O e-mail é um dos vetores de ataque mais explorados em segurança da informação. Todos os dias, milhões de mensagens maliciosas circulam pela internet, tentando enganar usuários e sistemas. Para mitigar esses riscos, é essencial entender as tecnologias de autenticação que ajudam a verificar a legitimidade dos remetentes, bem como desenvolver uma postura crítica em relação às mensagens recebidas.

Nesta aula, vamos explorar três pilares fundamentais da segurança de e-mail: SPF (Sender Policy Framework), DKIM (DomainKeys Identified Mail) e DMARC (Domain-based Message Authentication, Reporting, and Conformance). Além disso, discutiremos a importância da conscientização sobre phishing, que é a primeira linha de defesa contra ataques que exploram o fator humano.

SPF (Sender Policy Framework)

O SPF é um mecanismo que permite ao proprietário de um domínio especificar quais servidores estão autorizados a enviar e-mails em seu nome. Ele funciona por meio de registros DNS (Domain Name System) que listam os endereços IP ou hostnames autorizados. Quando um servidor de e-mail recebe uma mensagem, ele consulta o registro SPF do domínio do remetente e verifica se o IP de origem está na lista. Se estiver, a mensagem é considerada legítima; caso contrário, pode ser marcada como suspeita ou rejeitada.

O SPF ajuda a combater o spoofing de e-mail, técnica em que um atacante falsifica o cabeçalho "De" para parecer que a mensagem veio de um domínio legítimo. No entanto, o SPF tem limitações: ele não protege contra ataques em que o remetente usa um domínio que não possui registro SPF, nem impede que o conteúdo da mensagem seja malicioso. Além disso, o SPF pode falhar se houver erros de configuração, como a inclusão de IPs incorretos.

Para configurar o SPF, você precisa adicionar um registro TXT no DNS do seu domínio. Um exemplo de registro SPF é:

v=spf1 ip4:192.0.2.0/24 include:_spf.exemplo.com -all

Neste exemplo, v=spf1 indica a versão do SPF, ip4:192.0.2.0/24 autoriza o intervalo de IPs, include:_spf.exemplo.com inclui os IPs especificados em outro domínio, e -all indica que qualquer outro servidor não autorizado deve falhar na verificação. É importante testar a configuração com ferramentas como o SPF Validator.

Uma boa prática é começar com ~all (soft fail) em vez de -all (hard fail) para evitar rejeição de mensagens legítimas enquanto você ajusta a configuração.

DKIM (DomainKeys Identified Mail)

O DKIM é um método de autenticação que assina digitalmente as mensagens de e-mail. Ele adiciona uma assinatura criptográfica ao cabeçalho da mensagem, que é verificada pelo servidor receptor usando uma chave pública publicada no DNS do domínio do remetente. Essa assinatura garante que a mensagem não foi alterada durante o trânsito e que realmente foi enviada pelo domínio que afirma ser.

Diferentemente do SPF, que verifica o IP do servidor de envio, o DKIM verifica a integridade do conteúdo e a autenticidade do domínio. Isso é especialmente útil quando e-mails são encaminhados, pois o SPF pode falhar nesses casos, mas o DKIM permanece intacto. O DKIM também ajuda a prevenir spoofing, pois um atacante não pode forjar a assinatura sem a chave privada.

Para implementar o DKIM, você precisa gerar um par de chaves (pública e privada). A chave privada é usada pelo seu servidor de e-mail para assinar as mensagens, enquanto a chave pública é publicada em um registro DNS TXT, geralmente com um seletor (ex.: default._domainkey). Um exemplo de registro DKIM é:

default._domainkey IN TXT "v=DKIM1; k=rsa; p=MIGfMA0GCSqGSIb3DQEBAQUAA4GNADCBiQKBgQC..."

O campo p= contém a chave pública em Base64. A configuração exata varia conforme o provedor de e-mail. Muitos serviços, como Google Workspace e Microsoft 365, oferecem assistência para configurar o DKIM.

Uma boa prática é usar um seletor único para cada serviço de envio e rotacionar as chaves periodicamente para aumentar a segurança.

DMARC (Domain-based Message Authentication, Reporting, and Conformance)

O DMARC é uma política que combina SPF e DKIM para dar aos proprietários de domínio controle sobre como as mensagens que falham na autenticação devem ser tratadas. Com o DMARC, você pode instruir os servidores receptores a: não fazer nada (none), colocar a mensagem em quarentena (quarantine) ou rejeitá-la (reject). Além disso, o DMARC gera relatórios que mostram quais mensagens estão falhando na autenticação, permitindo que você monitore e ajuste sua configuração.

O DMARC é essencial para proteger seu domínio contra uso indevido em ataques de phishing e spoofing. Sem DMARC, os atacantes podem enviar e-mails forjados com seu domínio, e os servidores receptores não terão uma política clara sobre como lidar com eles. O DMARC também ajuda a melhorar a entregabilidade dos seus e-mails legítimos.

