DMARC là gì? Hướng dẫn tạo và cấu hình DMARC record

DMARC là giải pháp giúp xác thực email và hạn chế tối đa tình trạng spam email.

Hôm nay, hãy cùng BKHOST tìm hiểu mọi thông tin chi tiết về DMARC, phương thức hoạt động và công dụng của nó, cách tạo và cấu hình DMARC Record… Cùng bắt đầu ngay thôi nào.

DMARC là gì?

DMARC (Domain-based Message Authentication & Conformance) là cách chống lại việc giả mạo địa chỉ email từ mục gửi đi (From).

Hay nói cách khác, nó sẽ xác thực lại người gửi có đúng là người dùng thật hay không. Từ đó, nó có thể ngăn chặn được email giả mạo gửi đến người nhận. Và chỉ cho phép những địa chỉ mail được xác thực mới có thể gửi mail đến hộp thư người nhận.

DMARC (ngăn chặn tấn công bằng địa chỉ email giả mạo) là sự kết hợp của SPF và DKIM (xử lý ngăn chặn các mã độc, tin nhắn rác trong email), giúp tạo ra một môi trường sử dụng email an toàn và trong sạch cho cộng đồng người dùng.

Tại sao cần đến DMARC?

Trong thời buổi công nghệ ngày càng phát triển mạnh mẽ, thì việc sử dụng internet ngày càng nhiều, hầu như chiếm đại đa số. Các thông tin sử dụng trên internet cũng ngày càng nhiều, đặc biệt là việc trao đổi qua email. Lợi dụng vấn đề này, các “hacker” tổ những các cuộc tấn công, hoặc cài đặt mã độc, gián điệp,… nhằm chiếm dụng thông tin của cá nhân, tổ chức.

Chính vì tất cả các thông tin mà chúng chiếm được như tên, địa chỉ, số điện thoại, tài khoản,… tất cả đều là những thông tin hết sức quý giá, nhảy cảm và có giá trị cao, nên chúng sẽ tìm mọi cách để có thể lấy được. Để ngăn chặn vấn đề này có rất nhiều giải pháp, trong đó DMARC là một biện pháp quan trọng để chống lại sự giả mạo địa chỉ email người dùng.

Phương thức hoạt động của DMARC

DMARC không hoạt động độc lập mà làm việc dựa vào 2 chính sách là SPF và DKIM.

DKIM (Domainkeys Identified Mail) là gì?

DKIM (là viết tắt của DomainKeys Identified Mail) giúp xác minh một địa chỉ email được gửi đến từ 1 tên miền thật và xác minh xem email này có phải là email thật từ người dùng hay không. Từ đó, nếu không xác minh được sẽ chặn được việc gửi thư từ các domain không tồn tại hoặc thư giả.

Về mặt kỹ thuật, DKIM hoạt động như sau: Khi một email được gửi đi nó sẽ được gắn một key (private key). Và sau đó nó được xác thực lại bên server người nhận bằng một khoá (public key). Nếu có sự thay đổi chữ ký sẽ không còn hợp lệ. Nó giúp cho email của bạn không bị tấn công trên đường đi để thay đổi nội dung bên trong.

BKHOST đã có một bài viết rất chi tiết về DKIM và cách thức hoạt động của nó. Bạn có thể tìm hiểu thêm tại đây: DKIM là gì?

SPF (Sender Policy Framework) là gì?

SPF (là viết tắt của Sender Policy Framework) là cách xác minh xem thư được gửi từ một mail server có đến từ một domain name xác thực. Có nghĩa nó sẽ tiến hành truy vấn xem địa chỉ IP đó có nằm trong danh sách IP hợp lệ để gửi mail hay không. Nếu không email sẽ chuyển đến hộp Spam.

Về mặt kỹ thuật, SPF sẽ yêu cầu hệ thống  tên miền phải khai báo các máy chủ gửi thư (bao gồm địa chỉ ip, tên miền cụ thể). Như vậy, khi có email tới hệ thống người nhận sẽ tiến hành xác thực xem địa chỉ gửi thư có phù hợp không, ip người gửi có nằm trong danh sách ip được cấp phép không. Từ đó sẽ quyết định accept hoặc decline.

DMARC là kết hợp của DKIM và SPF

DMARC là một giao thức nâng cấp, là sự kết hợp hoàn hảo của SPF và DKIM. Từ đó, nó giúp người dùng có thể cài đặt các chính sách để loại bỏ hoặc hoặc đưa nó vào thư cách ly (spam) từ những nguồn email không có độ tin cậy.

