La protezione avanzata della posta elettronica

Quando si parla della protezione nella posta elettronica si pensa subito agli antispam, antispoofing, antimalware e sistemi per filtrare/analizzare le mail che riceviamo. Ci concentriamo sull’evitare che i nostri utenti vengano attaccati ma si tende a non pensare alle email dannose che i malintenzionati inviano a nostro nome nel mondo. Questi attacchi sfruttano le vulnerabilità del protocollo SMTP (Simple Mail Transfer Protocol) pensato ed implementato quando le connessioni ad internet erano rare e costose senza alcun tipo di autenticazione, autorizzazione e segretezza. Per renderle affidabili le email che inviamo si usa principalmente il protocollo SPF che ha, per la natura vulnerabile del protocollo SMTP, una grossa lacuna che vedremo in seguito. Altro protocollo importante è il DKIM che permette la “firma” delle email e la loro conseguente verifica dalla controparte che le riceve. Questi due protocolli, con le loro particolarità, trovano un completamento attraverso il DMARC che indica agli interlocutori come trattare le email che non rispettano gli standard di sicurezza e gestisce le logiche di reportistica delle email ricevute. Tutti questi protocolli si configurano utilizzando il DNS del dominio di posta elettronica e intervenendo nei sistemi di invio e ricezione della posta elettronica.

Il protocollo SPF (Sender Policy Framework)

Nei primi anni del nuovo secolo, con l’aumento esponenziale delle email indesiderate (oggi sono circa il 60% del traffico SMTP), si decise di formalizzare un protocollo che desse indicazione dei server di posta attendibili per la spedizione della posta di un determinato dominio. E’ quindi compito di chi configura i server di posta inserire gli indirizzi ip pubblici nell’apposito record DNS del dominio mittente per permettere alle controparti nel mondo di verificare l’affidabilità del server di invio. Analogamente il destinatario della mail ha la facoltà (non è un obbligo) di eseguire un controllo incrociato quando gli arriva una connessione per l’invio di una mail. Il server mittente si presenta con l’indirizzo ip e dichiara il mittente di una email, il server destinatario controlla se nel record SPF del dominio mittente è presente l’indirizzo ip quindi decide se accettare o rifiutare la mail.

 

Figura 1 – Funzionamento del protocollo SPF

Questo protocollo ha una lacuna insita all’interno delle logiche dei flussi di posta elettronica. La differenza tra il dominio di Envelope (Mail-From; RFC5321.MAILFROM; Return-Path) e quello di Letter (From; From-Header; RFC5322.FROM) che possono essere diversi. Il primo è il dominio controllato dal protocollo SPF mentre il secondo è quello che vede l’utente quando riceve la mail. Gli attaccanti, come anche i gestori delle campagne di invio massivo pubblicitario, sfruttano questa caratteristica per presentarsi a livello SPF con un dominio attendibile e poi inviare la mail all’utente impersonificando un altro dominio. Quando questo accade, normalmente, il rating del potenziale spam aumenta e, in genere, queste email finiscono nella posta indesiderata.

Il protocollo DKIM (Domain Keys Identified Mail)

Nel 2009 si definisce il protocollo di firma ed autenticazione del solo dominio di posta che l’utente vede nel proprio client (quello di Letter; From; From-Header; RFC5322.FROM). Per firmare la mail il server mittente usa la crittografia asimmetrica e la verifica della firma viene fatta con la chiave pubblica presente nel selettore del record DNS del dominio mittente. Dato che un dominio potrebbe avere più server o servizi che spediscono posta è necessario porre molta attenzione al nome del selettore ed alla sua configurazione per poter garantire una corretta verifica da parte del destinatario. Questa tecnologia, sebbene molto simile alla posta elettronica certificata, non interessa in alcun modo l’utente che non può controllarla, è una tecnologia implementata esclusivamente a tra i server interessati nell’invio e nella ricezione della posta elettronica.

 

Figura 2 – Funzionamento del protocollo DKIM

Data la complessità nella gestione delle chiavi asimmetriche ed il fatto che un server possa spedire posta a nome di molti domini, rende questo protocollo ancora poco diffuso e poco utilizzato. Sebbene i principali provider di posta elettronica personale e pubblicitaria siano perfettamente in grado di gestirlo non viene considerato adeguatamente da noi tecnici.

Il protocollo DMARC (Domain-based Message Authentication, Reporting & Conformance)

Dopo alcuni anni di dibattito, nel 2015, viene standardizzato un metodo di controllo dell’allineamento dei domini utilizzati nella spedizione delle email andando, di fatto, a colmare la lacuna del protocollo SPF e la difficoltà di implementazione del protocollo DKIM (Figura 3). Un gestore di domini di posta riesce ora a rendere attendibili le sue spedizioni implementando a scelta uno o entrambi i protocolli.

 

Figura 3 – Allineamento dei domini nel protocollo DMARC

In più si può ricevere un feedback sulla qualità delle email inviate nel mondo usando il proprio dominio di posta elettronica e si riesce anche a dare precise indicazioni al destinatario delle email considerate inattendibili o semplicemente configurate male. Tutto ciò è possibile inserendo un record DNS nel dominio mittente delle email seguendo la giusta sintassi. Il successo nell’implementazione di questo protocollo risiede nella coscienza di ciò che viene inviato col proprio dominio di posta elettronica (email utente, campagne di marketing o vendita, spam o attacchi) quindi avere un sistema che gestisce automaticamente ed elabora efficacemente i report inviati dalle controparti è l’unica scelta vincente.

 

Conclusioni

Al giorno d’oggi è fondamentale proteggersi dagli attacchi via email ma anche garantire che gli invii effettuati col proprio dominio di posta siano sicuri, autentici e verificati. E’ anche necessario curare gli invii massivi degli uffici aziendali che svolgono campagne pubblicitarie per evitare che queste email finiscano nello spam delle caselle postali riceventi. Tutti i principali ambienti cloud sono perfettamente compatibili con queste tecnologie e la cultura della protezione avanzata della posta elettronica passa inevitabilmente dal protocollo DMARC che, assieme ai protocolli SPF e DKIM, cura il brand, la reputazione e l’affidabilità dei domini di posta aziendali.