Zum Hauptinhalt springen

11. Security Considerations (Sicherheitsüberlegungen)

SPF bietet wichtige Sicherheitsverbesserungen für E-Mail, weist aber auch bestimmte Einschränkungen und potenzielle Sicherheitsrisiken auf.

11.1 Security Strengths (Sicherheitsstärken)​

SPF bietet folgende Sicherheitsvorteile:

Email Source Authentication (E-Mail-Quellenauthentifizierung)​

SPF ermöglicht es Empfängern zu überprüfen, ob eine E-Mail von einem autorisierten Mail-Server für eine bestimmte Domäne stammt. Dies reduziert:

  • Domain-Spoofing: Verhindert, dass Angreifer vorgeben, von legitimen Domänen zu senden
  • Phishing: Macht es für Angreifer schwieriger, E-Mails zu erstellen, die scheinbar von vertrauenswürdigen Quellen stammen
  • Spam: Hilft, unerwünschte E-Mails von nicht autorisierten Sendern zu identifizieren

Lightweight and Scalable (Leicht und skalierbar)​

SPF nutzt die vorhandene DNS-Infrastruktur, wodurch es einfach bereitzustellen und zu pflegen ist, ohne neue Protokolle oder Server zu benötigen.

11.2 Security Limitations (Sicherheitseinschränkungen)​

SPF hat wichtige Einschränkungen, die Administratoren verstehen müssen:

Does Not Authenticate Message Content (Authentifiziert nicht den Nachrichteninhalt)​

SPF validiert nur die MAIL FROM-Identität (Envelope From), nicht den From-Header, den Endbenutzer sehen. Angreifer können immer noch:

  • Den From-Header fälschen und eine andere Domäne im sichtbaren From-Feld verwenden
  • SPF umgehen, indem sie ihre eigene Domäne mit einem gültigen SPF-Eintrag verwenden

Lösung: Verwenden Sie DMARC zusammen mit SPF, um From-Header-Ausrichtung durchzusetzen.

Does Not Protect Message Integrity (Schützt nicht die Nachrichtenintegrität)​

SPF bietet keine kryptografischen Signaturen oder Integritätsprüfungen für den E-Mail-Inhalt. Angreifer können den Nachrichteninhalt während der Übertragung ändern.

Lösung: Verwenden Sie DKIM für kryptografische Nachrichtensignatur und Integritätsschutz.

Forwarding Issues (Weiterleitungsprobleme)​

Wie in Abschnitt 10.3 besprochen, bricht SPF bei E-Mail-Weiterleitung und Mailinglisten-Szenarien, da sich die sendende IP ändert, aber die MAIL FROM-Identität gleich bleibt.

Lösung: Verwenden Sie SRS (Sender Rewriting Scheme) oder DMARC-Richtlinienbehandlung.

11.3 DNS Security (DNS-Sicherheit)​

SPF verlässt sich auf DNS, das anfällig für verschiedene Angriffe sein kann:

DNS Spoofing and Cache Poisoning (DNS-Spoofing und Cache-Poisoning)​

Angreifer können versuchen, DNS-Antworten zu manipulieren, um SPF-Überprüfungen zu umgehen oder zu täuschen.

Minderung: Verwenden Sie DNSSEC zur kryptografischen Authentifizierung von DNS-Antworten.

DNS Lookup Amplification (DNS-Lookup-Verstärkung)​

SPF-Einträge können so gestaltet werden, dass sie übermäßige DNS-Lookups verursachen, was zu Denial-of-Service-Angriffen (DoS) führt.

Minderung: SPF erzwingt ein Limit von 10 DNS-Lookups pro Überprüfung. Implementierungen müssen dieses Limit durchsetzen und mit PermError abbrechen, wenn es überschritten wird.

11.4 Privacy Considerations (Datenschutzüberlegungen)​

SPF-Überprüfungen erfordern DNS-Abfragen, die die IP-Adresse des Absenders offenlegen:

  • Domänenadministratoren können DNS-Abfragen protokollieren und Informationen über sendende IPs sammeln
  • ISPs und DNS-Resolver können SPF-Abfrageverkehr überwachen

Diese sind im Allgemeinen keine ernsthaften Datenschutzprobleme, aber Administratoren sollten sich ihrer bewusst sein.

11.5 DoS Attacks (DoS-Angriffe)​

SPF-Überprüfungen erfordern DNS-Lookups, die für DoS-Angriffe missbraucht werden können:

Excessive DNS Queries (Übermäßige DNS-Abfragen)​

Angreifer können E-Mails mit komplexen SPF-Einträgen senden, die viele DNS-Lookups auslösen und die DNS-Server des Empfängers überlasten.

Minderung: Erzwingen Sie das 10-Lookup-Limit und brechen Sie die Verarbeitung mit PermError ab.

DNS Reflection Attacks (DNS-Reflection-Angriffe)​

Angreifer können die SPF-Verarbeitung missbrauchen, um DNS-Reflection-Angriffe zu verstärken.

Minderung: Implementieren Sie Rate-Limiting und Überwachung für DNS-Abfragen.

11.6 Best Practices for Secure SPF Deployment (Best Practices für sichere SPF-Bereitstellung)​

Um die Sicherheit von SPF-Bereitstellungen zu maximieren:

  1. Use SPF with DKIM and DMARC (Verwenden Sie SPF mit DKIM und DMARC): Kombinieren Sie SPF mit DKIM für Nachrichtensignatur und DMARC für Richtliniendurchsetzung.

  2. Deploy DNSSEC (DNSSEC bereitstellen): Sichern Sie DNS-Antworten mit DNSSEC zur Verhinderung von DNS-Spoofing.

  3. Use Hard Fail Cautiously (Verwenden Sie Hard Fail mit Vorsicht): Beginnen Sie mit ~all (SoftFail) zum Testen, bevor Sie zu -all (Fail) übergehen.

  4. Monitor and Maintain SPF Records (Überwachen und pflegen Sie SPF-Einträge): Aktualisieren Sie SPF-Einträge regelmäßig, wenn sich die Mail-Infrastruktur ändert.

  5. Limit DNS Lookups (Begrenzen Sie DNS-Lookups): Halten Sie SPF-Einträge einfach und vermeiden Sie übermäßige include:- und redirect:-Mechanismen.

  6. Implement Logging and Monitoring (Implementieren Sie Protokollierung und Überwachung): Verfolgen Sie SPF-Überprüfungsergebnisse und untersuchen Sie Anomalien.

  7. Educate Users (Schulen Sie Benutzer): Informieren Sie Benutzer über Phishing und die Grenzen von SPF bei der Validierung des From-Headers.

Letztes Update am