DMARC cho phép người dùng tạo một bản hướng dẫn cho bên Mail Server của bên nhận cách thức xử lý khi SPF và DKIM failed. Nó hoạt động theo sơ đồ xác thức rất cụ thể. Và các chính sách hướng dẫn này được mô tả trong sau:

{{EJS0}}

DMARC policy sẽ được cấu hình trong DNS. Các giá trị trong mô tả bao gồm: reject(p=reject) 100%(pct=100) những email failed (email không xác thực được) bằng SPF và DKIM. Cùng với đó là lý do từ chối đến email (rua=mailto:[email protected]) để admin của miền domain.com biết được thông tin này.

Hướng dẫn tạo DMARC record

DMARC record là gì?

DMARC record hay bản ghi DMARC là những chính sách quan trọng đòi hỏi bạn phải thực hiện một cách chính xác, nhằm mục đích tạo ra một bộ lọc hoàn hảo để sàng lọc các email.

Các Policy mà bạn tạo ra nếu vô tình không chính xác sẽ có nguy cơ bạn sẽ loại bỏ những email hợp lệ hoặc làm thất thoát các email hợp lệ do vướng chính sách. Vì thế, hãy thực hiện chuẩn theo các bước sau:

Bước 1: Khởi tạo

Tiến hành tạo một bản ghi chính xác như bên dưới:

{{EJS1}}

Mục p=”none” có nghĩa là bạn đang đặt nó ở chế độ test mode (thử nghiệm). Khi bên server nhận nhận được thư này nó sẽ gửi trả về 1 report mà không thực hiện các hành động khác. Từ đo, bạn sẽ thu thập được các thông tin của mail server người nhận từ đó mới đưa ra các chính sách phù hợp. Để thu thập thông tin từ một domain các bạn có thể sử dụng tool: http://dmarc.postmarkapp.com/

Bước 2: Phân tích DMARC Report

DMARC Report là một bảng thống kê chi tiết về danh sách về các domain đã thu thập được. Từ đó, có thể xác định được kết quả là pass hay fail. Đầu tiên, trong bản thống kê sẽ có 3 thông tin quan trọng sau mà bạn cần phải lưu ý:

• Processed: Số lượng thư đã được gửi report.
• Fully Aligned: Số lượng tin nhắn đã xác minh là pass trên cả SPF và DKIM.
• Failed: Số lượng tin nhắn bị failed từ xác minh SPF hoặc DKIM.

Tiếp đến, bạn sẽ kiểm tra 2 trường sau:

• Trusted sources: Những mail server (Domain + IP) đã được xác minh cả SPF và DKIM.
• Unknown/Threats: Những mail server failed bởi xác minh bằng SPF hoặc DKIM. Tuy nhiên, có 1 số trường hợp tại mục này vẫn có email hợp lệ vì không sử dụng DKIM hoặc SPF. Nên những trường hợp này cẩn xử riêng.

Bước 3: Chuyển tất cả địa chỉ hợp lệ để gán DMARC

Sau khi đã thu thập được những địa chỉ email, server hợp lệ. Bạn sẽ tiến hành lọc và tạo danh sách cho chúng để gán DMARC. Trong một số trường hợp đặc biệt thì chỉ có DKIM pass còn SPF bị failed. Bạn vẫn nên xem địa chỉ đó là hợp lệ.

Bước 4: Áp dụng thực tiễn

Sau khi đã có được những địa chỉ hợp lệ cho việc gửi, nhận mail. Bạn sẽ chuyển bản ghi txt sáng chế độ “p=quarantine”. Tức là những email gửi đến mà được xác minh failed thì chuyền vào thư mục spam hoặc junk. Sau khi kiểm tra một lần nữa những email trong thư mục này hoàn toàn là email bất hợp pháp bạn có thể đặt nó ở chế độ “p=reject” để loại bỏ hoàn toản nó.

Tổng kết về DMARC

Hy vọng, qua bài viết này, bạn đã hiểu rõ hơn về DMARC. Nếu bạn có bất cứ thắc mắc nào liên quan đến DMARC, hãy để lại comment ở bên dưới, BKHOST sẽ trả lời bạn trong thời gian sớm nhất.

Bạn cũng có thể truy cập vào Blog của BKHOST để đọc thêm các bài viết chia sẻ kiến thức quản trị website, domain, hosting, vps, server, email doanh nghiệp… Chúc bạn thành công.