf6ug1ACwgUqoFieD3fsMpBhO6PrnwjxxU/E8c8TH2eJNR5/SiQm
         9k9/PCH1Vr48EjXGwfBCDV18bkwCyZnYfBGHoskl3EM0WeTIoA3x8s8EGUc4+TSRXUhq
         +tA+2fbTJlofwk5z0Oga5fICZVcPeKPTWSltaXuuUOgpViq9JWbVkWx7+HonhJxzzMw0
         o7LcUhOXfQHutnKRs/Xpaa73AwDgT30QtEn0T1JBnl2Vl9RjH9+nhdWxHjQ0QLdEDPB3
         Xkdw==
ARC-Autentificare-Rezultate: i=3; mx.google.com;
       dkim=pass [email protected] header.s=20210112 header.b=pcMriXR7;
       arc=trece (i=2 spf=trece spfdomain=icloud.com dkim=trece dkdomain=icloud.com dmarc=trece de la domeniu=icloud.com);
       spf=pass (google.com: domain of [email protected] desemnează 209.85.220.69 ca expeditor permis) smtp.mailfrom=hello+bncBD5ZZUP4WUMBBBQI@K3XQNBBQI;
       dmarc=pass (p=RESPINS sp=RESPINS dis=NIMIC) header.from=foo.com
Cale de întoarcere: <[email protected]>
Primit: de la mail-sor-f69.google.com (mail-sor-f69.google.com. [209.85.220.69])
        de mx.google.com cu ID SMTPS v33sor3392168uad.28.2021.12.12.09.14.44
        pentru <[email protected]>
        (Google Transport Security);
        Duminică, 12 decembrie 2021 09:14:44 -0800 (PST)
Primit-SPF: trece (google.com: domeniul [email protected] desemnează 209.85.220.69 ca expeditor permis) client-ip=209.85.220.69;
Autentificare-Rezultate: mx.google.com;
       dkim=pass [email protected] header.s=20210112 header.b=pcMriXR7;
       arc=trece (i=2 spf=trece spfdomain=icloud.com dkim=trece dkdomain=icloud.com dmarc=trece de la domeniu=icloud.com);
       spf=pass (google.com: domain of [email protected] desemnează 209.85.220.69 ca expeditor permis) smtp.mailfrom=hello+bncBD5ZZUP4WUMBBBQI@K3XQNBBQI;
       dmarc=pass (p=RESPINS sp=RESPINS dis=NIMIC) header.from=foo.com
ARC-Seal: i=2; a=rsa-sha256; t=1639329284; cv=pass;
        d=google.com; s=arc-20160816;
        b=A2s3aYE1vCQIscDH9RsEl6k0DGqxlZiSGi1iQgz57BP+AWIVt5X9b7nyraOJ8F6DPL
         tga5EsK1KrNHLURbQTBSO+pyg862afsmkhS/VFD3sBxSj6hhnc4oCpVJ3rPUWVxSE5IB
         z4NH0ujDotd4dBNBReOsLfetWC0BeyV6nvHfENuJM+PcpR2vO42O3zWARnvq0wtqZYPd
         eBbEJcfX5V6dGi7K9a5I4s+Hrz4V5VNQO8772L+lDQyRdthazJiKgKmB+jX+rztxflIM
         r9efmFXPwO8t3LVtqOzPFfQJqQiMJ9en62O4ZUwbdKxdLzx8Iw9BLVVm0SkDFpXIQTod
         lU2Q==
ARC-Mesaj-Semnătură: i=2; a=rsa-sha256; c=relaxat/relaxat; d=google.com; s=arc-20160816;
        h=list-unsubscribe:list-archive:list-help:list-post:list-id
         :mailing-list:precedence:reply-to:to:message-id:subject:data
         :mime-version:from:content-transfer-encoding:dkim-signature;
        bh=4ht9G50SlYlr7BPTCuy+KjNotHQlLEXbSKghIYlF3TI=;
        b=fXMcTPuKuu1Ahb/4kHcUPsbwEnwqaLpheL7AOFtyzp7FKfdBOErXZFdf1zCbmSX7S1
         Gi3D/zlXgcSAmHFUj1eOeuZwaUp3IWo2pkQiN5aMJ9oLlWaEbC/JLsthY8uh0zUSIuX/
         +Wdwjdpy1ZglE49PhkqGrFEr8ND1O/m8ETTHF1M9LhzWwR1c42MM3N17hUFMHcF4x6oz
         nq8M+JQy0V+Foz5AKXPRJGedCgpwGGBcRgoMW+xn/UaSgH1TgHiK82cL6Xy3ScisHeLo
         Wadb7qdxrMKrpn2H5ZvH0rq2VEvTNrLfrxKqO79a4WoohanhBf9Y/5eUckK2pm4nrHNC
         DWhg==
ARC-Autentificare-Rezultate: i=2; mx.google.com;
       dkim=pass [email protected] header.s=1a1hai header.b=Jw3cDWAa;
       spf=pass (google.com: domeniul [email protected] desemnează 17.58.63.180 ca expeditor permis) [email protected];
