Når dårlig sikkerhed bliver synlig


Postnord/Postdanmark har gennem tiden lagt navn til ganske mange phishing emails.

Nu kommer vi så til det komiske, billedet herover viser ikke en falsk email, den er skam ganske ægte og afsendt af Postnord.

Forklaringen er at Postnord kører den helt usikre stil, ingen DMARC, ingen DKIM signatur, kun en SPF record, og i dette tilfælde har de afsendt email fra en mailserver som ikke er dækket af SPF recorden.

Alt i alt, vil de fleste kriminelle være istand til at sende Postnord email som performer bedre end den ægte vare.

mac.com, me.com og icloud.com

De Apple ejede email domæner mac.com, me.com og icloud.com har nu en DMARC quarantine politik.
Du kan derfor ikke længere anvende din Internet udbyders SMTP server til at afsende den slags email, men skal i stedet for anvende Apples SMTP servere.
Her finder du Apples SMTP indstillinger
Bruger du en email adresse på et af de ovennævnte domæner f.eks. som afsender adresse hos MailChimp eller en anden email service provider, skal du skifte til et andet domæne.

SPF record tips

SPF record tips & tricks

SPF standarden beskriver den simpleste form for email authentication der eksisterer.
SPF har været i brug siden ca. år 2005.
Enhver domæneejer bør kende til og anvende SPF, sådan lidt i stil med alle der færdes i trafikken skal kende færdselsloven og overholde den.
Men, hvor det i trafikken er forbudt ved lov at udsætte sig selv eller andre for fare, så forholder det sig helt anderledes på Internettet, her er der nærmest ingen regler for hvor usikkert  man kan slippe afsted med at opføre sig.

Mange domæner anvender ikke SPF.
Andre har problemer med implementeringen, og ender med  en konfiguration som ikke virker.

Jeg har kigget på rigtig mange SPF records gennem årene, og i forhold til de defekte SPF records, er der en sær form for system i rodet, det er de samme fejl man ser igen og igen.

Copy/Paste

Det er meningen der skal tænkes lidt over hvad man fylder i sin SPF record, en del vælger en Google søgning istedet, finder en ældgammel artikel om SPF records og kopierer noget derfra.
SPF records som starter med “v=spf1 a mx ptr” er der for det meste ikke tænkt meget over, de kan typisk godt tåle en kritisk gennemgang.
F.eks bør man ikke anvende ptr udtrykket i en SPF record.

Copy/Paste fra Microsoft Word

Lad være med at kopiere fra Word/Excel direkte ind i et DNS webinterface, det kan give nogle besynderlige resultater.
F.eks:

v=spf1 ip4:194.255.119.0/26 ip4:213.150.59.247/32 include:spf.comendosystems.com\226\128\147all

som nok i stedet for skulle have været:

v=spf1 ip4:194.255.119.0/26 ip4:213.150.59.247/32 include:spf.comendosystems.com -all

Kilde: Folketingets domæne ft.dk 14/7/2018

MX udtryk + G-Suite/Office365

Anvender du G-Suite eller Office365 til email, skal du have “include:_spf.google.com” eller “include:spf.protection.outlook.com” i din SPF record, et “mx” udtryk er fuldkommen overflødigt og bidrager kun til at øge antallet af DNS opslag som kræves for at evaluere din SPF record.
Der er en grænse på max 10, så det er en dårlig ide med overflødige udtryk.

Blind tillid til email service providers

Email service providers (3. parter) lever af at sende email, så det ville være naturligt at tro de har fuldkommen styr på samtlige email standarder incl. SPF.
De har de imidlertid ikke, faktisk kan jeg kun komme i tanke om en enkelt email service provider som formår at beskrive SPF rigtigt i sin dokumentation.
Hovedparten af alle email service providers kan ikke kende forskel på SenderId og SPF, og det til trods der er en ganske væsentlig forskel på hvordan de virker.
Som udgangspunkt, kan du regne med at email service providers beder dig lave ændringer i din SPF record som ikke har noget med SPF at gøre. Og ja, jeg ved det lyder helt skørt, men det bliver det ikke mindre rigtigt af.
Her kan du læse mere om SenderId vs. SPF.

Manglende oprydning

Indtil 2012 kunne man med rette være lidt bange for at rydde op/slette noget i en SPF record, man arbejdede lidt i blinde og kunne nemt komme til at slette noget som stadig var i brug.
Sørger man for at implementere DMARC har man ikke den slags problemer, så fortæller ens DMARC rapporter helt tydeligt hvad der er i brug.

