W

internecie możemy być właścicielem wielu domen, a w ramach nich rejestrować wiele subdomen. Nasze (sub)domeny mogą być używane do bardzo wielu zastosowań: obsługi strony (aplikacji) internetowej, poczty, serwera plików, serwera DNS, ochrony marki, działalności w wielu krajach itd. Wiele z tych (sub)domen będzie uniwersalna – zawierając pod sobą większość z wymienionych usług, a jeszcze większa ilość (licząc z subdomenami) będzie ukierunkowana na świadczenie konkretnej usługi. Jeśli nasza (sub)domena nie jest przeznaczona do obsługi poczty e-mail, niezależnie od tego, czy jest to poczta przychodząca (chcemy ją odbierać), czy wychodząca (chcemy ją wysyłać), również musimy zadbać o jej prawidłową konfigurację, aby zapobiec wykorzystywaniu tej (sub)domeny do nieuczciwych działań w internecie (czyt. podszywaniu się i wysyłaniu phishingu).

Rekordy NULL MX:

Adres serwera pocztowego jest ustalany na podstawie zapytań DNS. Na początku szukany jest rekord MX, gdy ten typ rekordu nie zostanie odnaleziony / zwrócony szukany jest kolejny rekord: typu A (IPv4) / AAAA (IPv6) jako adres rezerwowy. Niestety oznacza to, że w wielu przypadkach rekordy typu A / AAAA są uważane za adres serwera pocztowego, nawet jeśli taki adres nie przyjmuje poczty. Powodem takiego zachowania jest zapewnienie metody awaryjnej w przypadku błędnej konfiguracji DNS lub jeśli usługa DNS nie obsługuje rekordu typu MX (co było problemem w 1982 roku, kiedy wydano oryginalny dokument RFC dla protokołu SMTP). Powoduje to sytuacje, że po wysłaniu wiadomości e-mail nasz serwer pocztowy wraca do nas z informacją, że nasza wiadomość nie została dostarczona, ale system jeszcze spróbuje (kilka razy) później. Czasami systemy poczty elektronicznej mogą próbować dostarczyć wiadomości e-mail przez wiele godzin lub nawet kilka dni – po przekroczeniu tego czasu lub określonej ilości prób zostaniemy powiadomieni, że wiadomość nie mogła zostać dostarczona. Powoduje to opóźnienia, nieporozumienia i niepotrzebne pytania o dostarczenie poczty – nie mówiąc o zbędnym ruchu sieciowym i marnowaniem energii elektrycznej.

Dlatego dla domen, które nie są używane do poczty e-mail, a mają zastosowanie w innych funkcjach np. CDN powinniśmy ustawiać rekord: No Service MX RR zwany potocznie NULL MX, który został opisany w RFC 7505. Formalizuje on istniejący proces ustalania serwera pocztowego dla danej domeny – dzięki niemu domena może od razu poinformować, że nie przyjmuje korespondencji elektronicznej (nie udostępniając też adresu serwera poczty) pozwalając na szybsze odrzucenie wiadomości, a tym lepszą efektywność operacyjną. Według RFC rekord NULL MX posiada najwyższy priorytet (0) i pustą etykietę hosta (“.”). Rekord MX tego typu powinien być jedynym rekordem ustawionym dla (sub)domeny:

cdn.nfsec.pl.    IN MX 0 .

Odpytanie o rekord MX dla subdomeny “cdn” powinno zwrócić:

root@darkstar:~# dig +short MX cdn.nfsec.pl
0 .
root@darkstar:~# host -t MX cdn.nfsec.pl
cdn.nfsec.pl mail is handled by 0 .

