利用DKIM來(lái)做基于電子郵件網(wǎng)絡(luò)釣魚
DKIM從From標(biāo)頭欄位方式去認(rèn)證域名和電子郵件的關(guān)連性
在最近電子郵件認(rèn)證工作小組（Domain Keys Identified Mail, DKIM）所結(jié)束的討論中，這個(gè)互聯(lián)網(wǎng)工程團(tuán)隊(duì)（Internet Engineering Tasks Force, IETF）底下的小組，有部分成員已經(jīng)決定不去理會(huì)現(xiàn)在已經(jīng)有效的被用于社交工程攻擊的網(wǎng)絡(luò)釣魚Phishing相關(guān)威脅。他們并不去驗(yàn)證DKIM的輸入，而只是依賴于特別去處理DKIM的結(jié)果。部分成員認(rèn)為去檢驗(yàn)可能導(dǎo)致在DKIM認(rèn)證基礎(chǔ)下，會(huì)讓使用者接收到高度欺騙性郵件的元素是違反協(xié)定層的作法。
詳情很簡(jiǎn)單，原本的用意也是好的。DKIM希望用最簡(jiǎn)單的方式去認(rèn)證域名和電子郵件的關(guān)連性，就是從From標(biāo)頭欄位。這關(guān)連性可以成為接收郵件的基礎(chǔ)，但未能提供預(yù)期的保護(hù)，因?yàn)楫?dāng)郵件包含無(wú)效或造假的元素時(shí)，DKIM仍然會(huì)提供一個(gè)有效的認(rèn)證。 雖然宣告這類郵件因?yàn)榫哂袩o(wú)效或造假的元素而無(wú)法獲得有效認(rèn)證并不違反協(xié)定，不過(guò)有些人認(rèn)為并非如此。
破解DKIM的方法
1.取得一個(gè)DKIM簽證過(guò)的免費(fèi)電子郵件帳戶。
2.寄給自己一封屬于敏感性質(zhì)的信件。像是社交網(wǎng)站的信息。
3.在原本的郵件標(biāo)頭前加上會(huì)被DKIM忽略的假From標(biāo)頭欄位，讓收件者誤判郵件的來(lái)源。當(dāng)然，該郵件可能包含一個(gè)外部連結(jié)，提示收件者如果要知道詳情就連上這外部連結(jié)。而這外部連結(jié)可能會(huì)嘗試做些零日攻擊，或要求額外的個(gè)人資料，如收件人的社交網(wǎng)站個(gè)人頁(yè)面來(lái)做進(jìn)一步的攻擊。
4.利用DKIM對(duì)于信息重發(fā)的不敏感，壞人可以利用郵件列表來(lái)重送這封郵件給他們鎖定的受害者，這封郵件有著有效的認(rèn)證，而且壞人可以將From標(biāo)頭欄位設(shè)定成任何他們想要的電子郵件位址。
和DKIM基于加密的認(rèn)證所需要花費(fèi)的精力比起來(lái)，不去忽略多個(gè)From標(biāo)頭欄位其實(shí)是容易的多。DKIM是基于RFC5322，雖然SMTP還是允許RFC822相容的郵件，但它規(guī)定了特定標(biāo)頭欄位的合法編號(hào)。DKIM應(yīng)該也在從使用RFC3490換成使用RFC5890時(shí)，確保會(huì)防止Fake A-Labels（無(wú)效的IDNA-Labels）的使用。
RFC5890定義了一個(gè)額外的3,329字元（code-points）是非法的，而現(xiàn)在在國(guó)際化字串準(zhǔn)備（String Prep）被移除時(shí)允許德文的esset和希臘文的final sigma等字元。不幸的是，DKIM不想認(rèn)真的去確保關(guān)鍵的標(biāo)頭欄位的合法性，也不去檢查被拿來(lái)確認(rèn)DKIM認(rèn)證的公鑰所用的域名。
決定去忽略電子郵件額外的From標(biāo)頭欄位，而仍然傳回一個(gè)有效的認(rèn)證結(jié)果（DKIM的唯一輸出），讓它變成一個(gè)邪惡的協(xié)定。為什麼邪惡呢，因?yàn)橐坏┦占哒J(rèn)為他們現(xiàn)在可以相信顯示的From標(biāo)頭欄位，但實(shí)際上這協(xié)定在檢查認(rèn)證時(shí)會(huì)忽略或通過(guò)多個(gè)From標(biāo)頭欄位，所以這會(huì)將收件者置于更大的風(fēng)險(xiǎn)當(dāng)中。
DKIM做基于電子郵件網(wǎng)絡(luò)釣魚的分析就為大家介紹完了，希望大家已經(jīng)理解以上的內(nèi)容。
【編輯推薦】