       dmarc=pass (p=QUARANTINE sp=QUARANTINE dis=NONE) header.from=icloud.com
Semnătura DKIM: v=1; a=rsa-sha256; c=relaxat/relaxat;
        d=foo-com.20210112.gappssmtp.com; s=20210112;
        h=content-transfer-encoding:from:mime-version:data:subject:message-id
         :to:x-original-sender:x-original-authentication-results:reply-to
         :precedence:mailing-list:list-id:list-post:list-help:list-archive
         :list-dezabonare;
        bh=4ht9G50SlYlr7BPTCuy+KjNotHQlLEXbSKghIYlF3TI=;
        b=pcMriXR70y9+xfVEs+8AoajJ0xymE3UTgGyG2NmKWWjdf05SzeYGX8w1GX3rVZ1hG+
         QGcKfhU2Ra9bmXS2sAz2g8iDtWvnoTj+TDFnMs9OWFWSLRLr/wqDqSKnQGrCUr2Y/k/f
         Q9j7R5eV2nwkYa1XIRAAJaanwMw/y5uDSv04a7bf4itRHQWv3sBD0YaK7KW9X3/UhUOc
         5sKMmmK44qVb3NMkOQdureAtqPhUthfkVfQJElPAAUh1LtMy7lyS1g1KqGcUzm1D2WaY
         wI6UkGWu9smajIb7O2SPVCCOPPCurlGWKD9eC6xdz9Av1qZZlMIyn+eNJDSik9JnG7/w
         aFiw==
X-Google-DKIM-Semnătură: v=1; a=rsa-sha256; c=relaxat/relaxat;
        d=1e100.net; s=20210112;
        h=x-gm-message-state:content-transfer-encoding:from:mime-version:date
         :subject:message-id:to:x-original-sender
         :x-original-authentication-results:reply-to:precedence:listă de corespondență
         :list-id:x-spam-checked-in-group:list-post:list-help:list-archive
         :list-dezabonare;
        bh=4ht9G50SlYlr7BPTCuy+KjNotHQlLEXbSKghIYlF3TI=;
        b=AwA9C6EysiLXrTEGUbzx+5vqODTMTskz7zHz2xe1quctysAvVhk58jn1xx322hfhh1
         yqXDXN/aE2MZwMrS++nikbt7lAJZfoNdpV8rKMgc0lb98yXjnd4n3tidH68eVp0cTVE2
         IYeKviGklV95rwOCQXuooqAKzN9/UJwGtH3C/NYZQnZQrGcFuIe5L5f5taRW/lby9IBN
         5u+rTEBn1UaNjDAVX13MbSpN6hjMGNmr1GaFiFSmnBeMBIH0pOzT3+UIR16Sza5unglm
         vkGD5OxPZGdH+fujwjjqrwjvmZSA1k9AhEvujR8B4FpgxGCreExueBMJcmWatPeSpmBO
         fjEA==
X-Gm-Message-State: AOAM531eWx5fz9pqU8qZS4uNtUeKxraKEAR9y1v6gcqUG3XiMb0qBByI FhppMXUtlC8OQUQYY5dXRcAfUe4+
X-Google-Smtp-Sursa: ABdhPJxynnRydm4JBkMLYoGgqV5RwhkwWcH4Z4w/ljLx6E0GPOqp9cSaCwpFSv4oC456afPUA5CYQA==
X-Received: by 2002:ab0:c10:: with SMTP id a16mr37954454uak.51.1639329284212;
        Duminică, 12 decembrie 2021 09:14:44 -0800 (PST)
X-BeenThere: [email protected]
Primit: până la 2002:a05:6102:2454:: cu id-ul SMTP g20ls4382592vss.4.gmail; Duminică, 12 decembrie 2021 09:14:43 -0800 (PST)
X-Received: by 2002:a05:6102:508c:: with SMTP id bl12mr23055020vsb.73.1639329283746;
        Duminică, 12 decembrie 2021 09:14:43 -0800 (PST)
ARC-Seal: i=1; a=rsa-sha256; t=1639329283; cv=niciuna;
        d=google.com; s=arc-20160816;
        b=0ToKjpZRQyjPknycN2z3IfIE1Iv7fkhCJbCVUn129k6GVlQVRq7t1xSCqEXMUpWfbb
         vdYNomuAczbfJOR/0o4gBaiPYM4l2L8A8BgUcx2LW26PPeMg1OKO6xexmcO0Qu79Vp+4
         23N3Alz3gRrG44HSkGQ13CwkukROblWgUMZ72U4nO30y0w38NZk4y1aPTPhV+TuFDWsY
         RLSYc3eLKdExhzkmnEgtyDKI/kHLZ++mgu4aFbK6SB4b8uB6v4onz7ONR+/BTGVwcnIs
         pOC6Xv6GwfBXu839bAhi94H83xV7QD5NFWuh0gMm445CzVz09zeesh89Qxcm/U/fKKI0
         6jbw==
ARC-Mesaj-Semnătură: i=1; a=rsa-sha256; c=relaxat/relaxat; d=google.com; s=arc-20160816;
        h=to:message-id:subject:data:mime-version:de la
         :content-transfer-encoding:dkim-signature;
        bh=4ht9G50SlYlr7BPTCuy+KjNotHQlLEXbSKghIYlF3TI=;
        b=VMzdwjpJVsJyaKxFawsaBAj83gW8hSdi5iOxGMCrQaQ39h5lkhZAM/cc4rtc3RbAt3
