Google, Yahoo Push DMARC zmuszają firmy do nadrabiania zaległości

Do lutego 2024 r. każda firma wysyłająca ponad 5,000 wiadomości e-mail za pośrednictwem Google lub Yahoo będzie musiała zacząć korzystać z technologii uwierzytelniania znanej jako raportowanie i zgodność uwierzytelniania wiadomości w oparciu o domeny (DMARC).

Wymagania — ogłoszone przez Google i Yahoo w tym tygodniu — sięgnie jednak znacznie dalej niż marketerzy, zmuszając wszystkie firmy pozostające w tyle we wdrażaniu trzech technologii bezpieczeństwa do nadrobienia zaległości. Przedsiębiorstwa korzystające z Sender Policy Framework (SPF) i DomainKeys Identified Mail (DKIM) zyskają ochronę przed podszywaniem się dzięki lepszemu uwierzytelnianiu, podczas gdy DMARC tworzy kanał powiadamiania z powrotem do właściciela nazwy domeny w celu zbierania informacji o tym, czy ich e-mail nie został sfałszowany.

Wymagania dwóch dużych dostawców powinny skłonić więcej firm do przyjęcia DMARC do czasu, aż wdrożenie osiągnie poziom, na którym możliwe będą skuteczniejsze środki bezpieczeństwa, mówi Neil Kumaran, menedżer produktu w grupie Google Gmail Security & Trust.

„Dzięki zastosowaniu DMARC w sposób, o który prosimy, nadawcy zaczynają otrzymywać wiele informacji, które pomogą im zidentyfikować problemy z konfiguracją [i] rzeczy, które mogą chcieć zmienić” – mówi. „Zatem przyjęcie DMARC i wspólne myślenie o tych kwestiach przyniesie nadawcy korzyści materialne”.

W ostatnich latach zastosowanie trzech technologii zabezpieczających pocztę e-mail uległo przyspieszeniu — szczególnie podczas pandemii wirusa koronowego, kiedy firmy zmuszone były do ​​prowadzenia działalności zdalnej. W rezultacie około połowa nadawców e-maili ma rekord DMARC, ale tylko 14% ustawiło w DMARC rygorystyczną politykę kwarantanny lub odrzucania, co jest powszechnie uważane za cel końcowy, według danych Valimail, dostawcy usług DMARC. Około połowa wszystkich firm ustanowiła swój rekord DMARC w celu egzekwowania rygorystycznych zasad. Jednak tylko 1% domen non-profit mieć skonfigurowany DMARC.

Wymagania Google i Yahoo to dobry początek, a rynek nie jest gotowy na bardziej rygorystyczne wymagania. Jednak Seth Blank, dyrektor ds. technologii w Valimail, ma nadzieję, że główni dostawcy poczty e-mail szybko podniosą poprzeczkę.

„Myślę, że to coś absolutnie fantastycznego, ale myślę, że to nie wystarczy” – mówi. „Cieszę się, że podnoszą poprzeczkę, ale obecnie mamy zbiór najlepszych praktyk branżowych, które są niekonsekwentnie stosowane. Kilku głównych nadawców radzi sobie dobrze, a potem wszyscy inni i dlatego w ekosystemie tak powszechne są nadużycia”.

Coraz szersze zastosowanie zabezpieczeń poczty e-mail

W swoim poście na blogu Google przedstawił swoje wymagania, w tym rekordy SPF i DKIM służące do uwierzytelniania domen wysyłających e-maile; rekord DMARC dla domeny; oraz nagłówek „From”, który pasuje do rekordu SPF lub DMARC, nazywany „wyrównaniem”. Ponadto marketerzy muszą mieć współczynnik spamu poniżej 0.3% i zapewniać możliwość rezygnacji z subskrypcji jednym kliknięciem.

Google zastosuje nowe zasady wobec tych, którzy w danym dniu wyślą więcej niż 5,000 tysięcy wiadomości na adresy Gmail. Yahoo zastosuje te wymagania do „nadawców masowych”, ale jego wpis na blogu nie definiuje, kim jest nadawca masowy. Wymagania będą musiały zostać spełnione do lutego 2024 r. w przypadku Google i „w pierwszym kwartale 2024 r.” w przypadku Yahoo.

Ogłoszenie Google wraz z odpowiednim posunięciem Yahoo! oznacza, że ​​przyjęcie DMARC nie jest już sugestią, napisał Len Shneyder, wiceprezes ds. relacji branżowych w Twilio SendGrid, usłudze marketingu e-mailowego, napisał w blog o nowościach.

„[W] przypadku wiadomości Yahoo można to uznać za nową normalność” – napisał. „Nowe wymagania oznaczają zmianę w sposobie, w jaki branża postrzega uwierzytelnianie poczty elektronicznej i najlepsze praktyki: to, co kiedyś było zbiorem zaleceń, obecnie staje się możliwym do wyegzekwowania zbiorem wymagań”.

