ARC (geverifieerde ontvangen keten)

ARC, een afkorting voor Authenticated Receivered Chain, is een authenticatieprotocol dat is ontworpen om de veiligheid van e-mailcommunicatie te vergroten. Het is bedoeld om het probleem van de betrouwbaarheid bij de bezorging van berichten aan te pakken, vooral wanneer deze meerdere mailservers doorlopen voordat ze hun eindbestemming bereiken.

ARC in e-mailcommunicatie

E-mailauthenticatie is een meerlaagse aanpak om de authenticiteit en integriteit van berichten te verifiëren. ARC is een cruciale toevoeging aan het authenticatie-ecosysteem en verbetert de samenwerking tussen SPF (Sender Policy Framework), DKIM (DomainKeys Identified Mail) en DMARC (Domain-based Message Authentication, Reporting en Conformance).

SPF en DKIM bieden fundamentele controles op respectievelijk het domein van de afzender en de gegevensintegriteit. Deze twee beveiligingsoplossingen zijn echter niet onfeilbaar:

• SPF-controles kunnen mislukken wanneer e-mails worden doorgestuurd of doorgegeven via tussenliggende servers. Het niet instellen van SPF-records voor subdomeinen kan bijvoorbeeld leiden tot SPF-fouten voor e-mails die vanaf die subdomeinen worden verzonden vanwege de breuk in de SPF-uitlijning.
• DKIM-handtekeningen worden berekend op basis van de inhoud van het bericht. Eventuele wijzigingen aan het bericht, zoals het toevoegen of verwijderen van inhoud, kunnen de DKIM-handtekening ongeldig maken.
• DMARC voegt mogelijkheden voor beleidshandhaving en rapportage toe om de controle en zichtbaarheid over e-mailauthenticatie verder te verbeteren. Dus als een bericht zowel SPF als DKIM niet doorstaat, mislukt het DMARC en wordt het als verdacht beschouwd en zal het worden afgewezen.

ARC zorgt ervoor dat deze controles geldig blijven, zelfs als e-mails via tussenpersonen passeren.

Door samen te werken creëren deze protocollen een robuuste verdediging tegen spoofing, phishing-aanvallen en andere op e-mail gebaseerde bedreigingen, waardoor uiteindelijk de veiligheid en het vertrouwen in digitale communicatie worden verbeterd. Het correct implementeren van al deze protocollen is van cruciaal belang voor organisaties die hun merkreputatie willen beschermen en veilige e-mailcommunicatie willen onderhouden.

Onthulling van het ARC-mechanisme en de werking

Geauthenticeerde ontvangen keten werkt door het creëren van een cryptografische vertrouwensketen binnen e-mailheaders. Elke mailserver die een bericht verwerkt, voegt een header toe met een digitale handtekening, waardoor de server van de ontvanger de authenticiteit van het pad van het bericht kan verifiëren. Deze vertrouwensketen zorgt ervoor dat wijzigingen die tijdens de verzending in de e-mail worden aangebracht, kunnen worden gedetecteerd en geverifieerd.

Hier zijn de stappen die betrokken zijn bij de implementatie van ARC-handtekeningen met voorbeelden:

Stap 1: Eerste handtekening (eerste server)

Wanneer een e-mail wordt verzonden, voegt de eerste mailserver een DKIM-handtekening (DomainKeys Identified Mail) toe aan de kop van het bericht. Deze DKIM-handtekening getuigt van de authenticiteit van het domein van de afzender. Bijvoorbeeld:

      DKIM-Signature: v=1; a=rsa-sha256; c=relaxed/relaxed; d=example.com;
      s=selector1; h=from:subject:to; bh=abcdefg1234567=;
      b=XYzABCDeF1234==
    

Stap 2: ARC-handtekening (tussenservers)

Terwijl de e-mail tussenliggende servers passeert (bijvoorbeeld doorstuurservices of mailinglijsten), voegt elke server een ARC-header toe met zijn eigen cryptografische handtekening die het authenticatieresultaat van de vorige controle bevat. De header bevat dus de originele DKIM-handtekening uit de eerste stap. Bijvoorbeeld:

      ARC-Authentication-Results: i=1; mx.google.com;
      dkim=pass header.i=@example.com header.s=selector1;
      arc=pass (i=0 spf=pass dkim=pass);
    

Uitsplitsing van kenmerkende componenten

Stap 3: Laatste handtekening (laatste server)

Wanneer de e-mail zijn eindbestemming bereikt, valideert de mailserver van de ontvanger alle ARC-handtekeningen in de keten. Het verifieert ook de DKIM-handtekening vanaf de eerste stap en zorgt ervoor dat het pad van het bericht legitiem was en dat er tijdens de overdracht geen ongeautoriseerde wijzigingen hebben plaatsgevonden. Als alle handtekeningen geldig zijn, wordt de e-mail afgeleverd in de inbox van de ontvanger.

ARC implementeren: beste praktijken

Door een geauthenticeerde ontvangen keten te implementeren, kunnen organisaties de integriteit van hun e-mailcommunicatie garanderen, zelfs wanneer berichten via meerdere tussenliggende servers gaan. Het biedt een duidelijke vertrouwensketen, verbetert de veiligheid en vermindert het risico op spoofing- en phishing-aanvallen.

Als u overweegt ARC voor uw e-maildomein te implementeren, volgen hier enkele praktische tips:

• SPF- en DKIM-installatie: Zorg ervoor dat het Sender Policy Framework (SPF) en DomainKeys Identified Mail (DKIM) correct zijn geconfigureerd voor uw domein. ARC bouwt voort op deze bestaande authenticatiemechanismen.
• Kies een gerenommeerde e-mailserviceprovider: Als u niet goed thuis bent in e-mailverificatieprotocollen, kunt u overwegen een serviceprovider te gebruiken die ARC ondersteunt. Zij kunnen u door het installatieproces begeleiden.
• Monitoring en testen: Regelmatige monitoring van e-mailverkeer wordt sterk aanbevolen voor eventuele problemen die verband houden met de ARC-implementatie. Testen is van cruciaal belang om problemen snel te kunnen identificeren en oplossen.
• Houd het beleid up-to-date: Naarmate uw e-mailinfrastructuur evolueert, update u uw ARC-beleid om deze wijzigingen weer te geven. Verouderd beleid kan leiden tot authenticatiefouten.