Microsoft wijst 365-beheerders op nieuwe anti-spamregels van Google
Volgend jaar gaan er nieuwe regels gelden voor partijen die grote hoeveelheden e-mail naar Gmail-gebruikers sturen. Iets waar ook afnemers van Microsoft 365 rekening mee moeten houden, zo stelt Microsoft. Google gaat vanaf februari verplicht dat 'bulk senders' hun e-mail authenticeren door gebruik te maken van e-mailstandaarden SPF of DKIM.
"Wie e-mails via Microsoft 365 verstuurt kan tegen nieuwe problemen aanlopen bij het afleveren van e-mails bij populaire mailproviders. Google heeft bijvoorbeeld strengere beveiligingseisen gesteld aan het authenticeren van inkomende e-mailberichten, met name als die in grote hoeveelheden worden verstuurd", zo laat het Exchange Team in een blogposting weten.
Volgens Microsoft kunnen organisaties het afleveren van hun verstuurde e-mail verbeteren als er gebruik wordt gemaakt van standaarden als SPF, DKIM en DMARC. Dit moet ontvangers tegen malafide berichten beschermen en verkleint de kans dat een e-mail als spam wordt aangemerkt. "We raden onze klanten ten zeerste aan om deze methodes te gebruiken om de kans te vergroten dat e-mail door externe ontvangers wordt geaccepteerd."
Microsoft voegt toe dat het niets kan doen als een derde partij verzonden e-mails weigert. In dat geval is het aan systeembeheerders van de betreffende organisatie om aanpassingen door te voeren om de afzenderreputatie te verbeteren. Daarbij stelt het techbedrijf ook dat het versturen van bulkmail via Microsoft 365 'geen ondersteund gebruik' van de dienst is. Voor dergelijke mailings wordt aangeraden om de e-mails via de eigen on-premise mailservers of een bulkmailprovider te versturen.
Nou goed bericht toch? Microsoft laat klanten weten dat ze hun mail beveiliging op orde moeten brengen als ze nog geen SPF, DKIM of DMARC gebruiken. Dan wordt het tijd dat ze dat toch echt eens instellen. Het kan namelijk (behalve DANE omdat MS nog steeds geen DNSSEC kan...) ingesteld worden bij MS, de klant moet het alleen wel even doen.
Microsoft kan hier weinig mee, afgezien dit melden aan de beheerders, zodat die dit goed in de DNS kan zetten.
Microsoft kan namelijk niet in mijn DNS waar e.e.a. zoals SPF, DKIM, DMARC ook geregeld moet worden.
Of -überhaupt- een manier hoe ik een txt bestand kan afleveren zonder dat derde -waaronder google- de inhoud van het bestand kan achterhalen(/scannen op inhoud en geen gebruik te maken van filetransfersites?
De DMARC alignment tests [bij O365] zijn echter een probleem:
Als je DKIM en SPF voor je domein opgezet hebt, maar geen DMARC, dan kun je mail nog steeds forwarden van everywhere via jouw domein en die mail wordt gewoon accept door O365. Test het maar! Stel je echter ook DMARC met bijv p=none in van je domein dat forward, dan worden de alignment tests bij O365 actief en worden je forwards niet meer doorgelaten.
Er wordt dus dan hard naar de DMARC van de envelope domein gekeken ook al is alles kosjer en had er beter naar DMARC van bron domein gekeken moeten worden. Volgens mijn interpretatie zou het ook zo moeten werken, maar toch gebeurt dat niet bij O365 [zie hieronder]. Gebeurde dat wel, dan werken legitieme forwards gewoon en met DKIM erbij wordt dan alles betrouwbaar.
Kortom DMARC is wat mij betreft niet goed doordacht en ook nog eens half baked bij O365 implementeert.
Er zijn namelijk heel veel legitieme redenen om forwards door te laten, zeker in het tijdperk waarbij mensen vaker van baan verwisselen en dus ook van organisatie etc. en sommige organisaties doe niet mee met de MS O365 cloud, maar zitten bij Google ofzo.
https://datatracker.ietf.org/doc/html/rfc7489:
" DMARC authenticates use of the RFC5322.From domain by requiring that
it match (be aligned with) an Authenticated Identifier. "
en dat is dus in de mail en niet de envelope die door een forward mechanisme een ander domein kan bevatten.
Je bent niet ingelogd en reageert "Anoniem". Dit betekent dat Security.NL geen accountgegevens (e-mailadres en alias) opslaat voor deze reactie. Je reactie wordt niet direct geplaatst maar eerst gemodereerd. Als je nog geen account hebt kun je hier direct een account aanmaken. Wanneer je Anoniem reageert moet je altijd een captchacode opgeven.
IT Security Officer
Utrecht heeft jou nodig! Als Information Security Officer vertaal je beleid naar technische uitvoering. Dit is cruciaal voor het waarborgen van de informatiebeveiliging van onze inwoners. Je krijgt de kans om betrokken te zijn bij complexe projecten met de nieuwste technologieën en kunt jouw stempel drukken op innovatie. Solliciteer nu!
Digital Designer
Ben jij een Grafisch vormgever, UI-designer, Game-artist of gewoon een ‘self-proclaimed creative genius’, die op zoek is naar een leuke en uitdagende baan waarin je al je creativiteit kwijt kan?Je werkt samen met onze developers en UI/UX-designer aan onze Gamified Cybersecurity Challenges welke jij voorziet van de mooiste designs.
Cyber Security Trainer
"You know that feeling after you have been to the cinema and seen an exciting movie? It's the same after this training. I can only say that this is probably the BEST TRAINING that I've ever done!!!”
Are you ready for a challenge?
Senior Full Stack Developer
Als full stack developer bij Certified Secure maak je de mooiste cybersecurity challenges die onze deelnemers wereldwijd uitdagen en inspireren. Alle challenges zijn gebaseerd op actuele kwetsbaarheden, je komt dus telkens nieuwe technieken tegen, van machine learning tot web assembly, van Swift UI tot GCP.