Google spodziewa się, że wymagania doprowadzą do niemal całkowitego wdrożenia uwierzytelniania poczty elektronicznej na jego platformie. Obecnie firma przetwarza około 15 miliardów e-maili dziennie, a liczba nieuwierzytelnionych wiadomości spadła o 75%, ponieważ firma wymagała, aby każda wiadomość była jakąś formę uwierzytelniania.

Uwierzytelnianie to dopiero początek

Celem wymagań DMARC jest zapewnienie, że wszystkie legalne wiadomości e-mail ustawiły rekordy DMARC w swojej usłudze DNS, dostarczając informacje uwierzytelniające w celu sprawdzenia ich zgodności z nagłówkami wszelkich otrzymanych wiadomości e-mail. Prawie każdy dostawca poczty e-mail będzie raportował informacje o dostosowaniu DMARC autorytatywnemu właścicielowi domeny.

Z tego powodu lepsza identyfikacja źródeł i silniejsza identyfikacja wiadomości są kluczem do ulepszenia technologii poczty e-mail, twierdzi Kumaran z Google.

„Uwierzytelnianie samo w sobie nie jest panaceum na zatrzymanie spamu, ale pozwala każdemu lepiej zrozumieć napływającą wiadomość e-mail” – mówi. „Spodziewam się, że filtry zaczną wychwytywać te wzorce, czerpać korzyści z uwierzytelniania i działać lepiej — powinniśmy zobaczyć ogólny wpływ”.

Po wdrożeniu uwierzytelniania nadawcy dostawcy zabezpieczeń i dostawcy poczty e-mail mogą lepiej odfiltrowywać szkodliwy ruch, mówi Blank.

„Masz kontrolę nad tym, kto jest upoważniony do wysyłania w Twoim imieniu, co oznacza, że ​​zanim wiadomość trafi do dowolnego dostawcy skrzynek pocztowych na całym świecie, nastąpi uwierzytelnienie i będzie mógł on korzystać z DMARC” – dodał. mówi. „Sfałszowane lub uwierzytelnione wiadomości nigdy nie trafiają do skrzynek odbiorczych użytkowników, dzięki czemu zapewniamy odporność zbiorczą i ochronę na dużą skalę, daleko poza Google i Yahoo, gdzie są takie wymagania”.

Oczekuj obejść

Chociaż wymagania prawdopodobnie skłonią wszystkie legalne firmy marketingowe do dostrojenia konfiguracji zabezpieczeń poczty e-mail, firmy powinny spodziewać się, że nieuczciwi aktorzy znajdą sposób na dalsze wysyłanie spamu, phishingu i złośliwego oprogramowania, mówi Raf Marconi, starszy konsultant zarządzający w Bishop Fox.

„Złośliwy podmiot może albo pozostać poniżej progów, albo skorzystać z legalnych usług, aby uniknąć wpływu wymagań” – mówi, dodając: „Te nowe wymagania powinny mieć pewien wpływ na poziom spamu i phishingu, ale trudno to ocenić ile czasu minie zanim wymagania zostaną wdrożone, a także zależy od prawidłowego wdrożenia DKIM, SPF i DMARC.”

W niedawnym raporcie stwierdziła to firma Cloudflare, świadcząca usługi internetowe 89% wiadomości blokowanych jako spam miał prawidłowe informacje o SPF, DKIM lub DMARC, podkreślając, że technologie są częścią równania, ale nie całym rozwiązaniem, mówi Oren Falkowitz, CSO terenowy w Cloudflare.

„Z tego powodu nie ma sensu polegać wyłącznie na standardach śledzących informacje o nadawcy w celu wykrycia i zatrzymania kampanii” – mówi. „Aby rozwiązać problem rzeczywistych szkód, zespoły ds. bezpieczeństwa muszą zidentyfikować i kontrolować ładunki, pliki, łącza i złośliwe żądania, które obejmują phishing i powodują szkody”.

Blank Valimaila potwierdził tę tezę.

„Źli aktorzy zazwyczaj jako pierwsi stosują najlepsze praktyki” – mówi. „Założenie, że posiadanie SPF, DKIM lub DMARC oznacza, że ​​poczta jest dobra, jest błędne. Oznacza to, że wiemy, od kogo pochodzi wiadomość, a to ma kluczowe znaczenie przy podejmowaniu decyzji dotyczących reputacji”.

• Dystrybucja treści i PR oparta na SEO. Uzyskaj wzmocnienie już dziś.
• PlatoData.Network Pionowe generatywne AI. Wzmocnij się. Dostęp tutaj.
• PlatoAiStream. Inteligencja Web3. Wiedza wzmocniona. Dostęp tutaj.
• PlatonESG. Węgiel Czysta technologia, Energia, Środowisko, Słoneczny, Gospodarowanie odpadami. Dostęp tutaj.
• Platon Zdrowie. Inteligencja w zakresie biotechnologii i badań klinicznych. Dostęp tutaj.
• Źródło: https://www.darkreading.com/dr-tech/google-yahoo-push-dmarc-forcing-companies-to-catch-up