피드로 돌아가기
Dev.toSecurity
원문 읽기
DMARC 표준화 및 DNS Tree Walk 기반 도메인 식별 구조 전환
DMARC Is Now a Proper Internet Standard: What Changed in RFC 9989/9990/9991
AI 요약
Context
기존 RFC 7489 기반 DMARC는 Public Suffix List(PSL)에 의존하여 조직 도메인 경계를 식별함. 외부 의존성에 따른 수동 유지보수 부담과 비표준 네임스페이스 대응 불가라는 구조적 한계 존재.
Technical Solution
- PSL 의존성을 제거하고 루트 방향으로 쿼리를 수행하는 DNS Tree Walk 알고리즘 도입
- DoS 증폭 공격 방지를 위해 최대 8회 쿼리로 제한한 트래버스 로직 설계
- pct 태그의 모호성을 제거하고 명시적 테스트 상태를 나타내는 t=y 태그로 대체
- DNS 레코드가 없는 서브도메인을 위한 np=reject 정책을 통해 Spoofing 탐지 정밀도 향상
- RFC 9991을 통한 Identity-Alignment 헤더 의무화로 인증 메커니즘 실패 원인 분석의 일관성 확보
- 리포트 생성기의 Rate Limiting 강제를 통한 보고 시스템의 DoS 취약점 해결
실천 포인트
- DMARC 레코드 내 pct 태그를 제거하고 t=y 태그로 전환하여 테스트 모드 명시 - MTA 및 리포트 파서 운영 시 RFC 9991의 Identity-Alignment 헤더 처리 로직 업데이트 - 공용 접미사 도메인(PSD) 운영 시 psd=y 태그 추가 검토 - Failure Report 전송 시 PII 마스킹 및 URI 검증 로직 적용 여부 확인