DMARC seit 2012: Warum 68,4 % der Domains es immer noch nicht erzwingen
DMARC has been public since 2012 but most company domains still don't enforce it
Unsere Analyse von über 67.000 Domains zeigt, dass 68,4 % entweder keine DMARC-Records haben oder diese nicht durchsetzen. Selbst bei vorhandenen Einträgen bleibt die Mehrheit bei der reinen Überwachung mit p=none. Der Hauptgrund ist nicht Ignoranz, sondern die fragmentierten und schwer lesbaren Berichtsdaten, die eine manuelle Überprüfung aller Absenderquellen erfordern.
Das ist eine Forschungsaufgabe, keine Konfigurationsänderung, und genau solche Aufgaben werden unendlich lange aufgeschoben.
- bcrl
Leider geht der Artikel nicht wirklich darauf ein, ob DMARC überhaupt etwas wirklich Nützliches bewirkt. Als ich DMARC für eingehende E-Mails auf einem meiner eigenen Mailserver aktiviert habe, hat es am Ende regelmäßig dazu geführt, dass ein paar E-Mails von Kunden blockiert wurden, während praktisch der gesamte hereinkommende Spam gültige SPF/DKIM/DMARC-Header hatte – genau wie die meisten Phishing-Angriffe.
Das Kernproblem ist, dass das eigentliche Bedürfnis der E-Mail-Endnutzer darin besteht, eine Möglichkeit zu haben, festzustellen, ob einem bestimmten Absender vertraut werden kann oder nicht. Signaturen sind rein technische Maßnahmen, die keine Informationen über die Vertrauenswürdigkeit des Absenders liefern. Das Endergebnis ist, dass die E-Mail-Bewertung weiterhin inhaltsbasiert erfolgen muss, und die Signaturen-Check-Technologien sind reines Rauschen ohne nützliches Signal, um zu bestimmen, ob eine E-Mail tatsächlich in meinem Posteingang angezeigt werden sollte.
Die Tech-Branche hat die schlechte Angewohnheit, Lösungen für Probleme anzubieten, die den Problemen benachbart sind, die der Nutzer tatsächlich gelöst haben möchte, während das eigentliche Problem des Nutzers ungelöst bleibt.
- EvanAnderson
Ich verwalte E-Mails für eine Reihe kleiner Organisationen (jeweils unter 1000 Empfänger). Es gibt so viele SPF- und DKIM-Fehler von Absendern, von denen man meinen sollte, dass sie es besser wissen (Unternehmen vom Typ Fortune 100). Ich möchte keine Beschwerden von Nutzern, die Nachrichten verpassen, deshalb ignoriere ich Fehler am Ende, auch wenn die veröffentlichte Richtlinie besagt, dass man es anders machen sollte.
- TheChaplain
Wenn Sie Domains haben, die keine E-Mails nutzen, könnte es eine gute Idee sein, einige DNS-Einträge zu erstellen, um deren Nutzung zu verhindern.
DNS SPF-Eintrag: mydomain.io. TXT "v=spf1 -all"
DNS DMARC: _dmarc.mydomain.io. TXT "v=DMARC1; p=reject; sp=reject; adkim=s; aspf=s"
Das sollte jeden davon abhalten, Ihre Domains als Quelle zu verwenden.
- tgv
Der Artikel spricht über DMARC-Monitoring, aber nicht darüber, es zu "schreiben". So viele Organisationen sind zu klein, um jemanden zu haben, der sich um diese Dinge kümmert. Wo ich arbeite, verwaltete der CTO früher die DNS, aber mit sehr wenig Verständnis dafür, was all das bedeutet. Es war einfach nur Kopieren und Einfügen. Und ja, es steht auch p=none. Wahrscheinlich, weil es im Beispiel so stand. Es ist, als würde man eine Website für sein Unternehmen aufsetzen und irgendeine WordPress-Instanz auswählen: Wie soll man die Risiken kennen? Es ist einfach zu viel.
- jwr
Ich glaube wirklich, wir sollten ein viel größeres Problem lösen: Dass die großen E-Mail-Anbieter keinen automatisierten Weg zur Handhabung von Missbrauch bieten und sich überhaupt nicht um Missbrauchsmeldungen kümmern. Der Großteil meines Spams kommt von den drei großen E-Mail-Anbietern, und an diesem Punkt habe ich es sogar aufgegeben, Missbrauchsmeldungen zu senden, weil sie einfach ignoriert werden.
Die großen Unternehmen müssen sich nicht kümmern, denn niemand wird Google, Microsoft oder Amazon blockieren. Sie sind zu groß, um zu scheitern.
Das Spoofen eines From-Felds ist im Vergleich dazu ein unbedeutendes Problem.