         ZmpKTQ0Pdgb+MgpaIOT6X5szReSt7ZVMNsjsKOe2tkfhaC94azGx4H1MdopSdDnPqZoB
         wvlUU3H16eWofWXcgKNj236adKuN0x3rzeTAKCCjNjwNfOOg5H5Y//pTOtqHc+A3XQjP
         HsGhTohABGTAy68aVCBeHeh/2R5NRy+KuI7ipqkcwO6uPnue4mMP7B6JtGjDOaiDJXs
         7wZ/G3p4fuJPCSeQWuPD6YzK+0dg3cw5GpNQHLib70Q6g41Ws70727llGEc0Ef89B+o/
         z8BQ==
ARC-Autentificare-Rezultate: i=1; mx.google.com;
       dkim=pass [email protected] header.s=1a1hai header.b=Jw3cDWAa;
       spf=pass (google.com: domeniul [email protected] desemnează 17.58.63.180 ca expeditor permis) [email protected];
       dmarc=pass (p=QUARANTINE sp=QUARANTINE dis=NONE) header.from=icloud.com
Primit: de la st43p00im-zteg10073501.me.com (st43p00im-zteg10073501.me.com. [17.58.63.180])
        de mx.google.com cu ID-ul ESMTPS x11si6141232vss.670.2021.12.12.09.14.43
        pentru <[email protected]>
        (versiunea=TLS1_3 cipher=TLS_AES_256_GCM_SHA384 biți=256/256);
        Duminică, 12 decembrie 2021 09:14:43 -0800 (PST)
Primit-SPF: trece (google.com: domeniul [email protected] desemnează 17.58.63.180 ca expeditor permis) client-ip=17.58.63.180;
Primit: de la smtpclient.apple (49.sub-174-209-97.myvzw.com [174.209.97.49]) de st43p00im-zteg10073501.me.com (Postfix) cu ID-ul ESMTPSA 49D5.com>hello; Duminică, 12 decembrie 2021 17:14:42 +0000 (UTC)
Tip de conținut: text/plan simplu; charset=us-ascii
Codare de transfer de conținut: 7 biți
De la: „„The Spammer” prin Hello” <[email protected]>
Versiune Mime: 1.0 (1.0)
Data: Duminica, 12 Dec 2021 12:14:40 -0500
Subiect: Ajut ceea ce am deja!
ID-ul mesajului: <[email protected]>
Către: [email protected]
X-Mailer: iPhone Mail (19B74)
X-Proofpoint-Virus-Version: vânzător = motor fSecure = 1.1.170-22c6f66c430a71ce266a39bfe25bc2903e8d5c8f: 6.0.425,18.0.790,17.11.62.513.0000000 Definiții = 2021-12-12-12_06: 2021 12_06,2021-12-02_01 semnături=0
X-Proofpoint-Spam-Details: rule=notspam policy=scor implicit=0 phishscore=0 mlxscore=0 malwarescore=0 clxscore=1011 spamscore=0 adultscore=0 bulkscore=0 suspectscore=0 mlxlogscore=485 classifier=spam adjust=0 motiv=mlx scancount=1 motor=8.12.0-2009150000 definiții=main-2112120106
X-Original-Sender: [email protected]
X-Original-Authentication-Results: mx.google.com;
       dkim=pass [email protected] header.s=1a1hai header.b=Jw3cDWAa;
       spf=pass (google.com: domeniul [email protected] desemnează 17.58.63.180 ca expeditor permis) [email protected];
       dmarc=pass (p=QUARANTINE sp=QUARANTINE dis=NONE) header.from=icloud.com
X-Original-From: The Spammer <[email protected]>
Răspuns către: Spammerul <[email protected]>
Precedenta: lista
Lista de corespondență: list [email protected]; contactați [email protected]
ID-ul listei: <hello.foo.com>
X-Spam-Checked-In-Group: [email protected]
X-Google-Group-Id: 138202709934
Postare în listă: <https://groups.google.com/a/foo.com/group/hello/post>, <mailto:[email protected]>
Listă de ajutor: <https://support.google.com/a/foo.com/bin/topic.py?topic=25838>, <mailto:[email protected]>
Listă-Arhivă: <https://groups.google.com/a/foo.com/group/hello/>
Listă-Dezabonare: <mailto:[email protected]>, <https://groups.google.com/a/foo.com/group/hello/subscribe>



