ARC | DMARC ARC

Что такое ARC (Authenticated Received Chain)?

ARC или Authenticated Received Chain - это система аутентификации электронной почты, которая отображает оценку аутентификации электронного сообщения на каждом этапе его обработки. В более простых терминах цепочка Authenticated Received может быть названа последовательностью проверки подлинности сообщений электронной почты, которая позволяет каждой организации, обрабатывающей сообщение, эффективно видеть все организации, которые ранее обрабатывали его. Как относительно новый протокол, опубликованный и задокументированный как "Экспериментальный" в RFC 8617 в июле 2019 года, ARC позволяет принимающему серверу проверять электронные сообщения, даже когда SPF и DKIM становятся недействительными на промежуточном сервере.

DMARC ARC

DMARC ARC - это эффективный способ обойти уязвимости, которые могут существовать в вашей системе аутентификации DMARC в результате пересылки электронной почты. Он сохраняет информацию об электронной почте таким образом, чтобы эти сообщения могли пройти проверку подлинности. Если вы хотите, чтобы неавторизованные письма блокировались, то отказы в доставке законных писем - это последнее, чего бы вам хотелось. DMARC ARC поддерживает последовательность проверки ваших писем на каждом этапе, чтобы гарантировать, что заголовки ваших писем останутся неизменными и будут переданы следующему посреднику в очереди.

Можно ли использовать ARC в качестве замены DMARC?

Ответ - нет. ARC был создан для последовательной передачи идентификаторов аутентификации на протяжении всего пути письма, независимо от того, через сколько промежуточных серверов оно проходит. ARC помогает сохранить результаты проверки DMARC, не позволяя третьим лицам и поставщикам почтовых ящиков изменять заголовки или содержимое сообщений. ARC определенно не является заменой DMARC, скорее, его можно использовать в дополнение к политике DMARC для дальнейшего повышения эффективности доставки электронной почты.

Как может помочь аутентифицированная полученная цепь?

Как мы уже знаем, DMARC позволяет аутентифицировать электронное письмо по стандартам аутентификации электронной почты SPF и DKIM, указывая получателю, как обращаться с письмами, которые не прошли или прошли аутентификацию. Однако, если вы внедрите в своей организации строгую политику DMARC, есть вероятность, что даже законные письма, например, отправленные через список рассылки или форвардер, могут не пройти проверку подлинности и не быть доставлены получателю! Authenticated Received Chain помогает эффективно решить эту проблему. Давайте узнаем, как это сделать в следующем разделе:

Ситуации, в которых ARC может помочь

  • Списки рассылки 

Будучи членом списка рассылки, вы имеете право отправлять сообщения всем членам списка за один раз, обращаясь к самому списку рассылки. Полученный адрес затем пересылает ваше сообщение всем членам списка. В текущей ситуации DMARC не проверяет эти типы сообщений, и проверка подлинности не проходит, даже если сообщение было отправлено из законного источника! Это происходит потому, что SPF ломается, когда сообщение пересылается. Так как список рассылки часто включает дополнительную информацию в тело письма, подпись DKIM также может быть недействительной из-за изменений в содержимом письма.

  • Пересылка сообщений 

При непрямом почтовом потоке, например, вы получаете письмо с промежуточного сервера, а не напрямую с сервера-отправителя, как в случае с пересылаемыми сообщениями, SPF прерывается, и ваша электронная почта автоматически не сможет пройти DMARC-аутентификацию. Некоторые пересылки также изменяют содержимое электронной почты, поэтому подписи DKIM также становятся недействительными.

 

 

В таких ситуациях Аутентифицированная Приобретенная Цепь приходит на помощь! Как? Давай узнаем:

Как функционирует DMARC ARC?

В вышеперечисленных ситуациях экспедиторы изначально получали электронные письма, которые были проверены на соответствие DMARC, из авторизованного источника. Authenticated Received Chain разрабатывается как спецификация, которая позволяет передавать заголовок Authentication-Results на следующий 'hop' в строке доставки сообщения.

В случае переадресованного сообщения, когда почтовый сервер получателя получает сообщение, которое не прошло проверку подлинности DMARC, он пытается проверить это сообщение второй раз, сопоставляя его с предоставленной цепью аутентифицированных полученных сообщений путем извлечения результатов проверки подлинности ARC (ARC Authentication-Results of the initial hop), чтобы проверить, было ли оно проверено на легитимность, прежде чем сервер-посредник переадресовал его на сервер-получатель.

На основе извлеченной информации, получатель решает, позволить ли результаты ARC отменить политику DMARC, таким образом, передавая электронную почту как подлинную и действительную и позволяя ей быть доставленной в обычном порядке в почтовый ящик получателя.

С реализацией ARC, получатель может эффективно аутентифицировать электронную почту с помощью следующей информации:

  • Результаты аутентификации, засвидетельствованные промежуточным сервером, вместе со всей историей проверки SPF и DKIM, приводят к начальному прыжку.
  • Необходимая информация для проверки подлинности отправленных данных.
  • Информация для связи отправленной подписи с сервером-посредником, чтобы электронная почта была подтверждена на сервере-получателе, даже если посредник изменяет содержание, при условии, что они пересылают новую и действующую подпись DKIM.

Реализация аутентифицированной полученной цепочки

ARC определяет три новых почтовых заголовка:

  • АРК-Аутентификация-Продукты (AAR): Первым среди почтовых заголовков является AAR, которая инкапсулирует результаты аутентификации, такие как SPF, DKIM и DMARC.

  • ARC-Seal (AS) - AS является более простой версией подписи DKIM, которая содержит информацию о результатах аутентификации заголовка, и подписи ARC.

  • ARC-подпись сообщения (AMS) - AMS также похожа на подпись DKIM, которая берет изображение заголовка сообщения, которое включает в себя все, кроме заголовков ARC-Seal, таких как поля To: и From:, тема и все тело сообщения.

Шаги, выполняемые промежуточным сервером для подписания модификации:

Шаг 1: сервер копирует поле Authentication-Results в новое поле AAR и префиксом к сообщению

Шаг 2: сервер формулирует AMS для сообщения (с AAR) и подготавливает его к сообщению.

Шаг 3: сервер формулирует AS для предыдущих заголовков ARC-Seal и добавляет его в сообщение.

Наконец, чтобы проверить цепочку аутентифицированных полученных сообщений и выяснить, является ли пересылаемое сообщение легитимным или нет, получатель проверяет цепочку или заголовки ARC Seal и новейшую подпись ARC-Message-Signature. Если в случае DMARC ARC-заголовки были каким-либо образом изменены, электронное письмо, соответственно, не проходит DKIM-аутентификацию. Однако, если все почтовые серверы, участвующие в передаче сообщения, правильно подписывают и передают ARC, то письмо сохраняет результаты DKIM-аутентификации и проходит DMARC-аутентификацию, что приводит к успешной доставке сообщения в почтовый ящик получателя!

Реализация ARC создает резервные копии и поддерживает внедрение DMARC в организациях, чтобы гарантировать, что каждая законная электронная почта будет аутентифицирована без единого пропуска. Зарегистрируйтесь на бесплатную пробную версию DMARC уже сегодня!