Resumo

  • A RFC 8601 cria uma linguagem comum para avaliações de autenticação, mas o campo normalmente não protege a própria integridade nem autentica o produtor. Sua autoridade vem da relação local entre motor, authserv-id, rota da mensagem, remoção na fronteira e consumidor.
  • Uma decisão repetível guarda os bytes recebidos, a alegação falsa removida, o resultado local adicionado, versões, propriedades avaliadas, custódia ARC e ação final. Sem essa cadeia, pass é texto copiável, não confiança portátil.

Duas linhas iguais podem ter origens opostas

Considere um teste construído, não um incidente real. O remetente externo inclui uma linha válida com o identificador do destinatário e afirma sucesso DKIM. O MTA de borda registra o estado bruto, remove a impostura, executa seus controles e acrescenta um novo campo. O texto pode ser idêntico; a proveniência não.

A RFC 8601 descreve esse risco: um agente malicioso pode forjar o domínio do ADMD receptor como authserv-id. Se a borda não filtrar, o cliente ou filtro posterior pode confiar em uma afirmação formalmente perfeita e operacionalmente externa.

O objeto é um canal de afirmação, do motor que mediu um estado específico ao consumidor que transforma resultado em exibição, pontuação, quarentena ou entrega. Cada controle entre os dois integra a autoridade.

Registro comum não significa julgador comum

O payload começa pelo identificador do serviço, pode trazer versão e contém pares método=resultado com razão e propriedades. Uma linha pode agrupar verificações; uma mensagem pode carregar várias. A IANA estabiliza nomes para interoperabilidade.

A RFC 8601 não obriga liberar com dkim=pass, rejeitar com spf=fail nem reduzir inspeção com dmarc=pass. Disposição é política local. Registrar o token prova sua semântica, não que um motor executou o teste ou relatou com precisão. A camada comum precisa permanecer mínima.

A fronteira acompanha a administração

No modelo normal, produtores e consumidores ficam no mesmo ADMD. O consumidor precisa confiar no produtor e no caminho por uma relação governada, definida localmente. Um motor terceirizado pode estar dentro da fronteira se contrato, chaves, mudanças e auditoria forem controlados; uma máquina próxima pode estar fora.

O mapa deve listar MX, contingência, regiões, submission, filtros, armazenamento e MUA. Um bloco chamado “gateway seguro” não mostra se um caminho alternativo aplica as mesmas regras. A RFC 5598 separa ADMDs porque decisões operacionais e de confiança são independentes.

Remover na entrada cria a proveniência

Como o campo costuma não ter proteção própria, o domínio remove ocorrências entrantes que alegam associação local e só depois adiciona seu resultado. Essa operação separa o namespace que o atacante escreve daquele que consumidores internos aceitam.

Canários precisam cobrir IDs atuais e antigos, caixa e folding, duplicatas, posição perto de Received e mensagens encapsuladas. Todos os MX e failovers devem remover e substituir de forma previsível.

Um repositório restrito preserva bytes brutos e remoções para investigação. A mensagem entregue internamente retém apenas campos com proveniência aceita. Apagar tudo destrói atribuição; encaminhar tudo destrói confiança.

authserv-id precisa de inventário e prazo

O identificador pode representar o ADMD ou um motor, mas não se autentica. Consumidores precisam de registro versionado com nome, produtor, métodos permitidos, caminho e período.

Renomear cria sobreposição por causa de mensagens atrasadas. A aceitação do ID anterior deve ter responsável, início, fim e teste negativo. Sobreposição eterna impede revogação. Um gateway autorizado a informar SPF e DKIM não ganha voz automática sobre SMTP AUTH, outra decisão DMARC ou ARC posterior.

Posição é pista, não assinatura

A RFC 8601 trata o campo como trace field e espera sua inserção no topo conforme verificações acontecem. A RFC 5322 protege blocos de trace mais que cabeçalhos comuns. A posição ajuda a reconstruir a sequência.

Ainda assim, o remetente pode inserir uma linha no topo e uma borda pode acrescentar resultado correto sobre falsificação não removida. Escolher sempre primeira ou última ocorrência troca proveniência por palpite. Primeiro se identifica bloco e produtor confiáveis; depois se interpreta método e propriedades.

Cada pass possui um sujeito diferente

SPF avalia autorização do cliente SMTP para identidade limitada, não corpo e todos os endereços visíveis. DKIM verifica assinatura e partes cobertas, não a pessoa visível nem conteúdo seguro. DMARC na RFC 9989 avalia alinhamento com Author Domain, não autoriza pagamento, recuperação de conta ou execução de anexo.

Reduzir tudo a authenticated=true cria poder inexistente. A ação deve vincular método, resultado, propriedade, produtor, horário, estado e versão da regra. Texto reason ajuda diagnóstico; não é comando remoto.

ARC assina testemunho, não acurácia

Quando a mensagem sai e retorna ao ADMD, texto sobrevivente não herda confiança. Nova verificação mostra o estado atual, mas pode não reproduzir o que existia antes de lista ou encaminhador mudar corpo e envelope.

ARC transporta avaliações em conjuntos ordenados e assinados. A RFC 8617 aproxima a avaliação de testemunho de parte verificável, não de evidência dura repetível. A validade da cadeia não depende da exatidão nem da sintaxe do payload de avaliação.

Cadeia válida atribui afirmações e ordem aos sealers. O receptor ainda decide se confia neles. ARC autentica custódia, não certifica julgamento ou segurança da mensagem.

Código em operação fecha a prova

Postfix Milter expõe eventos SMTP, cabeçalhos e corpo a filtros; SpamAssassin AuthRes consome resultados. A presença dos componentes não prova conexão segura em cada ingresso.

O teste passa IDs locais falsos, novos e antigos, por todas as rotas e confirma registro, remoção, execução, posição, seleção do consumidor e disposição. Repete-se após troca de gateway, failover regional, migração ou desvio emergencial.

Configuração mostra intenção. Bytes entregues e comportamento mostram adoção. A regra durável conserva a semântica comum fina, localiza confiança e prova a fronteira com canários reais.

Fontes