Parkerede domæner

Mange firmaer ejer en stor samling domæner. Det kan dreje sig om lookalike domæner, produktnavne, gamle produktnavne, fremtidige produktnavne osv.
Ved at have domænerne registreret, men intaktive, beskytter man sig f.eks mod typosquatting.
De fleste firmaer glemmer desværre at beskytte domænerne mod email misbrug.
For et lookalike domænes vedkommende betyder det man nærmest giver de kriminelle en hjælpende hånd når de beslutter sig for at rette et phishing angreb mod firmaets kunder.
Her kan du læse om hvordan du beskytter et parkeret domæne

Mere end en SPF record

SPF standarden dikterer at man kun have en SPF record pr. domæne/subdomæne, så når man ønsker at tilføje noget, skal det tilføjes til den allerede eksisterende SPF record.

Test dine ændringer

Der findes masser af gratis værktøjer som på sekunder kan fortælle dig om du har lavet fatale fejl i din SPF record.
Personligt anvender jeg altid Dmarcians SPF Survey

Spørg hvis du er i tvivl

Internettet er, ud over at være arbejdsplads for kriminelle, distributionskanal for fakenews plus en masse andet skidt, også stedet hvor du kan finde flinke og hjælpsomme mennesker som gerne giver en hånd når du sidder og bøvler med et teknisk problem.

Læsestof om SPF:

Hjælper du kriminelle?

Donating to crime

Nej, du hjælper nok ikke de kriminelle med fuldt overlæg, men dårlig email sikkerhed kombineret med et par andre uhensigtsmæssigheder, kan gøre at du alligevel hjælper dem, eller ihvertfald gør deres arbejde betydeligt nemmere.

DMARC
Har du ikke implementeret DMARC på dit domæne, gør du det ekstremt nemt for kriminelle at sende forfalskede og særdeles vellignende emails med dit eget domæne som afsender.
En SPF record er i forhold til phishing værdiløs.
Din lokale ekspert som hårdnakket påstår en SPF record er løsningen på falske emails, ja ham må du bede om at læse SPF standarden lidt mere grundigt, der er noget helt grundlæggende han har misforstået.

Referencer
Er du et af de firmaer som skilter med dine B2B kunder og samarbejdspartere på din hjemmeside, har du givet de kriminelle endnu en hjælpende hånd. Med den information ved de også hvem de kan rette et spear phishing angreb imod.

Medarbejderoversigt
Er du derudover også et af de firmaer som har en medarbejderoversigt liggende på din hjemmeside, med titler, navne og emailadresser, så ved de kriminelle også præcis hvilken falsk identitet de skal antage.

Alt i alt er det ikke så svært utilsigtet nærmest at opfordre til kriminalitet. Der er ikke rigtig nogen lov som forbyder ovenstående scenarie, men er du glad for, eller måske ligefrem afhængig af dine kunder, vil jeg anbefale ikke at udsætte dem for fare som i sidste ende vil pege tilbage på dig.

 

 

SPF er ikke SenderID

You are using it wrong
I Januar måned oprettede jeg status.dmarc.dk, hvor man kan se email sikkerheds status for en række udvalgte domæner.
At firmaer over en bred kam ikke bekymrer sig om email sikkerhed er ikke den store nyhed.
Men det er en smule skræmmende at se hvor store problemer der er med at implementere SPF korrekt, vi taler om en over 10 år gammel standard som i nogle tilfælde end ikke store velrenomerede IT firmaer magter at implementere korrekt.

Hvordan kan så mange mislykkes med at implementere noget så forholdsvis simpelt som SPF?

Lad os starte med at se på hvad SPF egentlig er. SPF standarden er defineret i RFC7208.
Indrømmet det er bestemt ikke læselet læsning, men når man bare igennem introduktionen vil man forstå at SPF beskytter MAIL FROM domænet mod uautoriseret brug.

Næste ting vi skal have slået fast: MAIL FROM domænet er ikke det domæne du kan se som en del af afsender emailadressen i din email klient. 1
MAIL FROM adressen/domænet kan du se hvis du kigger i de rå headers der hører til en email.
Her er et eksempel på en MAIL FROM emailadresse i en email fra Proshop. 2

3fc.c.507834095.j3786771-20809254@proshop.anpdm.com

MAIL FROM domænet er i dette tilfælde

proshop.anpdm.com

Det vil sige SPF recorden som var gældende da jeg modtog denne email skal man kigge efter på ovenstående domæne,  og ganske rigtigt, der finder man en SPF record som whitelister APSIS email infrastrukturen.
Hvorfor i alverden inkluderer Proshop så APSIS SPF recorden i roden af proshop.dk domænet?
Ja det er et godt spørgsmål. men det har ihvertfald ikke noget med SPF at gøre.
Der er flere mulige forklaringer.

