Se cerchi una risposta secca: NO! Puoi rilassarti e andare a prendere un caffè. Ma se vuoi saperne di più, continua a leggere.
Recentemente sono apparsi su diversi media articoli piuttosto sensazionalistici che affermano che DMARC può essere aggirato a causa di lacune nel modo in cui i client di posta gestiscono l'intestazione ‘from’. Tuttavia, dopo aver esaminato le prove, riteniamo che non sia un problema di DMARC, ma una questione di cattiva implementazione da parte dei client di posta.
Confrontando la situazione con il recente bug delle password di Mac High Sierra OS non abbiamo visto nessuno sostenere che questo significhi che il concetto stesso di password sia difettoso. Piuttosto, si è intuitivamente capito che Apple aveva semplicemente commesso un errore nell’implementazione di un aggiornamento.
Cos'è Mailsploit?
Mailsploit è un bug di alcuni client di posta in cui un attaccante può ingannare un parser delle intestazioni email implementato ingenuamente facendo visualizzare all’utente informazioni errate.
Il metodo utilizzato non è nuovo: exploit come codifica dei caratteri, cross-site-scripting (XSS) e iniezione di byte nulli sono ben noti da tempo nella comunità software e semplici controlli di sicurezza durante lo sviluppo di quei client avrebbero potuto prevenire il problema.
Come funziona l’exploit Mailsploit?
L’attaccante codifica l’intestazione ‘from’ usando base64 o quoted-printable per includere un indirizzo email falsificato, ad esempio:
From: =?utf-8?b?cG90dXNAd2hpdGVob3VzZS5nb3Y=?==?utf-8?Q?=00?==?utf-8?b?cG90dXNAd2hpdGVob3VzZS5nb3Y=?=@mailsploit.com
Il modo corretto di analizzare la stringa sopra sarebbe decodificare ‘cG90dXNAd2hpdGVob3VzZS5nb3Y=’, che dà come risultato ‘potus@whitehouse.gov’, e ’00’ che è un byte nullo (rappresentato come ), ottenendo il seguente indirizzo email:
potus@whitehouse.govpotus@whitehouse.gov@mailsploit.com
Questo indirizzo email non è valido secondo l’RFC e dovrebbe essere mostrato come errore.
Quello che invece succede è che alcuni client di posta si fermano al byte nullo e ignorano il resto, visualizzando erroneamente l’email come ‘potus@whitehouse.gov’. Altri client analizzano tutta la stringa ma si fermano alla prima sequenza che sembra un indirizzo valido, anche qui ‘potus@whitehouse.gov’.
È colpa di DMARC?
No, se il parser fosse stato implementato correttamente, l’email non sarebbe stata recapitata. Come riportato dall’elenco pubblicato da Sabri Haddouche, provider enterprise come Google o Microsoft Office 365 non sono affetti dal problema (e i client colpiti lo hanno già risolto o sono in corso di aggiornamento); quindi si tratta solo di un altro bug software.
Il protocollo DMARC è innocente. Rimane ancora efficace. Se vuoi controllare rapidamente e facilmente la tua attuale configurazione SPF, DKIM e DMARC, usa il nostro strumento investigate gratuito.
