DMARC

aus Wikipedia, der freien Enzyklopädie
Zur Navigation springen Zur Suche springen

Domain-based Message Authentication, Reporting and Conformance (DMARC) ist eine Spezifikation, die entwickelt wurde, um Missbrauch von E-Mails zu reduzieren. Sie versucht einige seit langem bestehende Unzulänglichkeiten im Zusammenhang mit Authentifizierungsproblemen beim E-Mail-Versand zu beheben und wurde bei der IETF zur Standardisierung eingereicht.[1]

Überblick[Bearbeiten | Quelltext bearbeiten]

DMARC baut auf den bekannten Techniken SPF (Sender Policy Framework) und DKIM (DomainKeys Identified Mail) auf, indem es festlegt, wie der Empfänger von E-Mails die Authentifizierung durchführen soll. Während die vorgenannten Techniken beschreiben, wer eine Mail versenden darf (SPF) bzw. dass diese Mail in bestimmter Weise unverändert vom Absender stammt (DKIM), kann der Absender nach der DMARC-Spezifikation zusätzlich Empfehlungen geben, auf welche Art der Empfänger mit einer Mail umgeht, die in einem oder beiden Fällen nicht den Anforderungen entspricht. Sofern der Empfänger einer E-Mail die DMARC-Spezifikation anwendet, ist dadurch eine konsistente Überprüfung der Authentizität dieser E-Mail gesichert.

Aufbau eines Eintrags[Bearbeiten | Quelltext bearbeiten]

DMARC bedient sich hierzu, wie auch SPF und DKIM, der TXT-Records des Domain Name Systems (DNS). Dort wird zusätzlich zu den SPF- und DKIM-Einträgen ein weiterer RR-Eintrag mit zum Beispiel folgendem Aufbau angelegt:

v=DMARC1;p=quarantine;pct=100;rua=mailto:postmaster@example.org;ruf=mailto:forensik@example.org;adkim=s;aspf=r
Abkürzung Bedeutung
v Protokollversion
pct Prozentualer Anteil der zu filternden Mails
ruf Forensischer Report wird versandt an:
rua Aggregierter Report wird versandt an:
p Anweisung, wie mit Mails der Hauptdomäne zu verfahren ist.
sp Anweisung, wie mit Mails der Subdomäne zu verfahren ist.
adkim Abgleichmodus für DKIM
aspf Abgleichmodus für SPF

Besondere Bedeutung haben die Abgleichmodi. Für SPF fordert die Spezifikation, dass erstens die Überprüfung positiv ausfällt und zweitens die From: Kopfzeile der Mail dieselbe Domäne aufweist, wie im SPF-Record hinterlegt. Für DKIM wird gefordert, dass die Signatur gültig ist und zusätzlich die dort genannte Domäne dieselbe ist, wie in der From: Kopfzeile der Mail. Als Abgleichmodi sind s='strict' bzw. r='relaxed' vorgesehen. Bei 'strict' müssen die Domänen exakt übereinstimmen, bei 'relaxed' darf die From: Kopfzeile auch eine Subdomäne enthalten. Über die Auswertung erhält der Sender einen täglichen Report an die genannte Adresse.

Die Policy (hier abgekürzt als 'p' bzw. 'sp' für Subdomains) legt schließlich fest, wie der Empfänger mit der Mail verfahren soll, wenn die Überprüfung scheitert. Vorgesehene Modi hierfür sind 'none', 'quarantine' und 'reject'. 'none' (auch als Monitormodus bezeichnet) wird in der Regel zum Testen verwendet und macht dem Empfänger keine Vorschriften über die Verfahrensweise. 'quarantine' verlangt die Kennzeichnung der Mails als Spam, 'reject' verlangt, die Mail zu verwerfen.

Die DMARC-Spezifikation entstand unter anderem auf Initiative von Google, Yahoo, Microsoft, Facebook, AOL, PayPal und LinkedIn.[2][3]

Kritik[Bearbeiten | Quelltext bearbeiten]

DMARC überprüft den From-Header der E-Mails und stellt an diesen strenge Anforderungen (sog. „alignment“). Im Zusammenhang mit E-Mail-Weiterleitungen und Mailinglisten ist dies bei älterer Mailinglistensoftware problematisch, da DMARC verlangt, dass die Absenderangabe im From-Header von E-Mails den geänderten Absender angepasst wird. Es muss RFC-konform die angegebene E-Mail-Adresse des Absenders durch die E-Mail-Adresse der Mailingliste bzw. die eigene E-Mail-Adresse ersetzt werden.[4] Beispiel:

From: Nutzer <user@example.org>
Subject: ...
To: wikide-l@lists.wikimedia.org

muss durch die Mailinglistensoftware folgendermaßen abgeändert werden:

From: Nutzer via wikide-l <wikide-l@lists.wikimedia.org>
Subject: ...
To: wikide-l@lists.wikimedia.org

Die E-Mail-Adresse des wirklichen Absenders wird bei dieser einfachen Ersetzung komplett entfernt, so dass es nicht mehr möglich ist, mit dem Absender direkt in Kontakt zu treten. Eine Option besteht darin, dass die Mailingliste den ursprünglichen Absender in alternativen Kopfdaten wie den Reply-To-Header einfügt, was aber ebenfalls zu Problemen führen kann.

DMARC fordert Änderungen an älteren Mailinglisten- und Weiterleitungssoftware welche nicht RFC 6377 entspricht. Das Konzept von DMARC hat im Zuge der Umstellungsphase auch zu Problemen bei veralteter Mailinglisten geführt.[5]

Normen und Standards[Bearbeiten | Quelltext bearbeiten]

  • RFC 7489 – Domain-based Message Authentication, Reporting, and Conformance (DMARC), 2015

Weblinks[Bearbeiten | Quelltext bearbeiten]

Einzelnachweise[Bearbeiten | Quelltext bearbeiten]

  1. Draft Stand: 15. Juli 2013 im IETF Datatracker
  2. Golem-Artikel vom 30. Januar 2012
  3. Focus-Artikel vom 30. Januar 2012
  4. Nachrichten DMARC-konform mit Mailman verteilen
  5. Heise Newsletter: DMARC-Policy: Yahoo killt Mailinglisten-Mitgliedschaften