“Inventarisatie van DMARC mailbeveiliging bij Mastodon-servers teleurstellend”
Gebruikers zouden de beveiliging mee moeten nemen bij hun keuze voor een Mastodon-server
De opkomst van al die nieuwe Mastodon-servers heeft ook de belangstelling van kwaadwillenden gewekt. Een ‘phishing mail’-campagne naar de gebruikers van masto.ai was voor netwerkbeveiligingsspecialist Sean Whalen aanleiding om de domeinnamen van de top-1000 Mastodon-servers te controleren op het gebruik van de DMARC-beveiliging voor e-mail.
De uitkomsten noemt hij teleurstellend. “Veruit de meeste Mastodon-servers hebben helemaal geen DMARC-record. Deze inventarisatie laat zien dat de meeste eigenaren hun domein niet fatsoenlijk beveiligen.” Behalve dat beheerders aangespoord moeten worden om hun maildomeinen te beveiligen, zou de aanwezigheid van een actieve DMARC-policy ook door gebruikers meegenomen moeten worden bij hun keuze voor een bepaald domein voor hun Mastodon-account.
Gefedereerd microblogging-platform
Na de overname van Twitter door Elon Musk heeft alternatief microblogging-platform Mastodon een onstuimige groei doorgemaakt. De afgelopen maanden liep het aantal actieve gebruikers op van minder dan een half miljoen tot boven de 2,5 miljoen, om inmiddels te stabiliseren rond de 1,3 miljoen. Op het platform zijn nu nog vooral de early adopters aanwezig, en dan vooral uit de activistische, technische en academische wereld. Ter vergelijking: Twitter heeft 450 miljoen maandelijkse gebruikers (al valt daar wel flink wat op af te dingen).
Cruciaal verschil tussen de 2 platformen is dat Mastodon niet gecentraliseerd maar gefedereerd is. Dat betekent dat het bestaat uit een netwerk van onafhankelijke servers (op dit moment ongeveer 10.000), die met elkaar communiceren via het ActivityPub-protocol. Gebruikers openen een account op een van deze servers of zetten hun eigen server op. Bekend Nederlands voorbeeld is SURF, dat begin dit jaar een Mastodon-pilot is gestart voor het hoger onderwijs.
SIDN en Mastodon
Eerder publiceerden we dit artikel over de ondersteuning van de server Mastodon.nl door SIDN fonds.
Zelf zijn we ook actief op het Mastodon-netwerk, en wel onder de handles @SIDNlabs@mstdn.social en @sidn@mastodon.nl (op de laatste wordt nu nog niet gepost).
De opkomst van al die nieuwe servers, veelal op een eigen domeinnaam, wekt natuurlijk ook de belangstelling van kwaadwillenden. Een ‘phishing mail’-campagne naar de gebruikers van masto.ai was voor netwerkbeveiligingsspecialist Sean Whalen aanleiding om de domeinnamen van de top-1000 Mastodon-servers te controleren op het gebruik van de DMARC-beveiliging voor e-mail (en als onderdeel daarvan ook de SPF- en DNSSEC-standaarden (hoewel het gebruik van die laatste volgens de SPF/DKIM/DMARC-standaarden wel aangeraden maar niet strikt verplicht is). De aanwezigheid van DKIM is van buiten niet te controleren, omdat je daarvoor de naam van de DKIM-selector (een verwijzing naar een DNS-record met een publieke sleutel) moet kennen.
Wat Whalen vond is dat slechts 15 procent van de onderzochte Mastodon-domeinen een DMARC-policy met de (actieve) instelling ‘p=quarantine’ of ‘p=reject’ publiceert. 13 procent heeft de (passieve) instelling ‘p=none’. En maar liefst 72 procent van de domeinnamen heeft helemaal geen DMARC-policy.
DNSSEC
DNSSEC, waarbij DNS-records van een digitale handtekening worden voorzien, wordt gebruikt door een kleine 20 procent van de domeinnamen. Gezien de lage adoptie internationaal is dat nog helemaal niet zo slecht (Nederland doet het wat betreft de ondertekening uitzonderlijk goed).
De relatief hoge toepassing van DNSSEC kan komen omdat het vaker nieuwe domeinen betreft. “Als een domeinnaam wordt gehost door de registar, dan staat DNSSEC vaak standaard aan,” aldus Whalen.
SPF
De toepassing van SPF, waarbij een domein een lijstje van mail-gateways publiceert die geautoriseerd zijn om namens dat domein mail te versturen, zit op 54 procent. “Ik had dat getal veel hoger verwacht,” aldus Whalen. “want veel maildiensten accepteren geen mail afkomstig van een domein zonder fatsoenlijk SPF-record.”
Gebrek aan kennis
Whalen noemt de uitkomsten teleurstellend. “Zoveel grote Mastodon-servers hebben geen actieve DMARC-policy, of zelfs geen geldig SPF-record. Veruit de meeste servers hebben helemaal geen DMARC-record. En dat terwijl Mastodon-servers maar een paar mailbronnen hebben: de relay van mail van de server zelf, en misschien een nieuwsbrief- en mailboxdienst. Zorgen dat deze bronnen DKIM-handtekeningen gebruiken en het publiceren van een DMARC-record is echt niet ingewikkeld, maar deze inventarisatie laat zien dat de meeste beheerders hun domeinen desondanks niet fatsoenlijk beveiligen.”
“Toch denk ik niet dat dit met desinteresse te maken heeft,” zegt Whalen, “eerder met een gebrek aan kennis van informatiebeveiliging. Het zou goed zijn als de gemeenschap van Mastodon-beheerders zelf de boodschap meer uitdraagt.”
Behalve dat beheerders aangespoord moeten worden om hun maildomeinen te beveiligen, zou de aanwezigheid van een actieve DMARC-policy ook door gebruikers meegenomen moeten worden bij hun keuze voor een bepaald domein voor hun Mastodon-account. Op die manier ontstaat vanzelf meer druk en aandacht voor mailbeveiliging bij de eigenaren.