ARC (Cadeia Recebida Autenticada)

ARC, abreviação de Authenticated Received Chain, é um protocolo de autenticação projetado para reforçar a segurança da comunicação por e-mail. O objetivo é abordar a questão da confiabilidade na entrega de mensagens, especialmente quando elas atravessam vários servidores de correio antes de chegar ao destino final.

ARC na comunicação por e-mail

A autenticação de email é uma abordagem em várias camadas para verificar a autenticidade e integridade das mensagens. ARC é uma adição crítica ao ecossistema de autenticação, melhorando a cooperação entre SPF (Sender Policy Framework), DKIM (DomainKeys Identified Mail) e DMARC (Domain-based Message Authentication, Reporting, and Conformance).

SPF e DKIM fornecem verificações fundamentais do domínio do remetente e da integridade dos dados, respectivamente. No entanto, estas duas soluções de segurança não são inerrantes:

• As verificações SPF podem falhar quando os e-mails são encaminhados ou retransmitidos através de servidores intermediários. Por exemplo, não configurar registros SPF para subdomínios pode levar a falhas de SPF para e-mails enviados desses subdomínios devido à quebra no alinhamento do SPF.
• As assinaturas DKIM são calculadas com base no conteúdo da mensagem. Quaisquer modificações na mensagem, como adicionar ou remover conteúdo, podem invalidar a assinatura DKIM.
• O DMARC adiciona recursos de aplicação de políticas e relatórios para aprimorar ainda mais o controle e a visibilidade da autenticação de e-mail. Portanto, se uma mensagem falhar tanto no SPF quanto no DKIM, ela falhará no DMARC, sendo considerada suspeita e será rejeitada.

A ARC garante que essas verificações permaneçam válidas mesmo quando os e-mails passam por intermediários.

Ao trabalharem juntos, esses protocolos criam uma defesa robusta contra falsificação, ataques de phishing e outras ameaças baseadas em e-mail, melhorando, em última análise, a segurança e a confiança na comunicação digital. A implementação correta de todos esses protocolos é crucial para organizações que desejam proteger a reputação de sua marca e manter uma comunicação segura por e-mail.

Revelando o Mecanismo e Operação ARC

A Cadeia Recebida Autenticada opera criando uma cadeia criptográfica de confiança nos cabeçalhos de e-mail. Cada servidor de correio que processa uma mensagem adiciona um cabeçalho contendo uma assinatura digital, permitindo ao servidor do destinatário verificar a autenticidade do caminho da mensagem. Essa cadeia de confiança garante que as modificações feitas no email durante o trânsito possam ser detectadas e autenticadas.

Aqui estão as etapas envolvidas na implementação da assinatura ARC com exemplos:

Etapa 1: Assinatura Inicial (Primeiro Servidor)

Quando um email é enviado, o primeiro servidor de email adiciona uma assinatura DKIM (DomainKeys Identified Mail) ao cabeçalho da mensagem. Esta assinatura DKIM atesta a autenticidade do domínio do remetente. Por exemplo:

      DKIM-Signature: v=1; a=rsa-sha256; c=relaxed/relaxed; d=example.com;
      s=selector1; h=from:subject:to; bh=abcdefg1234567=;
      b=XYzABCDeF1234==
    

Etapa 2: Assinatura ARC (servidores intermediários)

À medida que o e-mail passa por servidores intermediários (por exemplo, serviços de encaminhamento ou listas de discussão), cada servidor adiciona um cabeçalho ARC com sua própria assinatura criptográfica contendo o resultado da autenticação da verificação anterior. Assim, o cabeçalho inclui a assinatura DKIM original da primeira etapa. Por exemplo:

      ARC-Authentication-Results: i=1; mx.google.com;
      dkim=pass header.i=@example.com header.s=selector1;
      arc=pass (i=0 spf=pass dkim=pass);
    

Detalhamento dos componentes de assinatura

Etapa 3: Assinatura Final (Último Servidor)

Quando o email chega ao destino final, o servidor de email do destinatário valida todas as assinaturas ARC da cadeia. Também verifica a assinatura DKIM desde a primeira etapa, garantindo que o caminho da mensagem era legítimo e que não ocorreram modificações não autorizadas durante o trânsito. Se todas as assinaturas forem válidas, o e-mail será entregue na caixa de entrada do destinatário.

Implementando ARC: Melhores Práticas

Ao implementar uma Cadeia de Recebidos Autenticados, as organizações podem garantir a integridade de sua comunicação por e-mail, mesmo quando as mensagens passam por vários servidores intermediários. Fornece uma cadeia de confiança clara, melhorando a segurança e reduzindo o risco de ataques de falsificação e phishing.

Se você está pensando em implementar ARC em seu domínio de e-mail, aqui estão algumas práticas recomendadas a serem seguidas:

• Configuração de SPF e DKIM: certifique-se de que o Sender Policy Framework (SPF) e o DomainKeys Identified Mail (DKIM) estejam configurados corretamente para seu domínio. O ARC baseia-se nesses mecanismos de autenticação existentes.
• Escolha um provedor de serviços de e-mail confiável: se você não conhece bem os protocolos de autenticação de e-mail, considere usar um provedor de serviços que suporte ARC. Eles podem orientá-lo durante o processo de configuração.
• Monitoramento e testes: o monitoramento regular do tráfego de e-mail é altamente recomendado para quaisquer problemas relacionados à implementação do ARC. O teste é crucial para identificar e resolver problemas prontamente.
• Mantenha as políticas atualizadas: à medida que sua infraestrutura de e-mail evolui, atualize suas políticas ARC para refletir essas mudanças. Políticas desatualizadas podem levar a falhas de autenticação.