Chống giả mạo cho miền tùy chỉnh (SPF, DKIM và DMARC)

Mặc dù tính chất mở và phi tập trung của email mang lại nhiều lợi ích lớn, sự tự do này cũng khiến email dễ bị lạm dụng. Ví dụ: bất kỳ máy chủ nào kết nối với internet đều có thể gửi email đến người quen để giả mạo là gửi từ chính người dùng, một hình thức tấn công được gọi là giả mạo email.

Rất khuyến nghị tất cả những ai sử dụng miền tùy chỉnh với Proton Mail thiết lập SPF, DKIM, và DMARC để đảm bảo email được chuyển phát đúng cách.

Đọc tiếp để tìm hiểu cách bảo vệ miền tùy chỉnh khỏi các loại tấn công này.

SPF

Bản ghi Sender Policy Framework (SPF) về cơ bản sẽ cho biết máy chủ lưu trữ hoặc IP nào được phép gửi email thay mặt cho miền. Khi các máy chủ thư nhận được email tự xưng là từ miền, các máy chủ này có thể tra cứu bản ghi SPF để xem máy chủ gửi có được bao gồm hay không.

Dù không bắt buộc, rất khuyến nghị thiết lập bản ghi SPF bao gồm Proton Mail.

Điều này không chỉ giúp email trông có vẻ hợp lệ hơn và do đó ít bị chuyển vào thư mục thư rác hơn, mà còn giúp bảo vệ miền khỏi những kẻ tấn công gửi email có tiêu đề giả mạo giả vờ là từ chính miền đó.

Trên trình duyệt, đăng nhập vào tài khoản Proton Mail, đi tới Cài đặt → Tất cả cài đặt → Miền, và nhấp vào Xem xét bên cạnh miền muốn thêm bản ghi SPF.

Chọn tab SPF. Phần này hiển thị bản ghi SPF được khuyến nghị để thêm vào cổng quản lý miền của công ty đăng ký. Có thể nhấp vào biểu tượng nhỏ ở bên trái của mục nhập để Sao chép vào bộ nhớ tạm của hệ thống.

Phần “include:_spf.protonmail.ch” trong chuỗi văn bản có nghĩa là cho phép các máy chủ Proton Mail gửi thư thay mặt cho miền. Nếu muốn giữ bản ghi SPF hiện có, chỉ cần thêm chuỗi văn bản “include:_spf.protonmail.ch” vào ngay bên phải của bản ghi hiện có, sau phần “v=spf1”. Phần “mx” cũng bao gồm các bản ghi MX của miền.

Phần “~all” có nghĩa là nếu email được gửi từ bất kỳ máy chủ nào không được bao gồm trong chuỗi văn bản, email đó sẽ được coi là SoftFail. Điều này có nghĩa là máy chủ thư nhận sẽ chấp nhận chuyển phát email nhưng sẽ đánh dấu là SPF failed. Giải pháp thay thế là sử dụng tham số “-all” (HardFail).

Điều này sẽ khiến email bị từ chối, có thể gây ra sự cố chuyển phát đối với các email hợp lệ. Ví dụ, SPF thường thất bại trong quá trình chuyển tiếp email, khi gửi đến địa chỉ A, sau đó địa chỉ này tự động chuyển tiếp đến địa chỉ B. Sau khi phát hiện bản ghi SPF của miền có bao gồm Proton Mail, tab SPF sẽ hiển thị biểu tượng dấu tích màu xanh lá cây.

DKIM

Domain Keys Identified Mail (DKIM) là phương thức xác thực email giúp xác minh bằng mật mã xem email có được gửi bởi các máy chủ đáng tin cậy và không bị can thiệp hay không.

Về cơ bản, khi máy chủ gửi email bằng miền, máy chủ đó sẽ tính toán hàm băm đã mã hóa của nội dung email bằng khóa riêng tư (mà chỉ các máy chủ đáng tin cậy mới biết) và thêm vào tiêu đề email dưới dạng chữ ký DKIM.

