Posta che arriva: tutto ciò che verifica internet.nl e perché

IL PUNTEGGIO

Come verificare la configurazione

internet.nl è un test gratuito del governo olandese e di organizzazioni internet. Contano due parti: sito web e dominio di posta. Ogni test passa o fallisce ed entrambe le parti sono pubbliche.

Potete eseguire i test su ave17.com; la roadmap descrive la pubblicazione prevista di risultati datati.

Il punteggio misura la configurazione, non il comportamento: dimostra che falsificare il dominio non è facile e che la posta viaggia cifrata. Non dimostra che chi lo gestisce risponda alla posta.

CHI LO HA INVIATO

SPF, DKIM e DMARC, nell'ordine rilevante

Insieme rispondono se il messaggio proviene davvero dal dominio. Spesso si installano nell'ordine sbagliato; per questo molti domini hanno tutti e tre e restano falsificabili.

SPF

Elenca le macchine autorizzate a inviare per il dominio. Economico ma debole da solo: fallisce all'inoltro perché chi inoltra non è nell'elenco.

DKIM

Firma il messaggio e sopravvive all'inoltro. Firmiamo con due chiavi, RSA ed Ed25519, perché alcuni destinatari non comprendono la seconda e preferiamo non scegliere.

DMARC

Indica cosa fare quando i primi due falliscono e richiede un rapporto. Il nostro è p=reject: rifiutare. Una scelta meno rigorosa è una richiesta cortese ignorata dalla maggior parte dei mittenti.

L'ordine corretto è DKIM, SPF e DMARC in monitoraggio finché i rapporti non rilevano problemi; poi reject. Passare subito a reject rivela pubblicamente quali sistemi inviavano posta senza che l'organizzazione lo sapesse.

COME HA VIAGGIATO

Cifratura che non si può rimuovere

I server offrono cifratura opportunistica da vent'anni; un aggressore intermedio può rimuovere l'offerta e farli tornare al testo in chiaro senza che lo rilevino. Due meccanismi lo impediscono e mancano nella maggior parte dei domini.

MTA-STS

Politica servita via HTTPS: "usare sempre TLS con questi nomi host; se impossibile, non consegnare". La pubblichiamo in modalità enforce, l'unica che agisce.

DANE

Pubblica in DNS, firmato da DNSSEC, il certificato atteso dal destinatario. Il mittente lo verifica rispetto al dominio, non a un elenco di autorità. Pubblichiamo record TLSA su submission, submissions, IMAPS e lo stesso scambiatore di posta.

DNSSEC

Firma le risposte DNS stesse. Senza, un aggressore può riscrivere i record in transito; per questo DANE lo richiede e firmiamo tutte le zone.

MTA-STS e DANE si sovrappongono volutamente. Uno è facile e si fida dei certificati web; l'altro è più difficile e si fida di DNSSEC. Averli entrambi protegge il dominio qualunque dei due raggiunga l'aggressore.

LA PARTE WEB

Cosa richiede il test del sito

La parte web riguarda la stessa idea: impedire il declassamento della connessione e la sostituzione del certificato.

• IPv6 sul sito e sui server dei nomi, raggiungibile e con gli stessi contenuti di IPv4
• DNSSEC nella zona per impedire di riscrivere l'indirizzo
• HTTPS con cifrari moderni, HSTS e senza percorso di declassamento
• DANE anche per il certificato web, cosa quasi inesistente
• CAA chiuso perché solo l'autorità indicata possa emettere per il dominio
• Intestazioni che impediscono di incorporare la pagina in frame o reinterpretarla tramite analisi del contenuto

DUE COSE DA CAPIRE

Dove il punteggio può ingannare

Primo: p=reject su un dominio che non invia mai è banale; uno con traffico reale lo raggiunge dopo settimane di rapporti. Stesso punteggio, lavoro diverso. Per confrontare fornitori, chiedete quale abbiano fatto.

Secondo: DANE richiede la verifica del destinatario e gran parte del mondo non la fa. Pubblicarlo protegge con chi verifica senza costi con gli altri, ma non garantisce che un messaggio specifico abbia viaggiato cifrato. Nessuno può garantirlo.

E una cosa scomoda: questo non ferma un messaggio convincente da un dominio simile al vostro. È un altro problema, risolto dalle persone e non dai record.

QUANTO È COSTATO

Con franchezza

Un giorno per configurare il primo dominio e circa venti minuti per gli altri, ormai con un modello. Serve tempo per leggere rapporti DMARC per due settimane prima di passare in sicurezza a reject; non si può comprare o accelerare.

Lo gestiamo noi, senza fornitore di posta, per questo possiamo descriverlo. Preferire un fornitore è ragionevole e gli stessi record sopra vanno richiesti a lui.