Ngoài việc xoay khóa DKIM: hiểu về tấn công replay email
"This article details DKIM replay attacks, where attackers resend legitimate, signed emails to new recipients, bypassing DMARC's p=reject policy because the DKIM signature remains valid. The key issue isn't spoofing, but abuse of an existing valid signature. Mitigation requires identifying the replay activity and ensuring an enforcing DMARC policy is in place."
Tấn công replay DKIM có thể gây tổn hại đến uy tín domain và dẫn đến việc email hợp lệ bị đánh dấu là spam. Kẻ tấn công lợi dụng chữ ký DKIM hợp lệ để phát tán nội dung độc hại.
Doanh nghiệp có thể mất niềm tin của khách hàng nếu email bị lợi dụng để phát tán spam hoặc lừa đảo. Việc xử lý sự cố có thể tốn kém và ảnh hưởng đến hiệu quả chiến dịch marketing.
AWS Security Blog vừa công bố chi tiết về tấn công replay DKIM, trong đó kẻ tấn công gửi lại email hợp lệ đã ký đến người nhận mới. DMARC với chính sách p=reject không chặn được vì chữ ký DKIM vẫn hợp lệ. Vấn đề không phải là giả mạo, mà là lạm dụng chữ ký hợp lệ.
Một doanh nghiệp Việt Nam đang dùng DKIM có thể gặp tình huống này khi email marketing bị lợi dụng để phát tán spam. Việc xoay khóa DKIM không đủ để ngăn chặn.
DKIM xác minh rằng phần nội dung email không thay đổi từ người gửi đến người nhận. Kẻ tấn công lợi dụng điều này bằng cách:
- Nắm được một bản sao email hợp lệ đã ký (ví dụ: qua danh sách email, hộp thư bị xâm nhập).
- Gửi lại email đó, không thay đổi, đến hàng ngàn người nhận mới.
- Máy chủ nhận kiểm tra chữ ký DKIM và xác nhận hợp lệ. SPF có thể báo lỗi vì IP gửi không phải của bạn, nhưng DMARC vẫn cho qua vì DKIM hợp lệ.
DMARC yêu cầu ít nhất SPF hoặc DKIM phải khớp với chính sách. Vì DKIM hợp lệ, DMARC vẫn cho phép email được gửi. Điều này giải thích tại sao chính sách DMARC p=reject không ngăn được tấn công replay. Nó chỉ hiệu quả với giả mạo, khi không có chữ ký hợp lệ.
Để xác định đây có phải là tấn công replay hay không, bạn cần phân biệt với các trường hợp khác:
* Relay hợp lệ: Email được chuyển tiếp qua một dịch vụ hợp lệ (ví dụ: danh sách email, CASB). Chữ ký DKIM vẫn hợp lệ. * Tấn công replay: Email được gửi từ IP không liên quan đến bạn, với số lượng lớn và đến các domain bạn chưa từng gửi. * Giả mạo: DKIM báo lỗi. IP lạ và DKIM lỗi là dấu hiệu của giả mạo.
Báo cáo DMARC (rua) cung cấp IP nguồn, số lượng email và kết quả SPF/DKIM. Để xác nhận replay, bạn cần bằng chứng cụ thể: một email bạn đã gửi khớp với email nhận được bởi người nhận không mong muốn. Nếu không có bằng chứng, hãy bắt đầu với các bước sau trước khi xóa khóa.
Trước khi làm gì khác, hãy đảm bảo bạn đang sử dụng chính sách DMARC p=reject. Nhiều domain vẫn ở p=none (chỉ giám sát), khiến việc phát hiện khó khăn.
Câu hỏi thường gặp
DKIM là gì?
DKIM (DomainKeys Identified Mail) là một phương thức xác thực email, sử dụng chữ ký số để đảm bảo email không bị thay đổi trong quá trình truyền. Nó giúp người nhận xác minh email thực sự đến từ domain đã ký.
DMARC là gì?
DMARC (Domain-based Message Authentication, Reporting & Conformance) là một giao thức xác thực email, xây dựng trên SPF và DKIM. Nó cho phép domain chỉ định cách xử lý các email không vượt qua kiểm tra xác thực, ví dụ như từ chối hoặc cách ly.
Tại sao xoay khóa DKIM không ngăn được tấn công replay?
Tấn công replay sử dụng email hợp lệ đã ký. Xoay khóa DKIM chỉ ngăn chặn các email mới được ký bằng khóa cũ, không ảnh hưởng đến các email đã được ký trước đó và vẫn còn hợp lệ.
Góc nhìn của Orange Cloud
Theo chúng tôi, tấn công replay DKIM là một rủi ro tiềm ẩn cho các doanh nghiệp Việt Nam sử dụng email marketing hoặc giao tiếp quan trọng qua email. Việc triển khai chính sách DMARC p=reject là bước đầu tiên quan trọng. Các doanh nghiệp nên xem xét sử dụng Amazon SES để phát hiện và ứng phó nhanh hơn với hoạt động này. Điều đáng chú ý là, việc chỉ xoay khóa DKIM không giải quyết được vấn đề, cần kết hợp với các biện pháp bảo mật khác.