Máy chủ nhận sẽ xác minh nội dung email bằng cách tra cứu khóa công khai tương ứng trong các bản ghi DNS của miền, giải mã hàm băm đã mã hóa và tính toán hàm băm mới dựa trên nội dung email nhận được. Sau đó, máy chủ so sánh hàm băm đã giải mã với hàm băm mới. Nếu trùng khớp, email đó không bị can thiệp và DKIM được thông qua. Nếu không, DKIM sẽ thất bại và email bị nghi ngờ.

Tìm hiểu thêm về quản lý khóa DKIM(cửa sổ mới)

Bản ghi CNAME được sử dụng để quản lý việc xoay vòng khóa DKIM tự động, đây là thực hành bảo mật tốt nhất đã được công nhận. Hệ thống yêu cầu thêm và giữ ba bản ghi CNAME. Điều này đảm bảo luôn có khóa hoạt động được sử dụng để cung cấp dịch vụ không bị gián đoạn trong khi các khóa khác tự động ngừng hoạt động và được tạo lại thường xuyên để cải thiện tính bảo mật.

Nghe có vẻ phức tạp, nhưng việc triển khai DKIM cho miền lại rất đơn giản trong Proton Mail. Sẽ mất vài giờ để xác minh miền tùy chỉnh khi lần đầu tiên thay đổi các bản ghi DNS để sử dụng với Proton Mail. Sau khi miền tùy chỉnh được xác minh, Proton Mail sẽ tạo tên máy chủ và giá trị cần thiết cho cổng DNS của miền. Sau đó, hệ thống sẽ tạo các bản ghi CNAME cần thiết cho việc xoay vòng khóa DKIM tự động.

Thông báo qua email sẽ được gửi để cho biết miền tùy chỉnh, tên máy chủ và giá trị đã sẵn sàng.

Người dùng mới

Trên trình duyệt, đăng nhập vào tài khoản Proton Mail và đi tới Cài đặt → Tất cả cài đặt → Tổ chức → Miền → Cột Các thao tác → nút Xem xét bên cạnh miền muốn thêm bản ghi DKIM.

Chọn tab DKIM. Tại đây sẽ hiển thị ba tên máy chủ và giá trị cần thêm vào cài đặt DNS của miền.

Sau khi đã thêm các bản ghi này, Proton Mail sẽ xử lý phần còn lại. Theo các thực hành bảo mật tốt nhất hiện nay, một khóa 2048-bit mới sẽ được tạo sau mỗi sáu tháng và được sử dụng để ký các email.

Các bản ghi CNAME được thêm vào cài đặt DNS của miền phải khớp chính xác với các bản ghi hiển thị trong trình hướng dẫn thiết lập. Sau khi các bản ghi này được phát hiện trong DNS, tab DKIM sẽ hiển thị biểu tượng dấu tích màu xanh lá cây. Hệ thống sau đó sẽ thông báo và bắt đầu ký các email gửi đi từ miền tùy chỉnh bằng DKIM, tương tự như các địa chỉ Proton Mail khác.

QUAN TRỌNG: Một số công ty đăng ký không chấp nhận giá trị CNAME có dấu chấm ở cuối (trong khi những công ty khác lại yêu cầu). Nếu công ty đăng ký không chấp nhận các bản ghi CNAME, hãy xóa dấu chấm ở cuối mỗi giá trị CNAME và thử lại.

Người dùng hiện đang sử dụng tính năng xoay vòng khóa DKIM thủ công

Rất khuyến nghị tất cả những ai hiện đang sử dụng tính năng xoay vòng khóa DKIM thủ công nâng cấp lên hệ thống xoay vòng khóa tự động mới. Việc này không chỉ loại bỏ nhu cầu xoay vòng khóa thủ công mà còn tự động nâng cấp độ mạnh của khóa (nếu đang sử dụng khóa 1024-bit).

Nếu trước đây đã cấu hình xoay vòng khóa DKIM thủ công cho miền bằng bản ghi TXT, cần phải xóa bản ghi này khỏi cài đặt DNS trước khi nhập các bản ghi CNAME.

