เจาะลึก 152 โดเมนดัง: วัดจริงความปลอดภัยอีเมล SPF-DMARC
ผลตรวจ DNS สดจาก 152 โดเมนชั้นนำระดับโลก ชี้พื้นฐานความปลอดภัยอีเมลอย่าง SPF และ DMARC ถูกใช้งานแพร่หลายและบังคับใช้เข้มงวด แต่มาตรฐานใหม่ยังต่ำ
ภาพประกอบจากคลังภาพสต็อก ไม่ใช่ภาพจากเหตุการณ์จริง
- ตรวจสอบ DNS สดของ 152 โดเมนชั้นนำเพื่อวัดการใช้ SPF, DMARC และ MTA-STS
- โดเมนส่วนใหญ่บังคับใช้นโยบาย DMARC ขั้นเข้มงวดแบบ p=reject มากกว่าแค่เฝ้าระวัง
- มาตรฐานขนส่งอีเมลเข้ารหัสอย่าง MTA-STS ยังมีอัตราการใช้งานต่ำมากเพียง 9.2%
- ความยุ่งยากในการตั้งค่าคืออุปสรรคสำคัญที่ทำให้ MTA-STS ยังไม่แพร่หลาย
ระบบความปลอดภัยอีเมลอย่าง SPF, DMARC และ MTA-STS ทำหน้าที่เป็นบันทึก DNS สำคัญที่ช่วยป้องกันไม่ให้ผู้ไม่หวังอ้างชื่อโดเมนเพื่อส่งอีเมลปลอม แม้ผู้เชี่ยวชาญจะแนะนำให้ตั้งค่าเหล่านี้อย่างต่อเนื่อง แต่สถานการณ์จริงในกลุ่มเว็บไซต์ชั้นนำยังคงเป็นที่น่าสงสัย นักวิจัยจึงได้ทำการสืบค้นข้อมูล DNS สดจาก 152 โดเมนที่มีผู้ใช้งานมากที่สุด เพื่อตรวจสอบว่าเว็บไซต์แถวหน้าของโลกเหล่านี้มีการป้องกันอีเมลจริงหรือไม่ โดยผลลัพธ์สรุปได้ว่าพื้นฐานความปลอดภัยถูกจัดการได้ดีแล้ว แต่อีกหลายมาตรฐานยังคงถูกละเลย
จากการตรวจสอบ 152 โดเมน พบว่ามี 146 โดเมนที่รับอีเมลจริงผ่านการประกาศ MX record โดยในกลุ่มนี้มีอัตราการใช้งานบันทึกความปลอดภัยพื้นฐานในระดับที่สูงมากเกือบทั้งหมด ยกเว้นมาตรฐานใหม่ที่ตกลงมาอย่างเห็นได้ชัด
การมีบันทึก DMARC อย่างเดียวอาจเป็นเพียงรูปแบบภายนอก เนื่องจากนโยบาย p= จะเป็นตัวกำหนดว่าเซิร์ฟเวอร์ปลายทางควรจัดการอย่างไรกับอีเมลที่ไม่ผ่านการตรวจสอบสิทธิ์ ดังนั้นคำถามที่แท้จริงจึงไม่ใช่แค่ว่าติดตั้ง DMARC หรือยัง แต่เป็นการตั้งค่าบังคับใช้จริงจังแค่ไหน ซึ่งจากผลสำรวจพบว่าเว็บไซต์ระดับบนสุดให้ความสำคัญในจุดนี้ โดยมีถึง 114 จาก 152 โดเมนเลือกใช้นโยบาย p=reject ซึ่งเป็นค่าที่เข้มงวดที่สุด มี 26 โดเมนใช้ p=quarantine และมีเพียง 10 โดเมนเท่านั้นที่ตั้งค่าเป็น p=none สำหรับการเฝ้าระวังอย่างเดียว
ภาพประกอบจากคลังภาพสต็อก ไม่ใช่ภาพจากเหตุการณ์จริง
ตัวเลขดังกล่าวสะท้อนให้เห็นว่า 75% ของทั้งหมดเลือกใช้นโยบายที่เข้มงวดที่สุด และ 93% ของผู้ที่เผยแพร่ DMARC ได้ทำการบังคับใช้จริงจัง การปล่อยให้นโยบายค้างไว้ที่ p=none ตลอดไปจึงเป็นเรื่องที่พบได้น้อยมากในกลุ่มโดเมนขนาดใหญ่เหล่านี้
การที่โดเมนชั้นนำส่วนใหญ่เลือกใช้ p=reject แทนที่จะเป็น p=none แสดงถึงความมั่นใจในโครงสร้างพื้นฐานอีเมลขององค์กร เพราะการตั้งค่าแบบปฏิเสธเมลปลอมทันทีช่วยลดความเสี่ยงการถูกฟิชชิ่งได้อย่างเด็ดขาด แต่อาจส่งผลกระทบหากตั้งค่าระบบภายในไม่รัดกุมพอ การที่กลุ่มนี้ทำได้สำเร็จจึงบ่งบอกถึงความพร้อมทางเทคนิคขั้นสูง
แม้ SPF และ DMARC จะช่วยยืนยันตัวผู้ส่งอีเมลได้ แต่กลับไม่มีผลใดๆ กับวิธีการเดินทางของข้อมูลระหว่างเซิร์ฟเวอร์อีเมล ซึ่งมาตรฐาน MTA-STS เข้ามาอุดช่องว่างนี้ด้วยการประกาศนโยบายบังคับส่งผ่าน TLS เสมอและห้ามลดระดับลงเป็นข้อความธรรมดา เพื่อป้องกันการถูกดักฟังระหว่างทาง โดยในกลุ่มโดเมนชั้นนำเหล่านี้มีสัดส่วนการใช้งาน MTA-STS เพียง 9.2% เท่านั้น
สาเหตุหลักมาจากเรื่องของความยุ่งยากในการตั้งค่า เนื่องจาก SPF และ DMARC ใช้บันทึก TXT เพียงบรรทัดเดียว แต่ MTA-STS จำเป็นต้องมีไฟล์นโยบายบนโฮสต์ใต้ซับโดเมน mta-sts พร้อมกับบันทึก DNS เพิ่มเติม ทำให้มีขั้นตอนที่ซับซ้อนกว่า หลายองค์กรจึงยังไม่ได้ดำเนินการ หากคุณตั้งค่า DMARC เรียบร้อยแล้วและต้องการยกระดับความปลอดภัยขั้นถัดไป MTA-STS คือคำตอบที่จะทำให้คุณก้าวล้ำนำหน้า
ที่มา: Dev.to
พบข้อมูลผิดพลาดในบทความนี้? แจ้งปัญหาบทความนี้
ความคิดเห็น
แสดงความคิดเห็น