?咨詢(xún)郵箱：
?咨詢(xún)熱線：
DMARC -- 反釣魚(yú)郵件利器 or 曇花一現(xiàn)？
發(fā)表日期：2018-01-02 文章編輯： 瀏覽次數(shù): 3136
【寫(xiě)在前面】
————————————————————————
目前來(lái)說(shuō)，[DMARC]協(xié)議是一個(gè)新鮮事物（對(duì)DMARC的介紹請(qǐng)見(jiàn)我的另一篇博文 http://blog.163.com/pandalove@126/blog/static/9800324520123147328334/ ），有越來(lái)越多的Email服務(wù)商支持這份協(xié)議，利用它來(lái)攔截釣魚(yú)郵件和詐騙郵件。 而DMARC聯(lián)盟（http://dmarc.org），銀行/在線支付商，Email服務(wù)商，IT媒體，普通用戶(hù)等各方無(wú)不拍手稱(chēng)好，但也已經(jīng)有資深I(lǐng)T專(zhuān)業(yè)人士犀利地指出其局限性。
閑暇之時(shí)，梳理了一下各方的聲音，在本文小結(jié)時(shí)也表達(dá)一下一些個(gè)人拙見(jiàn)。
【觀點(diǎn)1】
————————————————————————
第一類(lèi)觀點(diǎn)（主流觀點(diǎn)）： DMARC協(xié)議是打擊釣魚(yú)郵件的實(shí)用利器。
這類(lèi)觀點(diǎn)主要來(lái)自： DMARC官方+主流媒體等。
他們認(rèn)為，DMARC協(xié)議抓住了釣魚(yú)郵件的要害（信頭From字段），并結(jié)合主流的DNS/SPF/DKIM等基礎(chǔ)技術(shù)做為輔助工具。一方面，對(duì)DMARC協(xié)議的支持技術(shù)難度不大，另一方面，DMARC帶來(lái)的開(kāi)銷(xiāo)不大但識(shí)別效果明顯，是一款低開(kāi)銷(xiāo)+高效應(yīng)+諸多優(yōu)勢(shì)的電子郵件安全工具。
下面是持此觀點(diǎn)的一些網(wǎng)頁(yè)：
【觀點(diǎn)2】
————————————————————————
第二類(lèi)觀點(diǎn)： DMARC協(xié)議對(duì)釣魚(yú)郵件并非無(wú)所不能。
這類(lèi)觀點(diǎn)主要來(lái)自： IT專(zhuān)業(yè)人士等。
這類(lèi)觀點(diǎn)并非主流觀點(diǎn)，只是我在DMARC討論郵件列表中看到一位法國(guó)IT同行（Sébastien Goutal，來(lái)自vade-retro.com）的非正式評(píng)論，但也算代表了一類(lèi)觀點(diǎn)。
Sébastien認(rèn)為，DMARC對(duì)于“域名偽造”的釣魚(yú)郵件（exact-domain phishing）有一定殺傷力，但是對(duì)所有類(lèi)型的釣魚(yú)郵件來(lái)說(shuō)，DMARC作用還是有限的。Sébastien手頭有統(tǒng)計(jì)數(shù)據(jù)顯示，現(xiàn)在exact-domain phishing的數(shù)量逐日減少，一旦phisher們知道DMARC的存在，狡猾的他們將會(huì)棄用exact-domain這類(lèi)釣魚(yú)手段（這對(duì)phisher們來(lái)說(shuō)影響不大），而從容地改用/新造其他詐騙技術(shù)手段。
Sébastien的郵件還提出一些打擊釣魚(yú)詐騙的建議，譬如多方協(xié)作的on-line database，鼓勵(lì)支付商使用雙因素認(rèn)證（Two-factor Authentication）技術(shù)等，但有點(diǎn)超出DMARC的討論范疇。
大家可在DMARC討論郵件列表的歷史記錄中找到Sébastien的這封郵件。
【觀點(diǎn)3】
————————————————————————
第三類(lèi)觀點(diǎn)： DMARC的吸引力不夠。
這類(lèi)觀點(diǎn)主要來(lái)自： 小型ISP，小型郵件系統(tǒng)等。
相對(duì)上述兩類(lèi)觀點(diǎn)，持第三類(lèi)觀點(diǎn)的人數(shù)就更少了，但還是會(huì)有。
如果你加入了DMARC討論郵件列表，興許你會(huì)看到類(lèi)似的觀點(diǎn)：
John Levine:...I'm sure DMARC will be just dandy for big providers and big brands, who tend to know what they're doing. But I wouldn't spend a lot of effort trying to implement policy from random domains you don't know.
