Falls Sie eine Ja-oder-Nein-Antwort suchen: NEIN! Sie können sich also beruhigt zurücklehnen und sich einen Kaffee holen. Wenn Sie mehr erfahren möchten, lesen Sie gerne weiter.
Vor Kurzem sind in verschiedenen Medien eher reißerische Artikel erschienen, die behaupten, DMARC könne umgangen werden, weil E-Mail-Clients den „From“-Header nicht korrekt verarbeiten. Nach Prüfung der vorgelegten Belege vertreten wir jedoch die Ansicht, dass es sich nicht um ein DMARC-Problem, sondern um eine schlechte Implementierung der E-Mail-Clients handelt.
Vergleicht man das mit dem jüngsten Passwort-Fehler im Mac High Sierra OS, dürften wohl nur wenige behauptet haben, das Konzept von Passwörtern sei dadurch generell fragwürdig geworden. Vielmehr war allen klar, dass Apple bei der Implementierung eines Updates einen Fehler gemacht hatte.
Was ist Mailsploit?
Mailsploit ist ein Fehler in manchen E-Mail-Clients, bei dem ein Angreifer durch eine naive Auswertung des E-Mail-Headers den Benutzer in die Irre führen kann.
Die Methode ist keineswegs neu: Exploits wie Zeichenkodierung, Cross-Site-Scripting (XSS) und Null-Byte-Injektionen sind der Software-Community lange bekannt und grundlegende Sicherheitsprüfungen bei der Entwicklung solcher E-Mail-Clients hätten das Problem verhindern können.
Wie funktioniert der Mailsploit-Exploit?
Der Angreifer kodiert den „From“-Header etwa mit base64 oder als quoted-printable, um die gefälschte E-Mail-Adresse einzufügen, z. B.:
From: =?utf-8?b?cG90dXNAd2hpdGVob3VzZS5nb3Y=?==?utf-8?Q?=00?==?utf-8?b?cG90dXNAd2hpdGVob3VzZS5nb3Y=?=@mailsploit.com
Die richtige Art, obigen String zu interpretieren, wäre, ‚cG90dXNAd2hpdGVob3VzZS5nb3Y=‘ zu dekodieren, was ‚potus@whitehouse.gov‘ ergibt, sowie ‚00‘, was ein Null-Byte darstellt (repräsentiert als ), also die folgende E-Mail-Adresse ergibt:
potus@whitehouse.govpotus@whitehouse.gov@mailsploit.com
Diese Adresse ist laut RFC ungültig und sollte als Fehler angezeigt werden.
Tatsächlich halten jedoch manche E-Mail-Clients beim Null-Byte an und ignorieren den Rest. Dadurch wird die E-Mail fälschlicherweise als ‚potus@whitehouse.gov‘ angezeigt. Andere Clients analysieren die ganze Zeichenkette, stoppen jedoch bei der ersten gültigen E-Mail-Adresse – wiederum ‚potus@whitehouse.gov‘.
Ist DMARC schuld?
Nein, bei korrekter Implementierung hätte der Parser die E-Mail-Zustellung verweigern müssen. Laut der von Sabri Haddouche veröffentlichten Liste sind Enterprise-Anbieter wie Google oder Microsoft Office 365 von dem Fehler nicht betroffen (und betroffene Clients wurden entweder bereits gepatcht oder das Update ist in Arbeit). Es handelt sich also schlicht um einen weiteren Software-Bug.
Das DMARC-Protokoll trifft keine Schuld. Es bleibt wirksam. Möchten Sie Ihr aktuelles SPF-, DKIM- und DMARC-Setup schnell und einfach prüfen? Nutzen Sie unser kostenloses Investigate-Tool.
