[論文レビュー] Weak Links in Authentication Chains: A Large-scale Analysis of Email Sender Spoofing Attacks

Kaiwen Shen, Chuhan Wang+9 more|arXiv (Cornell University)|Nov 17, 2020

Spam and Phishing Detection参考文献 28被引用数 13

ひとこと要約

この論文は、メール認証チェーン内の不整合を悪用することで、SPF、DKIM、DMARC、ユーザインタフェース保護を回避する14の新しいメールスプーフィング攻撃を特定した。30のメールサービスおよび23のメールクライアントにおける大規模なテストを通じて、Gmail や Outlook といった主要プロバイダーですら脆弱であることが示された。これにより、チェーンベースのメールセキュリティにおける根本的な欠陥が明らかになり、プロトコル設計者およびプロバイダー向けの重要な緩和策が提案された。

ABSTRACT

As a fundamental communicative service, email is playing an important role in both individual and corporate communications, which also makes it one of the most frequently attack vectors. An email's authenticity is based on an authentication chain involving multiple protocols, roles and services, the inconsistency among which creates security threats. Thus, it depends on the weakest link of the chain, as any failed part can break the whole chain-based defense. This paper systematically analyzes the transmission of an email and identifies a series of new attacks capable of bypassing SPF, DKIM, DMARC and user-interface protections. In particular, by conducting a "cocktail" joint attack, more realistic emails can be forged to penetrate the celebrated email services, such as Gmail and Outlook. We conduct a large-scale experiment on 30 popular email services and 23 email clients, and find that all of them are vulnerable to certain types of new attacks. We have duly reported the identified vulnerabilities to the related email service providers, and received positive responses from 11 of them, including Gmail, Yahoo, iCloud and Alibaba. Furthermore, we propose key mitigating measures to defend against the new attacks. Therefore, this work is of great value for identifying email spoofing attacks and improving the email ecosystem's overall security.

研究の動機と目的

• チェーンベースのメール認証モデルにおける根本的脆弱性を調査すること。ここでは、最も弱いリンクが全体のセキュリティチェーンを損なう。
• 複数のメールセキュリティプロトコルおよびユーザインタフェース保護を同時に回避する、新しいスプーフィング攻撃を同定すること。
• これらの攻撃が、人気のあるメールサービスおよびクライアントにおいて、実世界でどの程度の影響を及ぼすかを大規模に評価すること。
• すべてのプロバイダーに脆弱性を報告し、メールエコシステムのセキュリティ強化に向けた実行可能な緩和策を提案すること。
• 従来の研究では、個別のプロトコルステップに焦点を当てていたが、本研究ではエンドツーエンドのチェーンレベルでの障害を分析することで、そのギャップを埋めること。

提案手法

• 30の代表的なメールサービスおよび23のメールクライアントを大規模に実証的に分析し、スプーフィング攻撃に対する脆弱性を評価した。
• 送信、受信、転送、UIレンダリングの4段階にわたり、メール配信プロセスを体系的に分析した。
• SPF、DKIM、DMARC、UIベースの検出メカニズムを同時に回避する「カクテル」共同攻撃を設計・実行した。
• 異なるベンダー間でのセキュリティプロトコルの実装不整合、特にRFC仕様からの逸脱を同定した。
• Gmail、Yahoo、iCloud、Alibaba を含む11の主要プロバイダーにすべての発見を報告し、肯定的な反応を得た。
• チェーンレベルのスプーフィングに対抗するための、プロトコル設計者およびメールプロバイダー向けの緩和策を提案した。

実験結果

リサーチクエスチョン

• RQ1 メールサービス間におけるSPF、DKIM、DMARCの実装不整合は、認証メカニズムをどのように回避可能にするか？
• RQ2 実世界のメールシステムにおいて、スプーフィングメールは、プロトコルレベルの保護とUIベースの保護の両方をどの程度効果的に回避できるか？
• RQ3 攻撃者が非常にリアルなメールを偽造できるようにする、チェーンベース認証モデルにおける根本的欠陥は何か？
• RQ4 Gmail や Outlook を含む広く使われているプラットフォームを含め、これらの脆弱性は主要なメールサービスおよびクライアントでどの程度広がっているか？
• RQ5 これらの脆弱性の根本的原因は何か。また、プロトコル設計および実装の改善によって、どのように是正できるか？

主な発見

• テストされた30の代表的メールサービスすべてが、新たに同定されたスプーフィング攻撃の少なくとも1種類に対して脆弱であり、Gmail や Outlook を含む主要プロバイダーも含まれた。
• テストされた23のメールクライアントすべてが、特定のスプーフィング攻撃に対して脆弱であり、ユーザーインターフェースレベルでの広範な露出が示された。
• 「カクテル」共同攻撃は、SPF、DKIM、DMARC、UI保護を同時に回避し、検出不能なスプーフィングメールを生成できた。
• 長年にわたり導入が進んでも、多くのメールサービスがセキュリティプロトコルを一貫して実装できていず、悪用可能な不整合が生じている。
• ARCプロトコルの実装上の欠陥が、Office 365 および Zoho で発見されたが、ARCは標準化されており、少数のベンダーでのみ導入されているにもかかわらずである。
• Gmail、Yahoo、iCloud、Alibaba を含む11の主要プロバイダーが、報告された脆弱性に対して肯定的な反応を示し、リスクを認識していることがわかった。