[论文解读] Revisiting Email Spoofing Attacks

Hang Hu, Gang Wang|arXiv (Cornell University)|Jan 2, 2018

Spam and Phishing Detection参考文献 45被引用 6

一句话总结

本研究通过端到端测量和针对913名参与者的用户研究，评估了35家主要电子邮件服务商的邮件伪造防御机制。研究发现，尽管大多数服务商已部署伪造检测协议，但它们在检测到伪造邮件时未能有效警告用户，尤其是在移动设备上。虽然视觉安全提示可降低用户风险行为，但其应用不一致，且在真实网络钓鱼场景中往往无效。

ABSTRACT

The email system is the central battleground against phishing and social engineering attacks, and yet email providers still face key challenges to authenticate incoming emails. As a result, attackers can apply spoofing techniques to impersonate a trusted entity to conduct highly deceptive phishing attacks. In this work, we study email spoofing to answer three key questions: (1) How do email providers detect and handle forged emails? (2) Under what conditions can forged emails penetrate the defense to reach user inbox? (3) Once the forged email gets in, how email providers warn users? Is the warning truly effective? We answer these questions through end-to-end measurements on 35 popular email providers (used by billions of users), and extensive user studies (N = 913) that consist of both simulated and real-world phishing experiments. We have four key findings. First, most popular email providers have the necessary protocols to detect spoofing, but still allow forged emails to get into user inbox (e.g., Yahoo Mail, iCloud, Gmail). Second, once a forged email gets in, most email providers have no warnings for users, particularly on mobile email apps. Some providers (e.g., Gmail Inbox) even have misleading UIs that make the forged email look authentic. Third, a few email providers (9/35) have implemented visual security cues for unverified emails, which demonstrate a positive impact to reduce risky user actions. Comparing simulated experiments with realistic phishing tests, we observe that the impact of security cue is less significant when users are caught off guard in the real-world setting.

研究动机与目标

• 调查电子邮件服务商如何检测和处理伪造邮件，特别是当SPF/DKIM/DMARC未正确实施时。
• 确定伪造邮件在何种条件下可绕过过滤机制并成功送达用户收件箱。
• 评估视觉安全提示在减少网络钓鱼攻击中用户风险行为方面的有效性。
• 对比受控实验室用户研究与真实世界网络钓鱼实验，评估用户行为的差异。

提出的方法

• 在35家主要公共电子邮件服务商上开展端到端伪造邮件实验，使用伪造发件人域名测试邮件是否进入收件箱及警告机制的响应情况。
• 测量2017年1月和10月期间Alexa全球前100万个域名中SPF（45.0%）和DMARC（4.6%）的采用率。
• 开展受控用户研究（N=913），通过模拟网络钓鱼场景评估用户对安全提示的反应。
• 开展真实世界网络钓鱼测试，以验证模拟实验的发现，重点关注用户在真实压力情境下的行为表现。
• 分析用户界面设计模式（如头像、发件人名称卡片），这些设计可能因增强邮件的可信度而无意中助长伪造攻击。
• 采用混合方法，结合角色扮演实验与真实网络钓鱼测试，比较用户在人工环境与真实情境下的行为差异。

实验结果

研究问题

• RQ1 主要电子邮件服务商如何检测和处理伪造邮件，特别是在发件人认证失败的情况下？
• RQ2 在SPF/DKIM/DMARC检查失败的情况下，伪造邮件在何种条件下仍能成功送达用户收件箱？
• RQ3 视觉安全提示在减少网络钓鱼攻击中用户风险行为方面的有效性如何？
• RQ4 用户在模拟（角色扮演）与真实世界网络钓鱼实验中的行为有何差异？
• RQ5 用户界面设计选择（如头像、发件人名称）在多大程度上无意中助长了伪造攻击？

主要发现

• 在35家电子邮件服务商中，有33家（包括Gmail、Yahoo Mail和iCloud）在特定条件下允许伪造邮件进入用户收件箱，即使认证失败。
• 仅35家服务商中的9家实施了针对未验证发件人的视觉安全提示，且仅有4家在移动应用中保持一致的提示显示。
• 许多服务商在伪造已有联系人时，会从内部数据库调用发件人头像或姓名，从而通过增强邮件的可信度而加剧欺骗风险。
• 在受控的模拟实验中，安全提示可减少用户的风险行为，但在真实世界网络钓鱼环境中，其效果显著减弱。
• Gmail等服务商使用具有误导性的用户界面设计（如仅在网页端显示红色问号，移动端则不显示），削弱了移动平台上的用户保护。
• 本研究证实，当前的用户级防护措施仍显不足，大多数用户对伪造邮件毫无察觉，尤其是在移动设备上。