他們的說(shuō)法也無(wú)可厚非。
對(duì)一些大中型公司/郵箱系統(tǒng)站點(diǎn)來(lái)說(shuō)，升級(jí)其郵件系統(tǒng)的MTA，使之支持DMARC檢查，難度/代價(jià)可能不大。但對(duì)于一些偏小型或技術(shù)支持有限的公司/站點(diǎn)來(lái)說(shuō)，或許就不一樣了，盡管他們心底也看好DMARC。
【個(gè)人拙見(jiàn)】
————————————————————————
借著對(duì)DMRAC有些許了解，我也斗膽說(shuō)說(shuō)自己對(duì)DMARC的看法，僅代表個(gè)人觀點(diǎn)。
首先，DMARC是優(yōu)秀的。官方聰明地借用SPF/DKIM這兩項(xiàng)被廣泛支持的協(xié)議，并抓住了釣魚(yú)郵件經(jīng)常偽造的信頭From:字段，以此提出了自己的檢查邏輯。
其次，DMARC是有效的。在實(shí)際應(yīng)用中，可以看到部署DMARC的機(jī)器上有數(shù)量不菲的釣魚(yú)郵件/詐騙郵件/垃圾郵件被DMARC算法識(shí)別出來(lái)，這些郵件謊稱(chēng)發(fā)自Paypal，F(xiàn)acebook，LinkedIn，Amazon，emarsys等知名廠商，要求收件人提供個(gè)人資料，銀行賬戶(hù)密碼等信息，郵件內(nèi)容和措辭口吻都和官方郵件一模一樣，迷惑性極高，普通網(wǎng)友難以辨其真?zhèn)味袭?dāng)受騙。而正是DMARC幫助 網(wǎng)易/Gmail/Hotmail（這3家都是DMARC官方委員會(huì)的企業(yè)）等支持[DMARC]協(xié)議的Email服務(wù)提供商將它們識(shí)別出來(lái)，真真切切地保護(hù)了自己的郵箱用戶(hù)。
下面是一張DMARC攔截釣魚(yú)郵件的記錄截圖：
從DMARC官網(wǎng)上的多份DMARC Draft草案，從DMARC官方組織不同的交流會(huì)議，從全球范圍內(nèi)越來(lái)越多人加入/支持DMARC等等跡象，就可以看出這一點(diǎn)。
當(dāng)然，DMARC也不是無(wú)所不能的。從技術(shù)層面說(shuō)，目前的DMARC只能識(shí)別出針對(duì)“信頭From:字段的域名”的偽造，還無(wú)法識(shí)別其他的偽造手段，譬如：
- 偽造信頭Sender字段
- 偽造信頭From字段的DisplayName部分
- 通過(guò)Cousin Domain手段來(lái)偽造信頭From字段的域名（如 Xxx@Paypa1.Com，Xxx@Faceb00k.Com等）
- 通過(guò)“追加后綴手段”來(lái)偽造信頭From字段的域名（如 Xxx@Paypal.Com.Xhgd.Net，Xxx@Facebook.Com.Sdiahyqgqbd.Com等）
- Etc
這樣一來(lái)，phisher們就仍有辦法繞過(guò)DMARC，繼續(xù)發(fā)送釣魚(yú)郵件。。。
【小結(jié)】
————————————————————————
應(yīng)該說(shuō)，打擊釣魚(yú)郵件/詐騙郵件依舊是任重道遠(yuǎn)?；蛟S真如 Sébastien先生所言，DMARC終有一天會(huì)失去功效（不過(guò)我個(gè)人覺(jué)得，這一天還遠(yuǎn)著）。
但無(wú)可否認(rèn)的客觀事實(shí)是，誕生至今未到半年的DMARC協(xié)議，已經(jīng)在全球各地發(fā)光發(fā)熱，保護(hù)著知名廠商的域名不被非法利用，減少Email用戶(hù)們免受釣魚(yú)郵件/詐騙郵件之苦。
假如你有需要發(fā)送交易性郵件（譬如 注冊(cè)信息，密碼找回，賬單通知，交易記錄 等郵件）的域名，而且你的域名正在被abuser用于釣魚(yú) 或者 希望避免被用于釣魚(yú)，或者你只是想了解一下是不是有人在釣魚(yú)你的域名，你都可以在DNS里發(fā)布一條DMARC記錄（注意根據(jù)你的域名的實(shí)際情況，靈活變動(dòng)p/sp/pct標(biāo)簽來(lái)發(fā)布合適的DMARC記錄），借助DMARC來(lái)達(dá)到你的目的。
但假如你的域名規(guī)模很小或沒(méi)有被釣魚(yú)的風(fēng)險(xiǎn)（譬如 小型個(gè)人網(wǎng)站（通常壞人“不屑于”去釣魚(yú)這類(lèi)域名），提供免費(fèi)注冊(cè)帳號(hào)的網(wǎng)站（如163.com，壞人們寧可批量注冊(cè)/購(gòu)買(mǎi)帳號(hào)，也不愿大費(fèi)周章去釣魚(yú)這類(lèi)域名） 等域名）的話(huà)，那么DMARC記錄可能跟你關(guān)系不大，大可不必為趕時(shí)髦而去發(fā)布DMARC記錄，免得弄巧成拙。
我相信隨著DMARC協(xié)議的不斷成熟和完善，隨著越來(lái)越多的人發(fā)布DMARC記錄來(lái)保護(hù)自己的域名，將會(huì)有越來(lái)越多的企業(yè)及其用戶(hù)受惠于此。
和許許多多同行者一樣，我們也衷心期待著在這個(gè)垃圾郵件/釣魚(yú)郵件/詐騙郵件肆虐猖獗的時(shí)代，能有更多IT從業(yè)者，更多社會(huì)機(jī)構(gòu)（法律/行政/社會(huì)組織/etc）齊心協(xié)力，提出可行的方案打擊這些壞人，還互聯(lián)網(wǎng)一片純凈天空 
。
。