NDSS 2024 - BreakSPF: How Shared Infrastructures Magnify SPF Vulnerabilities Across the Internet

Summary

Jan, ein PhD-Kandidat von Zima, präsentiert in diesem Vortrag seine Forschung zu den Sicherheitslücken im E-Mail-Authentifizierungsprotokoll SPF (Sender Policy Framework). Er erklärt, wie SPF-Fehlkonfigurationen, vor allem bei Shared Infrastructures und Cloud-Diensten, Angreifern ermöglichen, E-Mails zu fälschen. Mit dem Brick SPF-Framework zur Analyse von SPF-Konfigurationen identifiziert die Studie mehr als 23.000 betroffene Domains und zeigt auf, wie solche Sicherheitslücken durch unzureichende SPF-Implementierung und zentrale E-Mail-Dienste vergrößert werden. Abschließend diskutiert Jan die Wichtigkeit korrekter SPF-Konfigurationen und die Notwendigkeit für kontinuierliche Überwachung und Verbesserung.

Takeaways

• 😀 SPF (Sender Policy Framework) ist ein weit verbreitetes E-Mail-Authentifizierungsprotokoll, das hilft, E-Mail-Spoofing zu verhindern.
• 😀 Eine Schwachstelle im SPF besteht darin, dass Domains oft unnötig viele IP-Adressen in ihren SPF-Datensätzen angeben, was sie anfällig für Angriffe macht.
• 😀 Das Konzept des 'Brick SPF'-Frameworks wurde entwickelt, um potenzielle Sicherheitsrisiken in SPF-Implementierungen systematisch zu bewerten und zu identifizieren.
• 😀 Shared Infrastructure, wie Cloud-Dienste, verstärken SPF-Schwachstellen, da eine einzige IP-Adresse Tausende von Domains repräsentieren kann.
• 😀 In der heutigen Ära, in der viele Unternehmen ihre E-Mail-Dienste zentralisieren, können SPF-Schwächen von einem einzelnen Punkt aus Auswirkungen auf Tausende von Domains haben.
• 😀 Angreifer können durch fehlerhafte SPF-Konfigurationen gefälschte E-Mails versenden, die SPF- und DMARC-Überprüfungen umgehen.
• 😀 Das Brick SPF-Framework automatisiert die Sammlung von IP-Adressen aus Shared Infrastructures, um potenzielle SPF-Schwächen zu identifizieren.
• 😀 Eine neue Angriffsart, die als 'Cross-Protocol Email Spoofing' bezeichnet wird, nutzt die Ähnlichkeiten zwischen HTTP- und SMTP-Protokollen aus, um E-Mails zu fälschen.
• 😀 Über 23.000 Domains wurden in der Untersuchung als anfällig für Brick SPF-Angriffe identifiziert, einschließlich großer Unternehmen wie Microsoft und Tencent.
• 😀 Die Zentralisierung von E-Mail-Diensten durch Drittanbieter hat die SPF-Schwachstellen verschärft, da viele Domains in einer einzigen IP-Adresse gebündelt werden können.
• 😀 Trotz der Fortschritte in der SPF-Konfiguration bleiben viele Domains aufgrund unklarer oder fehlerhafter Konfigurationen anfällig für Angriffe.
• 😀 Fast 8.000 von 23.000 betroffenen Domains haben ihre SPF-Fehler vor der Veröffentlichung der Studie behoben, was auf das zunehmende Bewusstsein für die Sicherheitsproblematik hinweist.

Q & A

Was ist das Hauptthema des Vortrags von Jan?

Das Hauptthema des Vortrags ist die Untersuchung von Sicherheitslücken im Sender Policy Framework (SPF) und wie diese durch geteilte Infrastrukturen verstärkt werden, was Angreifern ermöglicht, E-Mails zu fälschen und SPF-Schutzmaßnahmen zu umgehen.

Was ist das SPF-Protokoll und warum ist es wichtig?

Das SPF-Protokoll ist ein E-Mail-Authentifizierungsmechanismus, der sicherstellt, dass eine E-Mail nur von autorisierten Servern gesendet wird. Es hilft, E-Mail-Spoofing und Phishing-Angriffe zu verhindern. SPF wird in etwa 70% der E-Mail-Domains verwendet.

Welche Sicherheitsrisiken gibt es bei der Verwendung von SPF?

Einige Sicherheitsrisiken bei SPF entstehen durch fehlerhafte Konfigurationen, wie z.B. das Hinzufügen unnötig großer IP-Bereiche. Ein weiteres Problem ist die Schwäche des SPF-Vertrauensmodells, da jede IP-Adresse, die SPF verifiziert, als vertrauenswürdig gilt.

Was ist die Break SPF Framework und wie funktioniert es?

Das Break SPF Framework ist ein Evaluationswerkzeug, das SPF-Sicherheitslücken in Domains identifiziert. Es durchsucht SPF-Daten, sammelt IP-Adressen und prüft, ob diese IPs für Angriffe missbraucht werden können.

Wie wurden die Daten für die Break SPF Analyse gesammelt?

Die Daten wurden durch die Sammlung von Subdomains aus passiven DNS-Daten und durch das Scannen von SPF-Datensätzen gesammelt. Es wurde auch eine Datenbank aufgebaut, die IP-Adressen und zugehörige Domain-Namen enthält.

Welche Arten von Angriffen können durch die Identifizierung von SPF-Schwachstellen ermöglicht werden?

Durch die identifizierten SPF-Schwachstellen können Angreifer E-Mails fälschen, die den SPF- und DMARC-Überprüfungen standhalten. Besonders effektiv sind sogenannte Cross-Protocol Email Spoofing Angriffe, bei denen HTTP-basierte Infrastrukturen missbraucht werden.

Welche geografische Verteilung hatten die gesammelten IP-Adressen?

Die gesammelten IP-Adressen wiesen eine ausgezeichnete geografische Verteilung auf und stammten aus mehr als 4.000 AS-Nummern, die 181 Länder abdeckten.

Warum sind Fehler in der SPF-Konfiguration häufig anzutreffen?

Fehler treten häufig aufgrund der Bequemlichkeit bei der Konfiguration auf. Viele Domains verwenden weit gefasste IP-Bereiche, um sicherzustellen, dass ihre E-Mails nicht abgelehnt werden, was jedoch heutzutage ein Sicherheitsrisiko darstellt.

Wie wurde das Problem der SPF-Schwachstellen in der Praxis behoben?

Mehr als 8.000 Domains, die als anfällig für Break SPF identifiziert wurden, haben ihre SPF-Konfigurationen korrigiert, indem sie unnötige IP-Adressen aus ihren Listen entfernt haben. In einigen Fällen haben auch E-Mail-Anbieter ihre SPF-Konfigurationen für viele betroffene Domains angepasst.

Warum sind E-Mail-Anbieter besonders anfällig für SPF-Schwachstellen?

E-Mail-Anbieter sind besonders anfällig, da sie oft viele Domains hosten, und eine falsche SPF-Konfiguration für einen E-Mail-Anbieter kann Tausende von Domains betreffen. Misconfigurationen, die durch die Nutzung von Cloud-Diensten entstehen, tragen oft zu diesen Problemen bei.