Cần định cấu hình lại cài đặt DNS với các bản ghi CNAME vì chúng cho phép thiết lập xoay vòng khóa tự động, trong khi bản ghi TXT hiện tại thì không.

Sau khi đã xóa bản ghi TXT này, có thể làm theo hướng dẫn dành cho người dùng mới. DKIM sẽ ngừng ký email ngay sau khi xóa bản ghi TXT. Để duy trì sự bảo vệ của DKIM, cần nhập Tên chủ và giá trị CNAME vào cài đặt DNS ngay lập tức.

DMARC

Khi tìm hiểu về SPF và DKIM (ở trên), có thể sẽ có thắc mắc về cách máy chủ nhận xử lý email không vượt qua các bước kiểm tra. Đây là lúc Domain-based Message Authentication, Reporting, and Conformance (DMARC) phát huy tác dụng.

DMARC cho phép chủ sở hữu miền chỉ định điều gì xảy ra với các email bị lỗi và nhận phản hồi khi chúng đến nơi. Về cơ bản, có ba thao tác máy chủ nhận có thể thực hiện nếu CẢ HAI bước kiểm tra SPF và DKIM đều thất bại: none, quarantine, và reject.

Trên trình duyệt, đăng nhập vào tài khoản Proton Mail và đi tới Cài đặt → Đi tới cài đặt→ Tổ chức → Miền → Cột Các thao tác → nút Xem xét bên cạnh miền muốn thêm bản ghi DMARC.

Sao chép tên máy chủ TXT DMARC và chuỗi giá trị rồi thêm vào miền trong bảng điều khiển quản lý miền của công ty đăng ký.

Giá trị “p=” chỉ định thao tác cần thực hiện đối với các email không vượt qua kiểm tra DMARC. Dưới đây là các thao tác có sẵn:

• p=quarantine: yêu cầu các nền tảng nhận đánh dấu các email không được ủy quyền là thư rác hoặc cách ly chúng.
• p=reject: yêu cầu các nền tảng nhận từ chối các email không được ủy quyền.
• p=none: không cách ly hoặc từ chối các email không được ủy quyền. Thông thường, chính sách này chỉ được sử dụng để khắc phục sự cố hoặc thử nghiệm.

Cài đặt mặc định là none. Tuy nhiên, để cải thiện tính bảo mật, khuyến nghị đặt giá trị này thành p=quarantine.

Khi đã chắc chắn rằng các email hợp lệ vượt qua kiểm tra DMARC, có thể đặt cấu hình này nghiêm ngặt hơn thành p=reject. Khuyến nghị làm như vậy nếu cho rằng có khả năng bị nhắm mục tiêu giả mạo email. Ví dụ: Yahoo, PayPal và eBay sử dụng p=reject để ngăn những kẻ gửi thư rác giả mạo họ.

Một tham số khác là rua=, chỉ định một địa chỉ email nơi các dịch vụ email khác có thể gửi báo cáo tổng hợp để có thể theo dõi có bao nhiêu email không vượt qua kiểm tra DMARC.

Tuy nhiên, xin lưu ý rằng có những rủi ro khi chọn các hành động DMARC nghiêm ngặt hơn. Ví dụ, khi gửi email đến một danh sách gửi thư sau đó chuyển tiếp đến các người nhận cá nhân, điều này sẽ làm hỏng SPF. Đáng phiền phức là một số danh sách gửi thư cũng thay đổi nội dung của email, điều này làm hỏng DKIM và khiến DMARC thất bại, tạo ra các sự cố chuyển phát nếu đã đặt DMARC thành quarantine hoặc reject. Đây là lý do tại sao DMARC được đặt thành none theo mặc định.

Kiểm tra email

Sau khi đã thiết lập miền tùy chỉnh, có thể kiểm tra bằng cách gửi email bằng Mail Tester(cửa sổ mới).

Chỉ cần gửi email bằng địa chỉ miền tùy chỉnh đến địa chỉ duy nhất hiển thị trên trang web Mail Tester. Sau đó kiểm tra điểm thư rác.

Nếu cả SPF và DKIM đều được thiết lập chính xác, có thể đạt điểm tuyệt đối 10/10!