피드로 돌아가기
Dev.toSecurity
원문 읽기
DNS 기반 3중 방어 체계를 통한 이메일 Spoofing 원천 차단
SPF, DKIM, and DMARC Explained: The Complete Email Authentication Guide
AI 요약
Context
SMTP 프로토콜의 기본 설계상 발신자 주소 위조가 가능한 구조적 결함 존재. 이로 인해 2023년 BEC 공격으로 인한 피해액이 29억 달러에 달하는 보안 취약점 발생.
Technical Solution
- SPF TXT 레코드를 통한 발신 서버 IP 화이트리스트 기반의 신원 검증 체계 구축
- DKIM Public Key 배포를 통한 메시지 무결성 증명 및 전송 중 변조 방지 설계
- DMARC 정책 설정을 통한 SPF/DKIM 인증 실패 시 수신 서버의 처리 방식(Quarantine/Reject) 정의
- DNS Lookup 횟수를 10회 미만으로 제한하여 SPF Permerror 발생 가능성을 차단하는 최적화 수행
- p=reject 및 sp=reject 설정을 통한 도메인 및 서브도메인 전체의 강력한 위조 방지 정책 적용
실천 포인트
1. SPF 레코드의 DNS Lookup 횟수가 10회를 초과하는지 주기적으로 점검
2. SPF 정책을 ~all(Soft fail)에서 -all(Hard fail)로 단계적 전환
3. DKIM 키를 최소 2048-bit RSA 이상으로 설정하고 연 단위 교체 주기 수립
4. DMARC 정책을 p=none에서 p=quarantine 또는 p=reject로 상향 조정