Technologia DANE wspólnie z DNSSEC zadba o to, by Państwa E-mail z pewnością dotarł do właściwego adresata.

Utrata dobrej reputacji może pociągnąć za sobą opłakane skutki. Dla osób prywatnych może być to znacznie mniej dotkliwe aniżeli dla przedsiębiorców. Firmy wysyłkowe, usługodawcy czy też sektor bankowy żyją przede wszystkim ze swojej dobrej renomy i dlatego chcą ją również w internecie utrzymać albo zoptymalizować. Jeśli jednak ich klienci staną się ofiarami ataku „man in the middle“, dobra opinia zostaje bardzo szybko utracona. W ataku „man in the middle“ atakujący staje pomiędzy klientem a dostawcą i twierdzi, że jest dostawcą. Taki atak jest możliwy również w odwrotnym kierunku.

Poniższy przykład ilustruje to następująco: przyjmijmy, że jesteście Państwo sprzedawcą internetowym i przesyłacie automatycznie e-maile z transakcjami, takimi jak faktury czy potwierdzenie zamówienia. W trakcie ataku „man in the middle“ e-maile te są przekazywane do nieznanych osób trzecich. Wysłana faktura nigdy nie dotrze do Państwa klienta a Państwo nie będziecie w stanie tego zauważyć. W rezultacie oczywiście nie otrzymacie Państwo należnych pieniędzy, gdyż klient nie otrzymał Państwa faktury. Co w takim wypadku następuje? Wysyłacie Państwo przynaglenie do zapłaty. Jednakże przynaglenie do zapłaty bez otrzymania wcześniejszego rachunku wzbudza w Państwa kliencie irytację oraz utratę zaufania, co z marketingowego punktu widzenia jest katastrofą.

Może być jednak znacznie gorzej: przy skutecznym ataku poufne dane Państwa klienta takie jak adres, dane bankowe i nawyki zakupowe wpadną w niepowołane ręce. Jest to prawdziwy problem dla towarzystw ubezpieczeniowych, kas chorych, instytucji kredytowych oraz platform randkowych, w których przekazywane są bardzo poufne dane klientów.

Dotkliwe konsekwencje

Ochrona danych osobowych klientów jest nie tylko najwyższym priorytetem dla Państwa, ale również dla dostawców usług poczty elektronicznej, którzy przesyłają je w Państwa imieniu. Artykuł 33 europejskiego prawa o ochronie danych osobowych (RODO) przewiduje określone konsekwencje w przypadku naruszenia danych osobowych: w takim przypadku podmiot odpowiedzialny (tutaj przedsiębiorca marketingowy) musi poinformować zarówno urząd zajmujący się kontrolą tego typu naruszeń (Prezes Urzędu Ochrony Danych Osobowych, UODO) jak i osoby dotknięte, o naruszeniu ochrony danych zgodnie z wytycznymi art. 34 RODO.

W takim przypadku nie tylko Państwa reputacja będzie zagrożona, ale grożą Państwu również konsekwencje finansowe. O ile naruszenie ochrony danych osobowych można przypisać podmiotowi odpowiedzialnemu czyli administratorowi danych osobowych (dostawca) lub podmiotowi przetwarzającemu (w tym przypadku dostawcy usług poczty elektronicznej), który przetwarza dane osobowe na zlecenie administratora, organy nadzorcze dochodzą swoich uprawnień zgodnie z art. 58 RODO w zakresie prowadzenia postępowań, naprawienia i nałożenia sankcji na administratora lub podmiot przetwarzający w przypadku naruszenia danych osobowych. W najgorszym wypadku może to nawet doprowadzić do całkowitego zakazu przetwarzania takich danych, co właściwie oznacza zakaz prowadzenia działalności gospodarczej. Dodatkowo mogą zostać nałożone administracyjne kary pieniężne. Ponadto lub alternatywnie, art. 83 RODO przewiduje wysokie grzywny w wysokości do 20 mln EUR lub 4 % całkowitego rocznego światowego obrotu przedsiębiorstwa. Ostatni przykład: brytyjski organ ochrony danych (ICO) nałożył grzywnę w wysokości 205 milionów EUR na British Airways po tym, jak nieznane osoby uzyskały dostęp do danych klientów tej linii lotniczej.

