En popüler 152 domain üzerinde DNS taraması: SPF ve DMARC neredeyse evrensel, MTA-STS yüzde 9'da

Web'in en çok kullanılan 152 domain'i üzerinde yapılan canlı DNS kaydı ölçümü, e-posta sahteciliği savunmalarına somut rakamlar getiriyor: SPF ve DMARC ile gönderen kimlik doğrulaması bu domainler arasında neredeyse evrensel, çoğu domain yalnızca izlemek yerine zorunlu kılıyor ve sunucular arasında posta taşınırken koruyan yeni standart olan MTA-STS ise on domain'de birinden azı tarafından kullanılıyor.

Tarama, önce LK Forge'da yayımlanıp ardından Lucian tarafından dev.to'da paylaşıldı. Önbelleğe alınmış ya da tarihsel bir veri seti yerine canlı DNS sorgulandı; dolayısıyla rakamlar bugün kontrol yapan bir alıcının gerçekte göreceğini yansıtıyor.

Neler ölçüldü

Domain listesi teknoloji, perakende, medya, finans, devlet ve eğitim sektörlerini kapsıyor. 152 domain'den 146'sı, MX kaydı yayımladıkları anlamıyla, hiç olmazsa e-posta kabul ediyor. Sonuçlar arasında:

• 146 e-posta kabul eden domain arasında SPF kapsamı yüzde 100.
• Bu grubun yüzde 99,3'ü bir DMARC kaydı yayımlıyor.
• 152 domain'in tamamının yüzde 92'si DMARC'ı quarantine ya da reject politikasıyla zorunlu kılıyor.
• Yüzde 9,2'si bir MTA-STS kaydı yayımlıyor.

Yöntem bilinçli olarak basit tutuldu: domain'lerin kendisine ve _dmarc ile _mta-sts alt domainlerine düz TXT sorguları, kimlik doğrulama ya da tescilli veri olmadan, sabit ve belgelenmiş bir liste üzerinden çalıştırıldı. Yazar, DNS'un zamanla değiştiğine dikkat çekerek taramayı tekrarlamanın rakamları bir iki puan her iki yöne kaydırabileceğini belirtiyor.

DMARC yayımlamak, uygulamakla aynı şey değil

Yazıda açıklandığı gibi, bir DMARC kaydı tek başına hiçbir şey yapmaz — içindeki politika, kimlik doğrulamasından geçemeyen postayla alıcı sunucunun ne yapacağını belirler. p=none politikası yalnızca rapor toplar ve o postayı yine de teslim eder; neredeyse hiç koruma sağlamaz. p=quarantine şüpheli sayar ve spam klasörüne gönderir; p=reject tamamen düşürür ve sahteciliğe karşı en sert çizgidir.

Bu ölçüte göre web'in zirvesi iyi performans gösteriyor. 152 domain'den 114'ü p=reject, 26'sı p=quarantine çalıştırıyor ve yalnızca 10'u hâlâ yalnızca izleme modundaki p=none'da. Bu, en katı politikada yüzde 75 demek ve DMARC yayımlayan domain'lerin yüzde 93'ü onu zorunlu kılıyor. Kayıt yayımlayıp politikayı hiç sıkılaştırmama alışkanlığı en büyük domainler arasında nadir.

MTA-STS açığı

SPF ve DMARC bir mesajı kimin gönderdiğini belirler; ikisi de mesajın posta sunucuları arasında nasıl hareket ettiği konusunda hiçbir şey söylemez. MTA-STS bu ikinci yarısını kapsar: bir domain, göndericilere yalnızca TLS üzerinden teslim etmelerini ve asla düz metne geri düşmemelerini söyleyen bir politika yayımlar; bu da ağ yolundaki birinin bağlantıyı şifrelenmemiş SMTP'ye geri ittiği düşürme (downgrade) saldırılarını kapatır.

İncelenen domain'lerin yalnızca yüzde 9,2'si bunu yapmış durumda. Yazar eksikliği anlaşmazlığa değil sürtünmeye bağlıyor: SPF ve DMARC'ın her biri tek bir TXT kaydından ibaretken, MTA-STS DNS kaydının yanı sıra mta-sts alt domaininde bir politika dosyası barındırmayı gerektiriyor. Bu fazladan parçalar, iyi yönetilen domain'leri bile uzak tutmuş durumda. DMARC yayılımını tamamlamış herkes için yazı, MTA-STS'yi anlamlı bir sonraki adım olarak konumlandırıyor — ve bunu benimseyenler şu anda herkesin peşinden koşmak yerine küçük bir azınlığa katılmış olacak.

Önyargılı bir örneklem, dikkatli okunmalı

Bu rakamlar web'in en sofistike köşesini, internetin tamamını değil tanımlıyor. Seçilen domain'ler yüksek trafikli ve iyi kaynaklara sahip; yazar da genel web'de DMARC benimsemesinin kayda değer biçimde daha düşük olduğunu açıkça belirtiyor. Ölçümün sunduğu şey genel desendir: en tepede kimlik doğrulama hem yaygın hem zorunlu kılınmış durumda, taşıma katmanının korunması ise hâlâ istisna.

Neden önemli

Sahte e-posta, oltalama ve iş e-postası ele geçirme (BEC) için temel bir teknik olmaya devam ediyor ve DMARC yayımlamakla onu zorunlu kılmak arasındaki mesafe, korunuyor görünmek ile gerçekten korunmak arasındaki mesafedir. Bu tarama, en büyük domain'lerin bu mesafeyi büyük ölçüde kapattığını; yüzde 92'lik zorunlu kılma oranının p=none'ın bir dinlenme noktası değil geçiş aşaması olarak işlev gördüğünü düşündürüyor.

Yüzde 9,2'lik MTA-STS rakamı daha eyleme dönük sonuç. En üst düzey operatörlerin bile durduğu noktayı işaret ediyor ve daha küçük kuruluşlara alışılmadık bir fırsat sunuyor: DMARC zaten zorunlu kılınmışken MTA-STS eklemek, herkesin peşinden koşmak yerine bir standarda erken katılmak anlamına geliyor.