trimis de pe iPhone-ul meu

De ce este permis acest e-mail?

Este faptul că icloud.com (serverul SMTP al expeditorului) nu onorează DMARC, deci acceptă e-mailul, apoi redirecționează pe gmail, iar Gmail presupune că icloud.com a făcut verificările inițiale DMARC, așa că nu deranjează? (Îmi pare rău, sunt foarte verde în această zonă.).

537
0 + 0
SPF
Paul avatar
drapel cn
Paul
Se pare că ar trebui să existe un antet DKIM pentru „icloud.com”. La prima vedere, mă întreb dacă ați furnizat corect anteturile și în ordinea în care au ajuns în mesaj.
0
Răspunde
drapel in
Lawrence Wagerfield
Antetele și corpul au fost copiate-lipite din interfața de utilizare web GMail (când dați clic pe „Vizualizați originalul” pe mesaj) -- nu există nicio reordonare sau omisiuni (cel puțin așa am făcut eu). Totuși, am înlocuit „compania mea.com” cu „foo.com”, și, de asemenea, „Numele spammerului” cu „The Spammer”.
0
Răspunde
Paul avatar
drapel cn
Paul
De ce există o grămadă de anteturi din Listă de grupuri Google și mesajul care provine de la `gappssmtp.com`? Acesta a fost trimis printr-o listă de vreun fel?
0
Răspunde
drapel in
Lawrence Wagerfield
Adresa de e-mail „[email protected]” este pentru un grup Google. Cu toate acestea, grupul este folosit doar ca o căsuță de e-mail partajată între colegi -- oricine de pe internet îi poate trimite e-mail-uri (ca o căsuță de e-mail obișnuită), dar numai membrii organizației „foo.com” le primesc.
0
Răspunde
Paul avatar
drapel cn
Paul
Sperăm că cineva care înțelege mai bine aceste servicii sau poate petrece mai mult timp examinând anteturile poate comenta sau răspunde. Nu sunt clar de ce lipsește antetul DKIM „icloud.com”, dar asta ar putea face parte din falsificare sau, cumva, o parte din modul în care funcționează în mod normal acel serviciu și nu știu nimic despre Grupuri Google sau de ce este un bun idee ca acesta să fie implicit expeditor pentru organizația dvs. Rețineți că ARC este experimental și IIRC include câteva declarații MAY.
1
Răspunde
Puncte:3
avatar Server
drapel cn
shearn89

Nu voi pretinde că sunt un expert în asta, dar pagini IETF pentru X-Original-De la antetul pare să implice acest comportament așteptat atunci când trimiteți un e-mail către o listă de corespondență Google Apps.

