Розробники онлайнового поштового сервісу Microsoft оголосили про нововведення, які значно підвищать його безпеку. Відтепер користувачі Outlook.com більше захищені від інтернет-зловмисників – на сторожі їхнього листування будуть DMARC та EV-сертифікати. Це технології, які забезпечують захист від так званого фішингу, в якому шахраї видають себе за справжні компанії, скажімо, банки чи інші фінансові установи. Останнім часом фішери вдаються до все більш вишуканих хитрощів, а тому додатковий захист від них буде зовсім не зайвим.

 Необхідність такого нововведення тим більш очевидна, що Outlook.com набирає популярність, і . Розробники сервісу пишаються тим, що він став першим великим веб-застосунком, який забезпечує безпеку пошти користувачів на такому високому рівні.

Абоненти Outlook.com можуть побачити, що з’єднання з поштовим сервером повністю захищено, – про це свідчить зелений прямокутник в адресному рядку

Розберемось детальніше в механізмах роботи DMARC та сертифікатів EV.

DMARC розшифровується як «Доменнозаснована аутентифікація повідомлень, звітів та відповідності» (Domain-based Message Authentication, Reporting & Conformance), цей стандарт захисту направлений на боротьбу з фішинговими атаками. Це коли хтось надсилає листа, в якому нечесним шляхом намагається дізнатись персональну інформацію. Типовим прикладом може служити розсилка, яка має такий самий вигляд, як справжній лист з банку. А в цьому повідомленні «з банку» прохання надати персональний пароль, логін чи ще щось нібито для підтвердження особистості користувача. За допомогою DMARC можна дізнатись, хто насправді є відправником такого листа: банк чи зловмисник.

Microsoft брала участь у розробці параметрів DMARC ще з часу його прийняття разом з такими компаніями, як Facebook, PayPal, Gmail, ReturnPath та іншими. Завдяки використанню цього стандарту користувачам тепер легше візуально ідентифікувати вхідні листи як безпечні. Він також запобігає потраплянню спаму та фішингової пошти в скриньку. Якщо сервіс відправника підтримує DMARC, поряд з листом з’являється логотип «довірений відправник».

Ефект від цього кумулятивний: чим більше поштових сайтів будуть використовувати DMARC, тим кращим буде захист. А відправники, у свою чергу, будуть отримувати звіти щодо результатів перевірки їхньої пошти. Ця інформація в майбутньому допоможе їм зрозуміти природу атак на їхній домен та планувати процедуру аутентифікації. Вони можуть також затребувати зміст листів, що не пройшли перевірку, для того щоб знати тип атак на свої бренди, а також помістити їх у карантин. Подібна комбінація захисту для адресатів та адресантів дозволяє DMARC працювати на всю email-екосистему.

Другий тип фішингових атак стає можливим, коли зловмисник створює веб-сайт, який ніби належить якійсь компанії, хоча це не так. Користувач вводить на такій сторінці власні дані, які потрапляють до рук крадія. Проти таких атак допомагає протокол SSL, який шифрує всю інформацію. Однак зафіксовано випадки, коли деякі сертифікати SSL підроблялись, що дозволяло зловмисникам повністю імітувати сайт легальної фірми. Щоб такого не траплялось, потрібні EV-сертифікати (Extended Validation Certificates), які є ще однією сходинкою аутентифікації надійности веб-сервісу.

Безпека EV гарантується групою організацій під загальною назвою Certificate Authority, які видають сертифікати. EV потребує шифрування мінімум 2048 біт, що є набагато безпечнішим, ніж доступно розповсюдженому стандарту SSL. Для користувача механізм виглядає просто: якщо в адресному рядку є зелений прямокутник, отже, усе нормально і з’єднання відбувається з максимальним захистом. На противагу SSL, який має обмежену довжину ключа аутентифікації, сертифікати EV стримують фішингові атаки, не дозволяючи сайтам зловмисників прикидатись легальними сервісами. Навіть якщо інтерфейс такого шкідливого сайту буде повністю копіювати інтерфейс легального, відсутність зеленого прямокутника в адресному рядку повинна насторожити користувача.

Підтримка сертифікатів EV в Outlook.com дозволяє шифрувати навіть пошту за допомогою ключа в 2048 біт, а не лише логін та п
ароль, як це було раніше. До речі, Outlook.com став першим, проте не останнім сервісом Microsoft, який працює із сертифікатами EV. У майбутньому вони з’являться в SkyDrive та інших сервісах. Звісно, такий самий рівень захисту мають і сайти Hotmail.com та Live.com на той час, доки їх користувачі переходять на Outlook.com.

А щоб захист був максимальним, Microsoft обрала видавцем таких сертифікатів EV найбільш довірену компанію – Verisign. Автентичність виданого документа можна завжди перевірити за допомогою режиму покращеного відображення, який є у більшості браузерів. Плюс зелений прямокутник в адресному рядку, який показує, що сертифікат EV є дійсним.

Розробники нагадують, що безпека – один із найважливіших пріоритетів під час вибору поштового сервісу. І тому Microsoft спрямовує зусилля своїх розробників на покращення всіх параметрів Outlook.com, серед яких – і захист кореспонденції. А про те, які нові можливості пропонує оновлений поштовий сервіс, читайте .