Spowoduje to, że wysyłająca usługa SMTP użyje tego rekordu i nie będzie uznawać za serwer pocztowy adresy zwrócone w rekordach A / AAAA. Ponieważ nazwa hosta w rekordzie NULL MX nie jest użyteczna (jest pusta), a domena nie publikuje żadnych innych rekordów MX – serwer SMTP nie będzie miał żadnych innych dróg dostarczenia poczty i wiadomość zostanie odrzucona np. z błędem:

DNS Error: 913429 DNS type ‘mx’ lookup of cdn.nfsec.pl responded with code NOERROR
The domain cdn.nfsec.pl doesn’t receive email according to the administrator:
returned Null MX https://www.rfc-editor.org/info/rfc7505

Rekordy SPF i DMARC:

Uzupełnieniem rekordu NULL MX dla (sub)domeny, która nie obsługuje żadnej poczty powinny być odpowiednie rekordy SPF (ang. Sender Policy Framework) oraz DMARC (ang. Domain-based Message Authentication Reporting and Conformance). (Sub)domeny, które nie są używane do odbierania / wysyłania wiadomości e-mail, mogą nadal być podatne na nieuczciwe nadużycia. Cyberprzestępcy mogą próbować wysyłać wiadomości e-mail w imieniu naszych domen (podszywać się). Jeśli poprawnie skonfigurowaliśmy informację o tym, że nasza domena nie obsługuje poczty przychodzącej – tak samo ważne jest skonfigurowanie jej, aby powiadamiała inne systemy, że nikt nie powinien wysyłać za jej pośrednictwem wiadomości e-mail do innych serwerów pocztowych. W tym celu należy wykorzystać rekordy SPF i DMARC, aby zapobiec akceptowaniu wiadomości e-mail wysyłanych w imieniu (sub)domeny przez jakiegokolwiek odbiorcę. Po opublikowaniu poniższej polityki “odrzucania” każda wiadomość e-mail zostanie niezaakceptowana przez serwery pocztowe poprawnie obsługujące rekordy SPF oraz DMARC:

cdn.nfsec.pl.    IN TXT "v=spf1 -all"
_dmarc.cdn.nfsec.pl.    IN TXT "v=DMARC1; p=reject; adkim=s; aspf=s;"

Powyższy wpis SPF spowoduje, że wiadomości e-mail wysłane w imieniu naszych (sub)domen nie przejdą weryfikacji SPF. Ponadto prefiks “-” sprawi, że większość odbiorców wiadomości e-mail natychmiast porzuci fałszywą wiadomość i nie podejmie nawet próby przeprowadzenia weryfikacji DKIM. Analogicznie dla wpisu DMARC: po ustawieniu wpisu SPF na wartość: “-all” i nie opublikowaniu żadnych rekordów DKIM, żadna wiadomość e-mail wysłana w imieniu (sub)domeny nie będzie mogła osiągnąć zgodności polityki DMARC. W rezultacie system pocztowy odbiorcy z taką polityką DMARC powinien odrzucić każdą wiadomość. Należy pamiętać, że SPF nie jest propagowany w dół na subdomeny, co oznacza, że w przypadku wiadomości e-mail wysyłanych z subdomen rekord SPF ustawiony dla głównej domeny nie będzie użyty. Dlatego musimy utworzyć rekord SPF dla wszystkich subdomen pojedynczo lub za pomocą rekordu wildcard pod adresem *.twojadomena.pl. Z kolei inaczej jest dla DMARC, który się propaguje “do góry”. Oznacza to, że jeśli wiadomość e-mail zostanie wysłana z użyciem subdomena.twojadomena.pl w adresie nadawcy, a pod adresem _dmarc.subdomena.twojadomena.pl nie będzie rekordu DMARC, system odbiorcy będzie szukał rekordu DMARC pod adresem: _dmarc.twojadomena.pl. Jeśli dla domeny zdefiniowaliśmy politykę odrzucenia wypada sprawdzić czy w subdomenach nie istnieją żadne inne rekordy DMARC, aby mieć pewność, że żadna wiadomość e-mail nie będzie mogła zostać wysłana z żadnej subdomeny.

Więcej informacji: Mail Exchange Record (MX), Hardening unused (sub)domains, Null MX – We do not accept e-mail here!, Mechanizmy weryfikacji nadawcy wiadomości