Por Daniel Ingevaldson, CTO de Easy Solutions
Easy Solutions®, la compañía de la Protección Total contra Fraude®, anunció que la última versión de su solución para protección de marcas y mitigación proactiva de ataques de fraude, Detect Monitoring Service (DMS), ya está disponible.
DMS ahora soporta el uso de la especificación DMARC para sus clientes. DMARC, que significa «Autenticación, Reportes y Conformidad de Mensajes basados en Dominios” (Domain-based Message Authentication, Reporting & Conformance)” (http://www.dmarc.org/), es un estándar de autenticación y reportes de email que le brinda a las organizaciones una visibilidad sin paralelo del estado de salud de su canal de emails salientes. El soporte de DMS para este canal significa que lo usuarios de la solución ahora podrán bloquear incluso más mensajes fraudulentos y así detener un mayor número de ataques.
¿Qué significa DMARC?
Imagine un mundo donde las compañías, gobiernos e individuos pudieran enviar emails a cualquiera, y tanto la entidad emisora como la receptora tuvieran la certeza sobre la autenticidad del mensaje. ¿Cómo podría este revolucionario concepto cambiar la dinámica de la mensajería online, la protección del usuario final y los sistemas antifraude?
Con casi el 90% de todos los emails enviados considerados como spam, phishing, o maliciosos, es difícil vislumbrar como se podría alcanzar esa meta. De hecho, el email como canal global de comunicaciones esta tan contaminado y es tan manipulado que tanto compañías como individuos están migrando hacia otros canales, tales como las redes sociales y las plataformas móviles, con el fin de asegurar una conversación “confiable”. Un reciente estudio conducido por Towers Watson muestra que el 56% de las compañías utilizan las redes sociales como parte de su estrategia general de comunicaciones internas. No obstante, esto genera un nuevo conjunto de riesgos e inquietudes por la privacidad.
Contrario a la opinión popular, el email no está muerto. El email es el héroe anónimo de la economía global, la bestia de carga que vivirá para siempre. Facebook, Snapchat, Whatsapp y demás candidatos a reemplazar el email son completamente inadecuados para comunicaciones personales B2C o sensitivos mensajes P2P, sin mencionar comunicaciones robustas B2B. Por esto, vale la pena salvar y proteger al email.
La autenticación y el cifrado de emails no son algo nuevo. Diversas tecnologías existen que permiten el transporte cifrado de emails, tales como TLS. Otras existen para proveer cifrado y autenticación de emails, como PGP y S/MIME. Pero el problema más persistente con los actuales métodos de autenticación de email uno-a-uno es que es muy difícil para aquellos usuarios con pocos conocimientos técnicos averiguar cómo funcionan estos sistemas, y asegurarse de que sigan funcionando correctamente.
Trate alguna vez de explicar el proceso de expiración o revocación del certificado x.509 a un usuario normal. Por este y otros motivos, estos sistemas realmente nunca despegaron, y muchos investigadores predicen el surgimiento de sistemas más amigables con el usuario.
¿Qué tal si existiera un marco de autenticación y ejecución regulado globalmente para la entrega confiable de emails? ¿Qué tal si el armazón de este sistema ya hubiera sido desplegado y tuviera el apoyo de los más importantes proveedores de email del planeta?
El Marco DMARC.
DMARC, que en inglés significa Domain-based Message Authentication, Reporting & Conformance (http://www.dmarc.org/) es un estándar emergente para la entrega de emails, el cual ha mostrado tanto progreso y potencial, que la mayoría de proveedores de email alrededor del mundo ya lo están apoyando, incluso sin un número RFC de la IETF. DMARC se apoya a su vez en los estándares DKIM (http://www.dkim.org/) y SPF (http://www.openspf.org/), para permitirles a las entidades emisoras firmar sus emails salientes y anunciar los servidores autorizados por dominio.
Esencialmente DMARC le permite a cualquier entidad emisora comunicarle a la entidad receptora como autenticar sus emails, y qué hacer con aquellos emails no autenticados. Todo esto se realiza de forma invisible a los usuarios en cada extremo. Este proceso se lleva a cabo al aprovechar los estándares DKIM y SPF para crear un “apretón de manos” entre la entidad emisora y la entidad receptora a través de los registros de las políticas DMARC presentados como registros DNS TXT. Cuando un email recibido no cumple con los DKIM/SPF, se le pregunta a la entidad emisora que hacer con dicho email. Las políticas DMARC de la entidad emisora instruyen a no tomar acción, enviar a cuarentena o rechazar el email.
¿Demasiado bueno para ser cierto?
Pero como con cualquier otro sistema aparentemente “seguro”, hay ciertas precauciones a tener en cuenta. El despliegue de DMARC en una compañía es fácil si se cuenta con un pequeño número de dominios y un número similar de servidores de email autorizados dentro de dichos dominios. Las cosas se complican cuando estos números crecen y se añaden a la ecuación otras entidades emisoras, agencias de consultoría y demás. Adicionalmente, sólo porque las entidades receptoras de email más importantes soporten DMARC, no significa que todos lo hagan. Hoy en día existen algunas grandes entidades receptoras (Google, Yahoo, Hotmail, etc.) con más de 3 billones de buzones que apoyan DMARC, pero asimismo hay millones de servidores que todavía no lo hacen.
En caso de ser desplegado, DMARC permite a los titulares de los dominios proteger sus propios dominios pero no otros. Es probable que con esto se disminuya dramáticamente la falsificación de emails de dominios legítimos. Sin embargo, los hackers cambiarán la usurpación directa de marcas por otras técnicas de ingeniería social, tales como el registro de nuevos dominios (por ejemplo: bankofamericapromotions.com). La buena noticia es que estos registros son mucho más fáciles de detectar y detener.
Si bien no hay duda de que los hackers evolucionarán para idear nuevos esquemas de ingeniería social y métodos para perpetrar ataques de phishing, DMARC muestra una alentadora promesa. De ser estandarizado y desplegado a nivel global, podría solucionar una falla fundamental en la tecnología que ha cimentado la Internet desde el inicio.
Oportunidades como esta no se presentan muy a menudo y está en manos de la comunidad de seguridad el apoyar su adopción. La seguridad informática, la confianza online y los sistemas antifraude son una constante batalla que se mide en centímetros. Cualquier ocasión que tengamos para complicar los planes de nuestros adversarios, haciéndolos más difíciles y costosos mientras simplificamos los nuestros, es una pequeña victoria en una larga guerra.
