Hrvatska ima službene preporuke za sigurnost e-pošte od 2019. Izmjerili smo koliko ih tko poštuje

Kad hrvatska tvrtka želi znati kako postaviti zaštitu vlastite e-pošte, obično završi na engleskim stranicama proizvođača ili na blogu nekog hostinga. Rijetko tko zna da postoji domaći dokument koji to pokriva u cijelosti.

Zavod za sigurnost informacijskih sustava objavio je „Tehničke preporuke za povećanje sigurnosti komunikacije elektroničkom poštom“ — 38 stranica, s poglavljima o STARTTLS-u, SPF-u, DKIM-u i DMARC-u, primjerima ispravnih i pogrešnih zapisa te uputama posebno za stranu pošiljatelja i stranu primatelja.

Datoteka na poslužitelju Zavoda nastala je 26. studenoga 2019. To je važno reći odmah, jer je dokument stariji od Zakona o kibernetičkoj sigurnosti i mora se čitati kao tehnička preporuka, a ne kao pravna obveza. U tehničkom dijelu, međutim, gotovo ništa se od tada nije promijenilo — standardi su isti.

Dokument nije načelan. Navodi vrijednosti.

DMARC — redoslijed, ne prekidač

Ovo je dio koji najviše ljudi preskoči. Doslovno iz poglavlja 5.1:

„Vrijednost politike svakako se u početnoj fazi preporuča postaviti na vrijednost p=none. Tek nakon inicijalnog perioda i prepoznavanja mogućih problema s isporukom legitimnih poruka elektroničke pošte (npr. prosljeđivanje poruka, mailing liste i sl.), prijeći na strožiju politiku. Prijelaz ne treba biti brz – primjena p=quarantine ili p=reject politike preporuča se nakon 3-12 mjeseci, uz pretpostavku da se čitavo vrijeme analiziraju informacije koje se primaju putem skupnih izvješća.“

Drugim riječima: p=reject nije nešto što se upiše u petak popodne. Adresa za izvješća mora postojati i netko ih mora čitati mjesecima. Postavljanje stroge politike prije toga najčešći je način da tvrtka sama sebi zaustavi račune i ponude.

SPF — -all, i samo jedan zapis

Preporučuje se kvalifikator – (Fail), dakle -all, uz pošteno upozorenje da pogrešna konfiguracija uz -all može zaustaviti legitimnu poštu. Za ~all dokument kaže da smanjuje tu vjerojatnost, ali „odgovornost za odbacivanje poruka prebacuje se na odredišni poslužitelj, što u konačnici ipak može rezultirati prihvaćanjem lažiranih poruka“.

Tri pogreške koje dokument izdvaja kao česte:

• v=spf1 a mx all — bez kvalifikatora uz all, zapis prihvaća svaku izvorišnu IP adresu. Izgleda kao zaštita, a propušta sve.
• Dva SPF zapisa u istoj zoni — standard dopušta samo jedan; uz dva, ponašanje provjere nije definirano.
• v=spf1 -all na domeni koja ipak šalje poštu — legitimno samo za domene koje se doista ne koriste za slanje.

Mehanizam ptr dokument izričito ne preporučuje koristiti.

DKIM — 2048 i rotacija

Ključ barem 2048 (dokument piše „okteta“, što je gotovo sigurno omaška za bitove — 2048 bita je uobičajena preporuka), algoritam sažimanja SHA-256, rotacija ključa svakih dvanaest mjeseci prema pravilima dobre prakse, uz priznanje da je zbog ručne izmjene DNS zapisa dopušten i dulji razmak. Za selektor se predlaže format sGGGGMMDDxx, dakle datum u imenu — praktično, jer se odmah vidi koliko je ključ star.

STARTTLS — oportunistički, namjerno

Ovdje dokument radi razumnu, pomalo neočekivanu preporuku: oportunistička enkripcija, ne obavezna. Obrazloženje je praktično — velik broj poslužitelja na internetu nema mogućnost uspostave zaštićenog kanala, pa bi stroža postavka jednostavno zaustavila isporuku. Obavezna enkripcija preporučuje se selektivno, za partnerske organizacije za koje se pouzdano zna da je podržavaju. TLS 1.2 ili 1.3, Diffie-Hellman za razmjenu ključeva, SHA-256 ili SHA-384 za sažimanje, samopotpisani certifikati se ne preporučuju.

Preporuke postoje sedam godina. Pitanje je jesu li stigle do nekoga.

U vlastitom mjerenju provjerili smo 6.259 hrvatskih domena na jedno pitanje — postoji li DMARC zapis uopće. Nema ga njih 2.613, dakle 41,7 %, a od tih 2.184 doista prima poštu. Za te domene ne postoji ni prva faza koju preporuke traže, ona s p=none i adresom za izvješća.

U užem, dubinskom presjeku razložili smo 1.159 domena do razine politike. Od 555 koje primaju poštu:

• 12,1 % ima p=reject — dakle prošlo je cijeli put koji preporuke opisuju
• 19,6 % je na p=quarantine
• 36,4 % ima p=none — prva faza, ali se u njoj ostalo
• 31,9 % nema DMARC uopće

Postoci se odnose na tih 555 domena, ne na 6.259 — riječ je o dva odvojena mjerenja i ne zbrajaju se.

