[论文解读] Weak Links in Authentication Chains: A Large-scale Analysis of Email Sender Spoofing Attacks

Kaiwen Shen, Chuhan Wang+9 more|arXiv (Cornell University)|Nov 17, 2020

Spam and Phishing Detection参考文献 28被引用 13

一句话总结

本文识别出14种新型电子邮件伪造攻击，这些攻击通过利用电子邮件认证链中的不一致性，绕过了SPF、DKIM、DMARC以及用户界面防护机制。通过对30个电子邮件服务和23个电子邮件客户端进行大规模测试，研究发现，即使像Gmail和Outlook这样的主要提供商也存在漏洞，揭示了基于链式认证的电子邮件安全机制存在系统性缺陷，并为协议设计者和提供商提出了关键的缓解措施。

ABSTRACT

As a fundamental communicative service, email is playing an important role in both individual and corporate communications, which also makes it one of the most frequently attack vectors. An email's authenticity is based on an authentication chain involving multiple protocols, roles and services, the inconsistency among which creates security threats. Thus, it depends on the weakest link of the chain, as any failed part can break the whole chain-based defense. This paper systematically analyzes the transmission of an email and identifies a series of new attacks capable of bypassing SPF, DKIM, DMARC and user-interface protections. In particular, by conducting a "cocktail" joint attack, more realistic emails can be forged to penetrate the celebrated email services, such as Gmail and Outlook. We conduct a large-scale experiment on 30 popular email services and 23 email clients, and find that all of them are vulnerable to certain types of new attacks. We have duly reported the identified vulnerabilities to the related email service providers, and received positive responses from 11 of them, including Gmail, Yahoo, iCloud and Alibaba. Furthermore, we propose key mitigating measures to defend against the new attacks. Therefore, this work is of great value for identifying email spoofing attacks and improving the email ecosystem's overall security.

研究动机与目标

• 调查基于链式认证模型的电子邮件认证机制中系统性缺陷，其中最薄弱的一环会破坏整个安全链。
• 识别出能够同时绕过多种电子邮件安全协议和用户界面防护机制的新型伪造攻击。
• 在大规模范围内评估这些攻击对主流电子邮件服务和客户端的实际影响。
• 向提供商报告漏洞，并提出可操作的缓解措施，以增强电子邮件生态系统安全。
• 弥补以往研究的空白，通过分析端到端的链式级别故障，而非孤立的协议步骤。

提出的方法

• 对30个主流电子邮件服务和23个电子邮件客户端进行了大规模实证分析，以评估其对伪造攻击的易感性。
• 系统性地分析了电子邮件传递过程的四个阶段：发送、接收、转发和用户界面渲染。
• 通过组合多种漏洞设计并执行了‘鸡尾酒’联合攻击，成功绕过了SPF、DKIM、DMARC和基于用户界面的检测机制。
• 识别出不同厂商在安全协议实现上的不一致性，包括对RFC规范的偏离。
• 已向11家主要提供商报告所有发现，包括Gmail、Yahoo、iCloud和Alibaba，均获得积极回应。
• 为协议设计者和电子邮件提供商提出了缓解措施，以提升对链式伪造攻击的抗性。

实验结果

研究问题

• RQ1 不同电子邮件服务在SPF、DKIM和DMARC实现上的不一致性，如何导致认证机制被绕过？
• RQ2 在真实世界的电子邮件系统中，伪造邮件在多大程度上能够同时绕过协议级和基于用户界面的安全防护？
• RQ3 基于链式认证模型中存在哪些系统性缺陷，使得攻击者能够伪造出高度逼真的邮件？
• RQ4 这些漏洞在主流电子邮件服务和客户端中的普遍程度如何，包括Gmail和Outlook等广泛使用的平台？
• RQ5 这些漏洞的根本原因是什么，以及如何通过改进协议设计和实现来加以解决？

主要发现

• 测试的全部30个主流电子邮件服务均易受新识别出的伪造攻击影响，包括Gmail和Outlook等主要提供商。
• 测试的全部23个电子邮件客户端均易受某些伪造攻击影响，表明用户界面层面存在广泛暴露。
• ‘鸡尾酒’联合攻击成功同时绕过了SPF、DKIM、DMARC和用户界面防护，生成了无法被检测的伪造邮件。
• 尽管这些协议已部署多年，但许多电子邮件服务仍未能一致地实施安全协议，导致可被利用的不一致性。
• 在Office 365和Zoho中发现了ARC协议的实现缺陷，尽管ARC是标准化协议且仅由少数厂商部署。
• 11家主要提供商，包括Gmail、Yahoo、iCloud和Alibaba，对报告的漏洞作出了积极回应，表明其已认识到相关风险。