În prezent, Google Apps implementează „alias-uri” ca Grupuri Google (acest lucru este valabil de câțiva ani, înainte de aceasta, existau aliasuri și grupuri separate). Din această cauză, o adresă [email protected] care redirecționează către utilizatori interni sau un instrument CRM extern (salesforce) ar primi un mesaj rescris de grup. Aceste mesaje nu vor trece DKIM din cauza rescrierii și, prin urmare, dacă sunt dintr-un domeniu DMARC p=REJECT/QUARANTINE, cum ar fi yahoo.com, antetul de la from va fi rescris pentru a fi numele grupului ([email protected]) iar x-original-de la va fi expeditorul original.

Ai verificat Pagini Google DMARC pentru a vedea dacă pașii de depanare vă ajută?

Având în vedere că spammerul trimite de la o adresă iCloud, puteți actualiza politica pentru a bloca pe baza acesteia X-Original-De la antet?

EDIT: recitind întrebarea, eu sa nu crezi ca este fiind falsificată - cred că rescrierea de către Google Apps a adresei „de la” este un comportament intenționat/implicit. Ați testat trimiterea unui e-mail către căsuța poștală de la o adresă de e-mail care nu aparține domeniului (de exemplu, un cont hotmail de uz casnic sau similar)? Aveți același comportament?

0 + 0
drapel in
Lawrence Wagerfield
Când trimit un e-mail către căsuța poștală de la o adresă de e-mail care nu este de domeniu, adresa de e-mail a expeditorului se află în chevronele „” din antetul „De la:”, nu „[email protected]”. Aceasta înseamnă că nu este un comportament care se aplică e-mail-urilor primite obișnuite: se pare că acest expeditor a făcut ceva diferit pentru a avea adresa de e-mail _noastră_ ca adresă de proveniență.
0
Răspunde
drapel cn
shearn89
Bine, dar acesta încă sună ca un comportament așteptat conform paginilor IETF, deoarece e-mailul spammerului este marcat ca `dmarc=pass (p=QUARANTINE sp=QUARANTINE dis=NONE) header.from=icloud.com`.
0
Răspunde
drapel in
Lawrence Wagerfield
Re. pașii de depanare: la citirea paginii, pare a fi un ghid de configurare DMARC generic, mai degrabă decât să prezentăm pașii pe care este posibil să-i fi ratat în configurarea contului nostru Gmail. Conform înregistrărilor TXT din întrebarea inițială, credem că DMARC este configurat corect (dar bucuroși să ni se spună altfel!).
1
Răspunde
drapel in
Lawrence Wagerfield
Dacă citesc corect primul link (pentru care ați citat cu amabilitate conținutul): oricărui expeditor dintr-un domeniu DMARC REJECT/QUARANTINE va avea antetul „De la:” rescris în „" când ne trimiteți un e-mail?
0
Răspunde
drapel in
Lawrence Wagerfield
Dacă acesta este cazul, atunci presupun că nu există nicio problemă: doar noi (membrii foo.com) vedem vreodată această „falsificare” – spammerul nu se poate masca în noi când trimite e-mailuri către oricine din afara organizației. Mulțumiri!
1
Răspunde
drapel cn
shearn89
Nici o problema. Nu uitați să votați/marcați ca răspuns!
1
Răspunde
drapel romania
SEF 777
întrebarea această in alte limbi:

Postează un răspuns

Majoritatea oamenilor nu înțeleg că a pune multe întrebări deblochează învățarea și îmbunătățește legătura interpersonală. În studiile lui Alison, de exemplu, deși oamenii își puteau aminti cu exactitate câte întrebări au fost puse în conversațiile lor, ei nu au intuit legătura dintre întrebări și apreciere. În patru studii, în care participanții au fost implicați în conversații ei înșiși sau au citit transcrieri ale conversațiilor altora, oamenii au avut tendința să nu realizeze că întrebarea ar influența – sau ar fi influențat – nivelul de prietenie dintre conversatori.