  • Email service provideren aner ikke hvordan SPF virker, det tror jeg nu ikke er tilfældet når vi taler om APSIS, men jeg har talt med mange hvor det var forklaringen.
  • Man forsøger at understøtte den forældede SenderID standard, på en særdeles uelegant og kluntet måde.

Lad os kigge lidt nærmere på SenderID. M3AAWG som er en sammenslutning af firmaer der modtager tæt på alle de emails du sender, skriver meget diplomatisk:

SenderID deprecation
SenderID is a deprecated standard that was intended as an alternative to SPF. SenderID was
officially deprecated with the publication of RFC7208 in 2015, and is no longer considered when
authenticating email. SenderID records can be identified by their v=spf2.0 prefix.
A record that starts with this prefix should not be used and any such record should be deleted.

Kender man lidt til SenderID syntax og fallback til SPF syntax når en SenderID record ikke eksisterer kunne man lave denne lidt mindre diplomatiske oversættelse:

SenderID er død, stendød, hold op med at understøtte det. Skal du død og pine understøtte SenderID, så hav i det mindste anstændighed nok i livet til at anvende den korrekte SenderID syntax, så du ikke samtidig gør skade på eksisterende SPF records. :-)

Lad os komme igang med at få ryddet op efter SenderID, uhyggeligt mange SPF records indeholder include statements som ikke burde være der. Overflødige include statements er den altoverskyggende største årsag til defekte SPF records.

 

1 SPF er dermed i praksis virkningsløs som beskyttelse mod phishing.
2 Jeg har intet imod hverken Proshop eller APSIS, jeg brugte ganske enkelt det seneste nyhedsbrev jeg har modtaget som eksempel.

Kilder:
M3AAWG Best Practices for Managing SPF Records.
SPF vs. SenderID

status.dmarc.dk

At finde ud af om et domæne er sikret mod phishing kan være lidt udfordrende.

Har du en iPhone, kan du med fordel installere Stopsvindel.nu app’en, så foregår det helt automatisk & smertefrit.

Du kan også bruge DMARC dot DKs seneste tiltag: status.dmarc.dk, her kan du nogenlunde nemt se om et givent domæne har sikret sig mod email misbrug.
Der er i øjeblikket lidt over 500 domæner i den bagvedliggende database, men der bliver løbende tilføjet nye.

Er der domæner du gerne vil have tilføjet, så send en email til henrik snabela dmarc.dk

Sikkerhedsopdatering nu, næste uge eller næste måned

Man sleeping in sofa

Venter man for længe med at sikkerhedsopdatere Internetvendte systemer kan det have fatale følger.  Det kan alle WannaCry og NotPetya ofre skrive under på, og senest har Equifax også gjort sig nogle uheldige erfaringer på det område.

Generelt er det en god ide ikke at vente for længe med at opdatere hvis sikkerhed er en prioritet i ens liv eller virksomhed.
En ting er sikkert, jo længere man venter, jo større er risikoen for at nogen udnytter de sikkerhedsproblemer man har.

Email havde engang et sikkerhedsproblem, i mange år var det muligt at udgive sig for at være en anden end den man egentlig var, og det var ikke engang svært at gøre. Fænomenet var kendt som phishing og blev  anvendt direkte eller indirekte  til alverdens former for kriminalitet i hele verden.

Heldigvis kom der en sikkerhedsopdatering til email ved navn DMARC. DMARC løste problemet med at man frit kunne udgive sig for at være en anden.
DMARC sikkerhedsopdateringen var i kraft af sit design en af de sikkerhedsopdateringer man ikke med god samvittighed kunne udskyde udrulningen af.

Om DMARC gælder:

  • Mulighed for gradvis og risikofri udruldning.
  • Der er tale om en overbygning på SPF & DKIM som er gennemprøvede standarder man allerede har haft i brug i mange år. Lidt populært sagt, låsen har været der i mange år, DMARC sørger for at dreje nøglen.
  • Det er gratis, DMARC er en Internet standard og derfor gratis for alle at anvende.

Nå, tilbage til virkeligheden og et par facts.

  • Over 98% af de Danske domæner har ikke taget DMARC i brug.
  • Det er over 5 år siden DMARC blev en realitet.

Du behøver ikke at vente længere!
Kom nu igang med at gøre dit til Internettet bliver lidt mere sikkert for os allesammen.