Mjesto gdje gotovo polovica radi suprotno

Najzanimljiviji nalaz nije DMARC nego SPF. Zapis ima 90,6 % domena koje primaju poštu — dakle raširenost nije problem. Ali među njima:

• 49,9 % završava s -all, kako preporuke i traže
• 48,1 % završava s ~all — mekim kvalifikatorom koji dokument izričito ne preporučuje

To je gotovo pola. I nije riječ o nemaru: ~all je sigurniji izbor dok se ne zna tko sve legitimno šalje poštu u vaše ime, pa se često postavi „privremeno“ i ostane. Isti obrazac kao p=none koji ostane godinama.

DKIM potpis ima 67,9 % domena koje primaju poštu.

Dokument ima poglavlje posvećeno provjeri — „Provjera dostupnosti i ispravnosti mehanizama“. U njemu stoji razumna napomena da provjeru treba provesti „iz perspektive neovisne organizacije, tj. treće strane“, kako bi se simulirali uvjeti stvarnog prijenosa poruke.

A onda slijedi popis alata koji se preporučuju:

• Internet.nl — inicijativa nizozemske Standardizacijske platforme
• MxToolbox — američki skup dijagnostičkih alata
• MECSA — platforma Zajedničkog istraživačkog centra Europske komisije
• dmarcian XML to Human — američki pretvarač DMARC izvješća u čitljiv oblik

Nizozemska, Sjedinjene Države, Europska komisija. Hrvatskog alata na popisu nema — 2019. jednostavno nije postojao. Za dokument koji na hrvatskom objašnjava hrvatskim tijelima što trebaju postaviti, posljednji korak vodi na engleski.

To nije zamjerka autorima; napisali su što je tada postojalo. Ali je razlog zašto smo napravili provjeru sigurnosti e-pošte: iste zapise koje ovaj dokument opisuje, pročitane iz javnog DNS-a, s objašnjenjem na hrvatskom i s redoslijedom popravka koji odgovara upravo ovim preporukama. Besplatno, bez registracije, ništa se ne sprema.

Pravni okvir. U veljači 2024. stupio je na snagu Zakon o kibernetičkoj sigurnosti (NN 14/2024), kojim je u hrvatsko zakonodavstvo prenesena direktiva NIS2. Zakon u članku 61. stavku 2. određuje Sigurnosno-obavještajnu agenciju kao središnje državno tijelo za kibernetičku sigurnost, a Zavod za sigurnost informacijskih sustava u članku 4. stavku 1. točki 51. kao središnje državno tijelo za obavljanje poslova u tehničkim područjima informacijske sigurnosti.

Obveze za obveznike Zakona proizlaze iz samog Zakona i pripadajuće Uredbe (NN 135/2024), ne iz ovog dokumenta iz 2019. Ali kad obveznik dođe do pitanja kako konkretno postaviti zaštitu e-pošte, ovaj dokument je i dalje najkonkretnija domaća uputa koja postoji.

Ako niste sigurni jeste li uopće obveznik, imamo provjeru u četiri pitanja koja prolazi kroz iste kriterije koje primjenjuje nadležno tijelo.

Tehnički, malo toga

SPF, DKIM i DMARC rade danas jednako kao 2019. Ono što je u međuvremenu dobilo na težini su mehanizmi koje dokument spominje rubno ili nikako — MTA-STS i TLS-RPT za šifriranje prijenosa i izvještavanje o njegovim kvarovima, te BIMI za prikaz logotipa. Njih smo obradili u zasebnom vodiču.

Promijenilo se i tržišno okruženje: od 2024. Google i Yahoo traže DMARC od pošiljatelja većeg obujma, pa ono što je 2019. bilo preporuka danas je uvjet isporuke.

Redoslijed iz dokumenta i naš iz prakse su isti:

1. Vidjeti gdje ste. Prije bilo kakve izmjene treba znati što o vašoj domeni trenutno piše u javnom DNS-u — postoji li SPF, kako završava, ima li DKIM potpisa, postoji li DMARC i koja mu je politika.
2. Popraviti SPF. Jedan zapis, ispod deset DNS upita, svi legitimni pošiljatelji unutra. Tek kad je popis potpun, ima smisla razmišljati o -all.
3. Potvrditi DKIM. Potpisuje li se pošta doista, i s kojim selektorom.
4. Objaviti DMARC s p=none i rua adresom koja postoji i koju netko čita.
5. Čitati izvješća. Preporuke kažu tri do dvanaest mjeseci. U praksi je nekoliko tjedana dovoljno da se vide glavni pošiljatelji, ali rijetki i neredoviti izvori — godišnji newsletter, servis za ankete, stara aplikacija — pojave se tek kasnije.
6. Stegnuti politiku na quarantine, pa na reject.

Prvi korak možete napraviti odmah: provjera sigurnosti e-pošte pročitat će osam zapisa vaše domene i uz svaki reći što znači i koliko je hitan. Ostalo je posao od nekoliko mjeseci — i to je u redu, tako i piše u preporukama.