ARC (ověřený přijímaný řetězec)

ARC, zkratka pro Authenticated Received Chain, je ověřovací protokol navržený pro posílení bezpečnosti e-mailové komunikace. Jeho cílem je vyřešit problém důvěryhodnosti při doručování zpráv, zejména když procházejí více poštovními servery, než dosáhnou svého konečného cíle.

ARC v emailové komunikaci

E-mailová autentizace je vícevrstvý přístup k ověření pravosti a integrity zpráv. ARC je kritickým doplňkem autentizačního ekosystému, který zlepšuje spolupráci mezi SPF (Sender Policy Framework), DKIM (DomainKeys Identified Mail) a DMARC (Domain-based Message Authentication, Reporting, and Conformance).

SPF a DKIM zajišťují základní kontroly domény odesílatele a integrity dat. Tato dvě bezpečnostní řešení však nejsou neomylná:

• Kontroly SPF mohou selhat, když jsou e-maily předávány nebo přenášeny přes zprostředkující servery. Například selhání nastavení záznamů SPF pro subdomény může vést k selhání SPF pro e-maily odeslané z těchto subdomén kvůli přerušení zarovnání SPF.
• Podpisy DKIM se vypočítávají na základě obsahu zprávy. Jakékoli úpravy zprávy, jako je přidání nebo odebrání obsahu, mohou zneplatnit podpis DKIM.
• DMARC přidává možnosti vynucování zásad a hlášení, aby se dále zlepšila kontrola a viditelnost při ověřování e-mailů. Pokud tedy zpráva selže jak SPF, tak DKIM, selže DMARC a bude považována za podezřelou a bude odmítnuta.

ARC zajišťuje, že tyto kontroly zůstávají platné, i když e-maily procházejí přes zprostředkovatele.

Díky spolupráci tyto protokoly vytvářejí robustní obranu proti spoofingu, phishingovým útokům a dalším e-mailovým hrozbám, což v konečném důsledku zlepšuje zabezpečení a důvěru v digitální komunikaci. Správná implementace všech těchto protokolů je zásadní pro organizace, které chtějí chránit pověst své značky a udržovat bezpečnou e-mailovou komunikaci.

Odhalení mechanismu a provozu ARC

Authenticated Received Chain funguje tak, že vytváří kryptografický řetězec důvěry v hlavičkách e-mailů. Každý poštovní server, který zpracovává zprávu, přidává hlavičku obsahující digitální podpis, což umožňuje serveru příjemce ověřit pravost cesty zprávy. Tento řetězec důvěry zajišťuje, že změny provedené v e-mailu během přenosu mohou být detekovány a ověřeny.

Zde jsou kroky zapojené do implementace podpisu ARC s příklady:

Krok 1: Počáteční podpis (první server)

Když je odeslán e-mail, první poštovní server přidá do záhlaví zprávy podpis DKIM (DomainKeys Identified Mail). Tento podpis DKIM potvrzuje pravost domény odesílatele. Například:

      DKIM-Signature: v=1; a=rsa-sha256; c=relaxed/relaxed; d=example.com;
      s=selector1; h=from:subject:to; bh=abcdefg1234567=;
      b=XYzABCDeF1234==
    

Krok 2: Podpis ARC (střední servery)

Když e-mail prochází přes zprostředkující servery (např. přesměrovací služby nebo e-mailové konference), každý server přidává hlavičku ARC s vlastním kryptografickým podpisem obsahujícím výsledek ověření předchozí kontroly. Záhlaví tedy obsahuje původní podpis DKIM z prvního kroku. Například:

      ARC-Authentication-Results: i=1; mx.google.com;
      dkim=pass header.i=@example.com header.s=selector1;
      arc=pass (i=0 spf=pass dkim=pass);
    

Rozdělení podpisových komponent

Krok 3: Konečný podpis (poslední server)

Když e-mail dosáhne svého konečného cíle, poštovní server příjemce ověří všechny podpisy ARC v řetězci. Od prvního kroku také ověřuje podpis DKIM a zajišťuje, že cesta zprávy byla legitimní a že během přenosu nedošlo k žádným neoprávněným úpravám. Pokud jsou všechny podpisy platné, je e-mail doručen do doručené pošty příjemce.

Implementace ARC: Best Practices

Implementací Authenticated Received Chain mohou organizace zajistit integritu své e-mailové komunikace, i když zprávy procházejí více zprostředkujícími servery. Poskytuje jasný řetězec důvěry, zvyšuje bezpečnost a snižuje riziko spoofingu a phishingových útoků.

Pokud zvažujete implementaci ARC pro svou e-mailovou doménu, zde je několik doporučených postupů:

• Nastavení SPF a DKIM: Ujistěte se, že Sender Policy Framework (SPF) a DomainKeys Identified Mail (DKIM) jsou správně nakonfigurovány pro vaši doménu. ARC staví na těchto existujících autentizačních mechanismech.
• Vyberte si renomovaného poskytovatele e-mailových služeb: Pokud se nevyznáte v protokolech ověřování e-mailů, zvažte použití poskytovatele služeb, který podporuje ARC. Mohou vás provést procesem nastavení.
• Monitorování a testování: Důrazně doporučujeme pravidelné monitorování e-mailového provozu pro jakékoli problémy související s implementací ARC. Testování je zásadní pro rychlou identifikaci a řešení problémů.
• Udržujte zásady aktualizované: Jak se bude vaše e-mailová infrastruktura vyvíjet, aktualizujte své zásady ARC, aby tyto změny odrážely. Zastaralé zásady mohou vést k selhání ověřování.