L'IETF chiede la fine dell'esperimento ARC: cosa significa per l'autenticazione email

L'IETF ha pubblicato una bozza che raccomanda di contrassegnare ARC (Authenticated Received Chain) come "Obsoleto" dopo un esperimento durato 10 anni. ARC era stato progettato per preservare l'autenticazione email quando intermediari come mailing list e sistemi di inoltro modificavano i messaggi, ma non è riuscito a fornire una soluzione scalabile a causa della mancanza di un sistema di reputazione a livello di internet. Gli insegnamenti tratti dall'esperimento saranno incorporati in DKIM2, il successore di nuova generazione di DKIM.

Per le organizzazioni, questo significa continuare a concentrarsi su SPF, DKIM e DMARC come base della sicurezza email, che restano requisiti obbligatori richiesti dai principali provider di posta in arrivo.

Red Sift OnDMARC aiuta le organizzazioni a raggiungere il pieno enforcement DMARC in 6-8 settimane, proteggendo da spoofing e phishing mantenendo al contempo la deliverability delle email in tutti gli scenari di intermediazione e inoltro.

L'Internet Engineering Task Force (IETF) ha pubblicato una bozza che chiede la conclusione dell'esperimento ARC (Authenticated Received Chain) e raccomanda che RFC8617 venga contrassegnato come "Obsoleto". Ciò segna la fine di uno sforzo decennale volto a risolvere una delle sfide più persistenti dell'autenticazione email: cosa succede quando intermediari legittimi modificano i messaggi e interrompono DMARC.

Dopo la diffusione di DMARC, che ha allineato SPF e DKIM con i domini dell'autore e fornito l'enforcement delle policy, è emersa una lacuna critica: l'inoltro e le modifiche delle mailing list interrompevano spesso l'autenticazione, causando il fallimento dei controlli DMARC per email legittime.

ARC è stato introdotto come protocollo sperimentale per affrontare questo problema, creando una "catena di custodia" crittografica per le email. Il concetto era semplice: ogni intermediario che gestiva un messaggio (mailing list, sistemi di inoltro, gateway) poteva:

1. Registrare i risultati di autenticazione osservati
2. Firmare crittograficamente queste osservazioni
3. Creare una catena verificabile che mostrasse cosa era accaduto lungo il percorso del messaggio

L'obiettivo era permettere ai destinatari a valle di vedere che, sebbene l'autenticazione corrente potesse essere compromessa, il messaggio era legittimo quando era stato inviato originariamente.

ARC definiva tre campi header che gli intermediari potevano aggiungere ai messaggi:

• ARC-Authentication-Results: Quali risultati di autenticazione l'intermediario ha osservato
• ARC-Message-Signature: Una firma del messaggio e degli header ARC precedenti
• ARC-Seal: Una firma che vincola insieme l'intera catena

Ogni gestore avrebbe aggiunto il proprio set di questi header, costruendo una catena che i valutatori a valle potevano verificare. Se la catena era valida, i destinatari potevano potenzialmente fidarsi che il messaggio fosse legittimo nonostante gli attuali fallimenti di autenticazione.

Dopo 10 anni di esperienza operativa, la bozza dell'IETF individua diverse ragioni critiche per cui ARC non ha raggiunto i suoi obiettivi:

ARC poteva verificare che gli intermediari avessero partecipato alla catena, ma non poteva trasmettere fiducia. Senza un modo per determinare quali, tra le migliaia di potenziali intermediari, fossero affidabili, i destinatari non potevano ignorare in modo sicuro i fallimenti DMARC basandosi solo su ARC. Le liste di autorizzazione ad hoc si sono rivelate insufficienti e costose da mantenere.

ARC mostrava che un messaggio era stato modificato, ma non cosa fosse stato cambiato o perché. Questo lasciava l'interpretazione interamente ai valutatori e alla loro capacità di valutare la reputazione degli intermediari, un onere che si è rivelato operativamente impraticabile su scala internet.

La separazione tra "verifica" e "fiducia" ha creato rischi. Gli attaccanti potevano instradare i messaggi attraverso intermediari permissivi o compromessi per ottenere un trattamento favorevole, aggirando di fatto il sistema.

