피드로 돌아가기
Dev.toSecurity
원문 읽기
AI 기업 66%의 SPF Softfail 설정으로 인한 Email Spoofing 취약점 노출
26 of 39 AI Companies Use SPF Softfail — Their Email Can Be Spoofed
AI 요약
Context
많은 AI 기업들이 메일 발신 서버 인증을 위해 SPF와 DMARC 설정을 활용함. 하지만 다수의 기업이 엄격한 거부 정책 대신 유연한 허용 정책을 채택하여 외부 공격자의 이메일 사칭이 가능한 구조적 결함을 보유함.
Technical Solution
- SPF ~all(Softfail) 설정을 통한 수신 서버의 스팸 처리 유도 및 메일 전달 허용 구조
- DMARC p=reject 정책을 통한 SPF/DKIM 인증 실패 메일의 강제 차단 메커니즘 구현
- Anthropic 사례와 같이 SPF Softfail의 취약점을 DMARC의 엄격한 Enforcement로 보완하는 계층적 방어 설계
- SPF -all(Hardfail) 설정을 통해 인증되지 않은 모든 IP의 발신 요청을 즉각 거부하는 강력한 신뢰 모델 구축
- DNS TXT 레코드를 통한 발신 허용 IP 및 Third-party 서비스(SendGrid, HubSpot 등)의 화이트리스트 관리
실천 포인트
- SPF 레코드의 끝단 설정을 ~all에서 -all로 변경하여 엄격한 인증 적용 - DMARC 정책을 p=none(모니터링)에서 p=quarantine 또는 p=reject로 상향 조정 - Third-party 메일 발송 서비스 도입 시 SPF Include 리스트의 최소화 및 정기적 검토 - dig 명령어를 통한 DNS TXT 레코드의 실제 적용 값과 보안 정책 일치 여부 상시 확인