SPF란 무엇인가요? RFC 7208에 언급된 이메일 SPF는 사칭으로부터 조직을 보호하는 이메일 인증 표준입니다. 고객의 이메일 보안에 대한 가장 큰 위협은 공격자가 브랜드 이름과 도메인을 사용하여 가짜 메시지를 보내는 것입니다. 이러한 피싱 이메일은 고객이 그 차이를 알지 못할 정도로 그럴듯하게 꾸며져 결국 사기의 희생양이 될 수 있습니다. 이렇게 되면 브랜드 이미지와 이메일 제공업체에 대한 평판이 모두 손상되어 실제 이메일이 고객의 받은 편지함에 도달할 가능성이 낮아집니다.
SPF가 무엇인지 알아보려면 이 기술이 처음 도입된 2000년대 초반으로 거슬러 올라가야 합니다. SPF 발신자 정책 프레임워크는 메일 수신자가 이메일 메시지의 소스 도메인을 확인할 수 있도록 하는 인증 방법입니다. 2000년대 초반에는 이메일 인증 방법에 대한 몇 가지 제안이 있었습니다. 그중에는 Hadmut Danisch의 '리버스 MX(RMX)'와 Gordon Fecyk의 '지정 메일러 프로토콜(DMP)'이 있었습니다.
그러나 이 두 가지 제안은 2003년 포박스 설립자이자 싱가포르의 저명한 기업가인 멩 웡 웡에 의해 통합되었습니다. 그 후 몇 년 동안 전문가와 보안 공학자들이 SPF에 대한 제안을 하면서 몇 가지 변경 작업이 진행되었습니다.
2005년에 이메일 SPF는 인터넷 엔지니어링 태스크포스(IETF)의 실험 표준으로 인정받았습니다. 마침내 2006년에 SPF는 RFC 4408을 사양(실험용)으로 발표되었습니다.
SPF는 이전에는 발신자 허용 범위(SMTP+SPF라고도 함)의 약자였습니다. 2004년 2월, SPF는 오늘날 우리에게 친숙한 대중적인 약어로 알려지게 되었습니다: 발신자 정책 프레임워크입니다.
역사에서 한 걸음 더 나아가 SPF의 현재 상태를 확인해 보겠습니다. 현재 사용 중인 SPF의 버전은 2.0이며 2014년의 RFC 7208에 정의되어 있습니다. 현재 Microsoft(Outlook), Google(Gmail), Yahoo Mail, AOL, Hotmail/Outlook Live 등과 같은 모든 주요 이메일 제공업체에서 지원되고 있습니다.
원래 SPF는 이메일 발신자가 메일을 보낼 수 있는 서버를 선언할 수 있도록 하여 이메일 스푸핑과 이메일 피싱을 방지하기 위해 고안되었습니다. 그 이후로 이 프로토콜은 다양한 방식으로 발전하여 거의 모든 유명 이메일 서버에서 어떤 형태로든 구현되고 있습니다.
그러나 동시에 이 기능을 사용하는 많은 기업에서 여전히 오해를 받고 있으며, 그 결과 잘못 사용되거나 잘못 구성되는 경우가 많습니다. 바로 이런 문제를 해결하기 위해 PowerSPF가 등장했습니다!
SPF 레코드는 메일 서버의 동작을 정의할 수 있는 DNS 레코드입니다. 이 레코드는 메일이 전달되는 것을 방지하는 데 사용되며, 메일 클라이언트에서 발신자를 알 수 없는 메시지를 표시할지 여부를 결정하는 데도 사용됩니다.
아래는 SPF 레코드 예시입니다:
이 레코드는 192.168.0.0/16의 서버를 통해 전송되는 모든 메시지에 대해 호스트 집합을 유효한 발신자로 정의하지만, 이메일 인프라에서 다른 서버가 어떻게 구성되어 있는지에 따라 로컬로 전달될 수도 있고 인터넷의 다른 서버에서 전달될 수도 있습니다(나중에 자세히 설명할 것임).
SPF가 조직에 어떤 도움이 되는지 궁금하다면 여기 있습니다! 발신자 정책 프레임워크(SPF)는 이메일 보안을 위해 가장 초기에 도입되어 가장 널리 사용되는 업계 표준 중 하나입니다. 명시적으로 승인된 발신자만 도메인에서 이메일을 보낼 수 있도록 허용하고 그 외의 모든 발신자는 차단하는 간단한 개념으로 작동합니다. 도메인에 SPF를 구현하면 다음과 같은 일이 발생합니다:
발신자의 IP가 목록에 있는 IP와 일치하면 인증이 완료되어 대상 받은 편지함으로 전송됩니다. 일치하지 않으면 이메일이 인증에 실패하여 서버에서 거부됩니다.
타사 공급업체를 위한 SPF란 무엇인가요? 타사 공급업체를 SPF에 맞게 조정하려면 도메인 레코드에 해당 공급업체 고유의 IP 주소 또는 SPF 처리 도메인을 포함시켜야 합니다. 하지만 주의할 점은 여러 개의 SPF 레코드 포함하지 마세요!
예를 들어, 이메일 발신자로 SuperEmails.net을 사용 중이고 해당 도메인의 SPF 처리 도메인이 spf.superemails.net인 경우 SPF 레코드가 될 수 있습니다:
v=spf1 include:spf.superemails.net -all
저희가 도와드리겠습니다. 트위터의 지식에는 유명 타사 이메일 공급업체 목록과 각 공급업체의 프로토콜을 구성하는 방법에 대한 구체적인 지침이 포함되어 있습니다.
SPF는 스팸 및 위조된 발신자 주소로부터 도메인을 보호하지만 모든 것이 완벽하지는 않습니다! 예를 들어
마지막 두 가지 제한 사항은 동적 기능을 사용하여 쉽게 우회할 수 있습니다. SPF 평탄화 도구를 사용하여 쉽게 우회할 수 있습니다.