Il numero di potenziali sistemi di inoltro e intermediari è enorme e in continua evoluzione. Mantenere i registri di reputazione per tutti loro si è rivelato irrealistico e, dopo 10 anni, non è emerso alcun sistema di reputazione su scala internet, né ce n'è uno in programma.

Il problema dell'inoltro che ha motivato ARC rimane reale. Quando i messaggi vengono inoltrati tramite mailing list o regole di inoltro automatico:

• SPF fallisce perché l'infrastruttura di inoltro appare come l'IP mittente
• DKIM spesso fallisce quando i sistemi di inoltro modificano header o corpi del messaggio
• DMARC fallisce di conseguenza, potenzialmente bloccando email legittime

Tuttavia, la bozza dell'IETF chiarisce che l'approccio di ARC—basarsi sulla reputazione degli intermediari senza un framework di fiducia scalabile—non è la soluzione.

Invece, gli elementi utili di ARC (asserzioni firmate sulla gestione) saranno incorporati in DKIM2, il proposto successore di DKIM. DKIM2 mira ad affrontare in modo più completo attacchi replay, pattern di instradamento moderni e gestione degli intermediari, senza richiedere catene di firme parallele o sistemi di reputazione hop-by-hop.

• Continuare a concentrarsi su SPF, DKIM e DMARC: I fondamentali non sono cambiati. SPF, DKIM e DMARC restano la base dell'autenticazione email e sono richiesti dai principali provider di posta in arrivo, tra cui Google, Yahoo e Microsoft, per i mittenti di grandi volumi.
• Non implementare nuove implementazioni ARC: La bozza dell'IETF raccomanda che ARC non venga più implementato o utilizzato tra mittenti e destinatari disparati. Qualsiasi elaborazione ARC residua dovrebbe essere trattata solo a scopo diagnostico. Nota: A meno che la tua organizzazione non stia costruendo un'infrastruttura di posta, è improbabile che questo sia rilevante.
• Prepararsi per DKIM2: Man mano che DKIM2 si sviluppa e incorpora gli insegnamenti tratti dall'esperimento ARC, le organizzazioni dovrebbero rimanere informate sull'evoluzione degli standard di autenticazione email.
• Mantenere un forte enforcement DMARC: Indipendentemente dal problema dell'inoltro, DMARC in enforcement (p=reject o p=quarantine) rimane la protezione più efficace contro lo spoofing di dominio esatto e gli attacchi di phishing.

Red Sift OnDMARC si concentra su ciò di cui le organizzazioni hanno bisogno oggi: implementazione rapida e affidabile di SPF, DKIM e DMARC per proteggersi dallo spoofing e mantenere la deliverability.

• Implementazione rapida: La maggior parte delle organizzazioni raggiunge il pieno enforcement DMARC in 6-8 settimane grazie a guida automatizzata e test in tempo reale tramite Red Sift Investigate
• SPF dinamico: Aggira il limite di 10 lookup senza macro, garantendo la deliverability anche in infrastrutture di invio complesse
• Gestione automatizzata: Controlla i record SPF, DKIM, DMARC, BIMI e MTA-STS da un'unica dashboard con una sola modifica DNS
• DNS Guardian: Monitoraggio continuo per configurazioni DNS errate e attacchi ai sottodomini che aggirano DMARC
• Risoluzione dei problemi basata su IA: Red Sift Radar risolve i problemi di autenticazione 10 volte più velocemente grazie a insight basati su LLM
• Visibilità chiara: Le dashboard in tempo reale trasformano i complessi report DMARC in informazioni operative

Perché le organizzazioni scelgono Red Sift

Red Sift OnDMARC è la soluzione DMARC numero 1 in EMEA con una valutazione G2 di 4,9/5, scelta da oltre 1.200 organizzazioni tra cui Save the Children, ZoomInfo, Wise e Holland & Barrett.

Il nostro pluripremiato team di customer success ti guida in ogni fase, dall'implementazione al pieno enforcement, garantendoti di ottenere protezione rapidamente senza interrompere la consegna delle email legittime.

La conclusione dell'esperimento ARC rafforza ciò che i team di sicurezza già sanno: un'autenticazione email efficace inizia con SPF, DKIM e DMARC implementati correttamente.

Red Sift OnDMARC rende tutto ciò realizzabile per organizzazioni di ogni dimensione, con automazione di livello enterprise, guida esperta e tecnologia all'avanguardia.