 

Vi trykker enter 2.0

Cyber Security

I 2014 fik vi “National strategi for cyber- og informationssikkerhed”, og Bjarne Corydon  udtalte  “Vi trykker enter – og så kører det!” … Helt så nemt gik det imidlertid ikke.

Hvor vi i 2014 lå på en 9. plads på ITUs Global Security Index, så er vi i 2017 rykket ned på en 34. plads, til sammenligning ligger Norge og Sverige på henholdsvis plads 11 og 17.

Hvad gik der galt?
For lidt fokus?
Forkert fokus?
For meget snak og for lidt handling?

Nu barsler regeringen så med en ny plan, som ved hjælp af 100 millioner kroner skal føres ud i livet over de næste 3-4 år. IT og Sikkerhedsbranchen er rystende uenige i beløbets størrelse, de mener der skal anvendes et 10 gange så stort beløb.
En ting er dog forholdsvis sikkert, mens der tales, aftales og findes penge her i Danmark, skal vi nok ikke regne med et timeout hos de kriminelle, de har trods alt nogle økonomiske mål de skal nå.

Er der mon noget de enkelte virksomheder selv kan gå igang med mens vi venter?
Ja, det er der, ifølge seneste Verizon’s 2017 Data Breach Investigations Report ser falske emails ud til at spille en af hovedrollerne i  forbindelse med IT kriminalitet.

Lige præcis falske emails kan man forhindre i at nå frem til modtageren ved hjælp af velafprøvede Internet standarder.  For at opnå den ønskede effekt skal man tage 3 standarder i brug: SPF, DKIM & DMARC.
Man kan selvfølgelig ikke forhindre alle falske emails i at nå frem, men man kan forhindre de mest veludførte i at blive leveret, og dermed gør man opgaven med at opdage de resterende falske emails betydelig nemmere for de medarbejdere eller kunder som modtager dem.

Hverken SPF, DKIM eller DMARC er nye standarder, de har eksisteret 5-13 år. Med så gamle standarder til rådighed til at løse et alvorligt problem kunne man jo forledes til at tro standarderne allerede var taget i brug langt de fleste steder?
Det er på ingen måde tilfældet, i skemaet herunder ser man en oversigt over Danmarks 20 økonomisk største virksomheder, kun en virksomhed (TDC) anvender en tidssvarende email sikkerheds konfiguration, Grundfos og Coop er godt igang, de resterende 17 er meget langt bagefter.

VirksomhedDomæneSPFDMARC policyDNSSEC
Mærskmaersk.comJaNone1Nej
Novo Nordisknovonordisk.comJaNone1Nej
Arla foodsarla.dkNejNej
ISSissworld.comJaNoneNej
Dong Energydongenergy.dkJaNoneNej
Carlsbergcarlsberg.comJaNej
DLGdlg.dkJaNej
Danish Crowndanishcrown.comJaNej
Dansk Supermarkeddansksupermarked.comJaNej
United shipping & trading companyustc.dkJaNej
Vestasvestas.comJaNoneNej
DSVdsv.comJaNoneNej
Coopcoop.dkJaQuarantineNej
Danfossdanfoss.comJaNoneNej
SASsas.dkJaNej
Legolego.comJaNoneNej
Statoil Refining Denmarkstatoil.comJaNej
Danish Agrodanishagro.dkNejNej
Grundfosgrundfos.dkJaQuarantineNej
TDCtdc.dkJaRejectNej

1 DMARC rapporterne smides ulæste væk.

DMARC policy forklaring:

  • None, email leverancer overvåges, men ingen falske emails afvises (debug mode)
  • Quarantine, falske emails leveres direkte til spammappen.
  • Reject, falske emails afvises og når aldrig frem til modtageren.

Links:
National strategi for cyber- og informationssikkerhed (2014)
Global Cybersecurity Index rapport – 2014
Global Cybersecurity Index rapport – 2017
Regeringens 100 millioner kroner til it-sikkerhed er alt for lidt
Verizon’s 2017 Data Breach Investigations Report

Opdateringer:

2017-09-07: Vestas.com har nu en DMARC monitor policy.

Dinero – Det sikre valg

Dinero logo

Regnskabsprogrammet Dinero har taget DMARC i brug, vel at mærke en fuld implementering med en reject policy.
I praksis betyder det at Dinero nu beskytter både sig selv, kunderne og kundernes kunder mod falske emails.

Står du og mangler et godt regnskabsprogram?
Vil du gerne beskytte dine kunder mod falske emails?
Så er det helt klart Dinero du skal vælge.

Det er ikke lykkedes at finde andre udbydere af regnskabsprogrammer med en tilsvarende god email sikkerhed.