Notices by もちゃ(あと-4.00Kg) (mot@mastodon.motcha.tech), page 60

SPFはメッセージの真正性（改ざん有無）を担保しないし、DKIMはメッセージがどのサーバから送られて来たか確認する方法に欠けている（組織の正当なMTAからの通信かは検べないので）って話だなぁ

全然言っとることちゃうやんけ

How to Use DKIM to Prevent Domain Spoofing - SendGrid https://sendgrid.com/blog/how-to-use-dkim-to-prevent-domain-spoofing/

Neither SPF or DKIM fully secure an email. Each is missing an important piece. SPF is missing message verification and DKIM is missing a way to verify where the message is coming from. Both are needed to be a secure email sender.

疲れてるから英語読む気にならん（真顔）

頑張れ明日の俺

結論 ちゃんと原文を読め

送信元（エンベロープ or ヘッダーFrom）を認証する機構だっつってるんだけど、多分このコンテキストでは『送信元（が攻撃者ではないこと）を認証しない』みたいなことを言っている気がする

その辺ふにゃふにゃしてるから謎の記事になってんだよな

件のページの某記述について言うなら、「正当性」という言葉が単にだいぶガバく使われているだけという感じはある。

ここもだいぶ、あやふやなことを言ってる気はするんだよな

DKIMとは？ | SendGridブログ https://sendgrid.kke.co.jp/blog/?p=2044

"SPFとDKIMにはそれぞれ足りない部分があり、それ単体では完全な認証にはなりません。SPFはメッセージの内容を認証するものではないですし、DKIMはメッセージの送信元を認証するわけではありません。"

にゃるね

そもそもあの記述がなりすまし対策としての弱点について述べているわけではないと思っているよ

ということは、結局なりすまし対策機能を使ってわかるのは、ヘッダーFromをなりすましてたら検知しますよってだけで…そこんとこは見間違えそうなそっくりクソドメインでSPF/DKIMバッチェの攻撃者が本物そっくりに送ってきたメールについて、どちらの技術もそこんとこは無力と

フーム

なんか、粒度が荒い気がするんだよな、理解の

なんか、違う気がするけど頭まわらん

ぬーん？

それを言い始めると、SPFでも…？

なるほど。なりすましてる名義と、スパマーが使っているドメインとの関係性はDKIMが担保することはないので、変なドメインのDKIMがバッチェ通ってても、それが本文内で名乗ってる組織と一致していることをシステム的に担保しないってことね

あぁ、そういう…