Um registro DMARC é publicado no DNS como um registro TXT no subdomínio _dmarc. Exemplo:

_dmarc IN TXT "v=DMARC1; p=quarantine; rua=mailto:dmarc@exemplo.com; pct=100"

Neste exemplo, p=quarantine indica que mensagens que falham devem ser enviadas para a pasta de spam, rua define o endereço para receber relatórios agregados, e pct=100 aplica a política a 100% das mensagens. É recomendado começar com p=none para analisar os relatórios antes de aplicar uma política mais rígida.

O DMARC exige que a mensagem passe em pelo menos um dos mecanismos (SPF ou DKIM) e que o domínio no cabeçalho "De" esteja alinhado com o domínio usado no SPF/DKIM. O alinhamento pode ser estrito (adkim=s) ou relaxado (adkim=r).

Phishing awareness

Phishing é uma técnica de engenharia social em que o atacante se passa por uma entidade confiável para induzir a vítima a fornecer informações sensíveis, como senhas, números de cartão de crédito ou dados pessoais. Os ataques de phishing geralmente são realizados por e-mail, mas também podem ocorrer por mensagens de texto, redes sociais ou sites falsos. A conscientização sobre phishing é crucial, pois mesmo com SPF, DKIM e DMARC, e-mails legítimos podem ser usados em ataques de engenharia social.

Existem vários tipos de phishing: spear phishing (direcionado a uma pessoa específica), whaling (direcionado a executivos), clone phishing (replicação de uma mensagem legítima) e pharming (redirecionamento para sites falsos). Os atacantes usam técnicas como URLs enganosas, domínios semelhantes (ex.: paypa1.com) e anexos maliciosos para enganar as vítimas.

Para se proteger, é essencial adotar uma postura crítica ao receber e-mails. Algumas dicas incluem:

  • Verifique o endereço de e-mail do remetente, não apenas o nome exibido.
  • Passe o mouse sobre os links para ver a URL real antes de clicar.
  • Desconfie de mensagens com senso de urgência ou ofertas muito boas para ser verdade.
  • Não baixe anexos de remetentes desconhecidos.
  • Use autenticação multifator (MFA) para proteger suas contas.

As organizações devem implementar programas de treinamento contínuo em segurança, realizar simulações de phishing e ter políticas claras para lidar com incidentes. Além disso, é importante manter os sistemas atualizados e usar filtros de spam eficientes.

Boas práticas e observações finais

Para uma proteção eficaz, implemente SPF, DKIM e DMARC em conjunto. Comece com políticas brandas e monitore os relatórios para ajustar a configuração. Além disso, eduque os usuários sobre os riscos de phishing e promova uma cultura de segurança.

Lembre-se de que nenhuma tecnologia é infalível. A combinação de camadas técnicas e conscientização humana é a melhor defesa contra ataques de e-mail.

Referências

Exercícios

  1. Explique a diferença entre SPF e DKIM em termos de verificação.

    2. ✓ Resposta: O SPF verifica se o IP do servidor de envio está autorizado pelo domínio do remetente, consultando registros DNS. O DKIM, por outro lado, verifica a assinatura digital da mensagem, garantindo que o conteúdo não foi alterado e que o domínio realmente a enviou. Enquanto o SPF foca na origem, o DKIM foca na integridade e autenticidade do conteúdo.
  2. Qual é a finalidade do DMARC e como ele se relaciona com SPF e DKIM?

    3. ✓ Resposta: O DMARC define uma política de tratamento para mensagens que falham na autenticação SPF ou DKIM. Ele permite que o proprietário do domínio especifique se as mensagens devem ser rejeitadas, colocadas em quarentena ou entregues, além de fornecer relatórios. O DMARC depende do SPF e do DKIM para verificar a autenticidade, mas adiciona uma camada de controle e visibilidade.
  3. Descreva três sinais de alerta comuns em e-mails de phishing.

    4. ✓ Resposta: 1) Urgência ou ameaças (ex.: "Sua conta será bloqueada em 24 horas"). 2) Links que não correspondem ao domínio do remetente (ex.: exibir "paypal.com" mas o link apontar para "paypa1.com"). 3) Saudações genéricas como "Caro cliente" em vez de usar seu nome. 4) Anexos inesperados ou solicitações de credenciais.
  4. O que significa "alinhamento" no contexto do DMARC?

    5. ✓ Resposta: Alinhamento refere-se à correspondência entre o domínio usado no cabeçalho "De" (From) e o domínio usado nas verificações SPF ou DKIM. Pode ser estrito (o domínio deve ser idêntico) ou relaxado (subdomínios são aceitos). O DMARC exige que haja alinhamento para que a mensagem seja considerada autenticada.
  5. Cite duas boas práticas para implementar DMARC com segurança.

    6. ✓ Resposta: 1) Comece com uma política p=none para coletar relatórios e entender o tráfego de e-mail do seu domínio. 2) Aumente gradualmente a rigidez da política para quarantine e depois reject, monitorando os relatórios para evitar a rejeição de e-mails legítimos.