 

Faktem jednak jest, że nie wystarczy zabezpieczyć własny serwer w najlepszy możliwy sposób, ponieważ atak „man in the middle“ wykorzystuje słaby punkt transportu poczty elektronicznej z punktu A do punktu B. W celu spełnienia wymogów art. 5 ust. 1 lit. f) RODO, należy chronić poufne dane klientów za pomocą DNSSEC i DANE.

Czym są DNSSEC i DANE?

DANE (DNS-based Authentication of Named Entities) jest metodą testową, która zabezpiecza utworzenie szyfrowanego połączenia pomiędzy klientem a serwerem. Poprzez porównanie certyfikatów (rekord TLSA), partnerzy komunikacyjni korzystający z DANE zamykają koncepcyjną słabość SSL/TLS, w której osoba trzecia mogłaby podszywać się pod "właściwy serwer" i spowodować, że klient przekaże swoje dane do "niewłaściwego właściwego serwera". Warunkiem wstępnym stosowania DANE jest DNSSEC (Domain Name System Security Extensions), który zapewnia możliwość weryfikacji właściwości testu przesyłanego przez DNS. Również w tym przypadku atakujący mogą wprowadzić fałszywe informacje do DNS i doprowadzić klienta do niewłaściwego adresu.

Działa to w ten sposób:

Jak wygląda typowy transport poczty elektronicznej z DANE? Utrzymując, że jesteście Państwo sprzedawcą internetowym i wysyłacie pocztę do klienta z kontem pocztowym u przykładowego operatora poczty mailowej np. operator.pl, przebiega to w ten sposób:

• Państwa serwer pocztowy określa serwer pocztowy odpowiedzialny za domenę odbiorcy. Sprawdza przy tym, czy serwer DNS oferuje domenę odbiorcy DNSSEC.
• Jeśli serwer DNS oferuje DNSSEC, serwer pocztowy sprawdza, czy istnieje rekord TLSA dla domeny odbiorcy.
• Następnie serwer pocztowy nawiązuje połączenie z serwerem pocztowym domeny odbiorcy. Jeśli domena nie oferuje STARTTLS do szyfrowania połączenia, Państwa serwer pocztowy zakończy połączenie natychmiast, gdyż istnieje podejrzenie ataku typu „downgrade“.
• Jeśli serwer docelowy oferuje STARTTLS, Państwa serwer pocztowy uruchamia szyfrowane połączenie TLS, przy czym porównuje on sumę kontrolną certyfikatu serwera docelowego z informacjami TLSA otrzymanymi za pośrednictwem DNSSEC.
• Jeśli sumy się zgadzają, serwer docelowy jest uznawany za zweryfikowany. Jeśli sumy się nie zgadzają, klient z funkcją DANE natychmiast zrywa połączenie, ponieważ istnieje podejrzenie ataku "man in the middle". Bez tych kontroli dane zostaną ostatecznie przesłane na niewiarygodny adres.

 Aby DANE mogło współpracować z DNSSEC, zarówno DANE jak i DNSSEC muszą być skonfigurowane na serwerze pocztowym sprzedawcy internetowego. Jeżeli dostawca usług poczty elektronicznej pośredniczy w wysyłaniu wiadomości e-mail, platforma pocztowa musi zostać rozbudowana tak, aby zapytania DNS sprawdzały również funkcjonalność DNSSEC i wykorzystywały jej możliwości do weryfikacji.

Podwaliny do tego procesu zostały już dawno położone. "DNSSEC to dojrzała i od lat stabilna procedura", mówi Patrick Koetter (lider grup kompetencyjnych "Anti-Abuse" i "E-Mail" w stowarzyszeniu Eko - Internet Trade Association Verband der Internetwirtschaft e.V.). "Praktyczne doświadczenia na dużych platformach ISP oraz pomiary pokazują, że obawy niektórych administratorów z technicznego punktu widzenia są bezzasadne.

Biorąc pod uwagę konsekwencje finansowe i utratę reputacji, jakie może pociągnąć za sobą atak typu „downgrade“ i/lub atak "man in the middle", warto podjąć jednorazowy wysiłek w celu aktywowania DANE i DNSSEC. Są to jedyne zautomatyzowane i opłacalne rozwiązania zapewniające prawdziwie bezpieczną transmisję danych pomiędzy serwerami poczty elektronicznej.

Zapraszamy Państwa do szerszego zapoznania się z powiązanymi technologiami oraz do zgłębiania tematu podczas warsztatów na szczycie CSA 2020.