E-posta Replay Saldırıları: DKIM Rotasyonu Yetmez

E-posta yöneticisi olarak bir gün DMARC raporunda ilginç bir şey fark ediyorsun: kendi domaininden gelen, DKIM doğrulamasını geçen e-postalar var ama gönderici IP adreslerini tanımıyorsun ve hiçbir zaman o alıcılara mesaj göndermedin. Doğal olarak ilk tepki DKIM anahtarını döndürmek oluyor. Ama burada sorun daha derin.

E-posta replay saldırıları, DKIM imzasının nasıl çalıştığı ve saldırganların onu nasıl kötüye kullanabileceği hakkında önemli bir gerçeği ortaya koyuyor. DKIM, e-postaların imzalanmasını ve doğrulanmasını sağlayan bir mekanizmadır; ancak mesajın ne zaman gönderildiğini kontrol etmez. Saldırgan, geçmişte yasal olarak gönderilen bir e-postayı yakalar, DKIM imzasını olduğu gibi bırakır ve aynı mesajı tekrar tekrar farklı alıcılara gönderir. DKIM doğrulaması başarılı olur çünkü imza hâlâ geçerlidir.

Anahtarı döndürmek, yalnızca yeni imzaların başarısız olmasını sağlar. Ama önceki anahtarla imzalanan eski mesajlar? Bunlar geçerli olmaya devam eder ve replay saldırılarında kullanılabilir. Bazı e-posta sunucuları eski anahtarları belirli bir süre boyunca doğrulama için tutarlar.

Gerçek koruma çok katmanlı olmalı. İlk olarak, DMARC politikasını sıkı tutmak gerekir; `p=reject` seçeneği ile sadece doğrulanmış kaynakları kabul etmek. İkinci olarak, SPF (Sender Policy Framework) kayıtlarını güncelle ve sadece yetkili IP adreslerinin e-posta göndermesine izin ver. Üçüncü olarak, e-posta sunucunun eski DKIM anahtarlarını ne kadar süre tuttuğunu kontrol et; gereksiz yere uzun tutmak riski arttırır.

DKIM anahtarı döndürmek bir adım ama bir çözüm değil. Replay saldırılarına karşı gerçek savunma, DKIM, SPF ve DMARC'ı birlikte güçlü bir şekilde yapılandırmaktan geçer.