SPF电子邮件身份验证协议的一些局限性

电子邮件身份验证（特别是SPF、DKIM和DMARC）在防止邮箱域名假冒方面确实起到了重要的作用。对于电子邮件发件方来说，保护他们的品牌不受假冒其品牌的电子邮件的侵害是其主要目标，而对于电子邮件接收方来说，首要任务就是不让虚假路由的电子邮件传入。这些标准就是为了给电子邮件提供了验证服务器和租户来源的功能，验证邮件传输过程中的完整性等而诞生的。然而，随着互联网的发展和电子邮件攻击的不断增加，攻击者也在不断寻找绕过这些身份验证的方法。

本文重点围绕发送方策略框架（SPF）协议的局限性进行介绍。

SPF 是一种电子邮件身份验证协议，它允许域名所有者指定哪些服务器被授权发送电子邮件，代表他们的域名。而配置SPF也很简单，只需要为域名添加SPF记录。

SPF记录是一种DNS记录，它包含了被授权发送电子邮件的服务器的 IP 地址或主机名。因此，对于发送方来说，实施SPF可以保护自己的域名不被他人冒用；对于收件方来说，进行SPF检查也可以帮助防止电子邮件伪造或冒充攻击。例如，如果攻击者试图发送一封电子邮件，冒充来自example.com域，但example.com域的SPF记录中没有列出攻击者的服务器，则邮件服务器可能会拒绝该电子邮件或将其标记为垃圾邮件。

图 1 SPF工作过程

1. 防止电子邮件被伪造或冒充：SPF 记录可以帮助防止攻击者发送伪造或冒充的电子邮件。这有助于保护域名所有者的声誉，并防止电子邮件欺诈。

2. 提高电子邮件的可信度：SPF 记录可以提高电子邮件的可信度，因为它可以让收件人确信电子邮件来自它声称的发送者。这有助于提高电子邮件的打开率和点击率。

3. 保护发件人的声誉：SPF 记录可以保护发件人的声誉，因为它可以防止攻击者使用发件人的域名发送垃圾邮件或其他恶意电子邮件。这有助于发件人保持良好的声誉，并确保他们的电子邮件不会被拒收。

例如：

仿冒电子邮件地址：攻击者可以创建一个与合法电子邮件地址非常相似的电子邮件地址。

例如，将“[email protected]”更改为“[email protected]”。这种类型的攻击称为“欺骗”，它可以绕过 SPF 检查。

仿冒域名：攻击者还可以创建一个与合法域名非常相似的域名，例如，将“example.com”更改为“examp1e.com”。这种类型的攻击称为“域名欺骗”，它也可以绕过 SPF 检查。

仿冒显示名称：攻击者还可以创建一个与合法显示名称非常相似的显示名称，例如，将“John Doe”更改为“J0hn D0e”。这种类型的攻击称为“显示名称欺骗”，它也可以绕过 SPF 检查。

SPF协议规范的另一个大的缺陷就是他只对信封“发件人”地址进行检测，而不是“发件人”标头地址。信封“发件人”地址是电子邮件的实际发送者地址，而“发件人”标头地址是电子邮件声称的发送者地址。

SPF 检查使用信封“发件人”地址来验证电子邮件的真实性，而不是“发件人”标头地址。这意味着攻击者可以通过更改电子邮件的“发件人”标头地址来绕过 SPF 检查。

例如：

信封欺骗攻击：攻击者可以创建一个电子邮件，将“发件人”标头地址设置为“[email protected]”，但是他使用一个配置了合法SPF记录的“[email protected]”邮箱（“信封发件人”）来发送这封邮件，因为SPF只检查“信封发件人”的缺陷，他就会导致绕过SPF检查。这种类型的攻击称为“信封欺骗”攻击。

当一封电子邮件被转发投递时，转发代理服务器原样转发信封发件人（会话层MAIL FROM)信息，此时邮件发出去的IP地址变成了代理的IP地址，SPF 检查将对转发邮件的服务器地址进行验证，而不是原始邮件的信封“发件人”地址。如果转发邮件的服务器没有被授权发送电子邮件，代表原始邮件的信封“发件人”地址，则 SPF 检查将失败。合法的电子邮件也可能会被拒绝。

例如：攻击者可以发送 100 封电子邮件，每封电子邮件都有不同的（避开DNS缓存）信封“发件人”地址。这将导致邮件服务器进行 100 次 DNS 查询（进行 SPF 记录查询）。如果邮件服务器的 DNS 查询限制为 100 次，那么攻击者将能够绕过 SPF 检查。

这个很好理解，比如就是正常注册一个合法的163邮箱，然后用这个邮箱发送钓鱼邮件，合法的邮箱肯定通过了spf认证，但是却防不住“钓鱼邮件”。

由此可见，SPF认证在保护品牌方域名不被别人冒用方面效果突出，但是仅做SPF检查却不能完全的防范各类“欺骗”手段，在邮件到达收件箱之前、期间和之后，必须实施多重保护。

往期推荐

ZORELWORLD