中国邮箱网讯 3月4日消息 Google，Yahoo，Microsoft和其他主要的电子邮件提供商都致力于阻止网络钓鱼攻击和其他基于电子邮件的Web骗局。美国银行和Facebook等主要品牌加入了大型电子邮件提供商的行列，于1月30日宣布了新的基于域的消息身份验证，报告和一致性框架以及相关的工作组DMARC.org。

DMARC.org主席兼PayPal客户安全计划高级经理Brett McDowell表示，DMARC是电子邮件的身份验证层，它将使电子邮件再次受信任，并使网络钓鱼更加困难。迄今为止，已有15家公司加入DMARC.org。

DMARC.org参与者警告说，DMARC不会阻止所有恶意电子邮件。相反，它针对非常特定形式的基于域的网络钓鱼，即，被欺骗的邮件看起来像是来自特定域的。McDowell说，如果由传出邮件服务器和收件人服务器正确部署，DMARC将帮助组织识别并标记声称由PayPal.com发送但由与PayPal不相关的服务器发送的邮件。

麦克道尔说：“电子邮件网络钓鱼每年欺骗数百万人和公司，导致消费者对电子邮件和整个Internet失去信心。”

规范草案在诸如Facebook，LinkedIn，美国银行和PayPal之类的合法电子邮件发送者与诸如Google，Yahoo，Microsoft和AOL之类的邮件接收者之间创建了一个反馈循环。Google已将其部署到Gmail，Yahoo(用于Yahoo Mail)和Microsoft(用于Hotmail)。对于这些电子邮件服务的用户，他们声称来自Facebook，LinkedIn和PayPal的每封邮件都将经过身份验证，因为交易的两端都使用DMARC，McDowell表示。

Agari首席执行官Patrick Peterson表示：“ Agari和我们的DMARC.org合作伙伴在过去两年中进行了投资，以建立行业规范为基础，从而创建了最有效和最广泛的消除域网络钓鱼的模型。

微软Windows Live Hotmail交付与安全团队高级程序经理Paul Midgen表示，DMAR不会阻止所有垃圾邮件或网络钓鱼，但会阻止“大量”恶意邮件的发送。

Google的最新数据发现，Gmail中约有15%的非垃圾邮件来自受DMARC保护的域，“这意味着像您这样的Gmail用户无需担心来自这些发件人的欺骗邮件，” Google产品Adam Dawes经理在Google在线安全博客上写道。

根据McDowell的说法，DMARC规范旨在与现有的邮件身份验证系统配合使用，例如DomainKeys Identified Mail和Sender Policy Framework以及域名系统记录的安全性。DMARC代替了DKIM或SPF，而是创建了经过身份验证的电子邮件流。McDowell说，目前，处理传入邮件的邮件服务器没有可靠的方法来知道哪些发件人正在使用SPF或DKIM，这很难确定原始服务器是否与该域合法关联。

Midgen说，DMARC为“ SPF和DKIM增加了可观的价值”。

由于DMARC将部署在电子邮件传输的两端，因此收件人知道哪些服务器是真实的。域所有者还可以编写策略，指示所有使用DMARC数据的邮件服务器自动标记或丢弃从其控制范围以外的服务器发送的消息。

根据Dawes的说法，网络钓鱼的潜力“在系统正常运行时会骤然下降”。

邮件管理员可以配置DMARC来编写用于处理不良电子邮件的策略。他们可以选择让恶意邮件通过，但可以监视正在发生的情况，将邮件视为可疑邮件并为用户标记，或者完全拒绝邮件并阻止其到达用户收件箱。

电子邮件安全平台Agari为组织提供了一个现成的平台，可以访问DMARC数据以进行即时分析，而无需在其邮件服务器上实现该框架。Agari声称每天已经使用DMARC数据拒绝为其客户拒绝超过150万封邮件，并且大约有100万封邮件被标记为垃圾邮件。

即使组织不准备对所有出站邮件进行身份验证的“挑战”，“没有理由不进行注册以开始接收欺诈性声称来自您的地址的邮件报告，”道斯写道。

电子邮件认证和声誉监控公司Return Path在其域保证反网络钓鱼产品中完全支持DMARC规范。根据“返回路径”，“域名保证”会分析通过DMARC发送的数据，以向客户提供有关使用域名发送的邮件以及邮件的发送位置的详细报告。

ReturnPath首席执行官Matt Blumberg说：“快速，广泛地采用DMARC将大大削弱诈骗者通过电子邮件使永久化的能力。”

根据DMARC.org，该规范将提交给Internet工程任务组以成为标准。

但是，有人担心DMARC可能不会发挥太大作用。Securisea的负责人乔什·戴蒙特(Josh Daymont)说，虽然DMARC是一个“好主意”，但“不可能改变游戏规则”。Daymont说，尽管较大的邮件服务提供商可能会采用该框架，但仍有“数十万(甚至不是数百万)家运行自己的电子邮件服务器的小公司”不愿采用该规范。