DMARCbis 개요
DMARCbis 문서 섹션에 오신 것을 환영합니다. 여기에서 DMARC 표준이 처음 발표된 이후 가장 중요한 업데이트인 DMARCbis에 대한 개요를 찾을 수 있습니다.
DMARCbis란 무엇인가요?
DMARCbis는 DMARC (Domain-based Message Authentication, Reporting, and Conformance)의 개정판입니다. "bis"라는 명칭은 프로토콜 개정에 대한 표준 명명 규칙을 따릅니다.
원래의 DMARC 사양(RFC 7489)은 2015년에 "Informational" 문서로 발표되었지만, DMARCbis는 "Proposed Standard"로 발표되었습니다. 이는 10년 이상의 배포 경험을 바탕으로, DMARC의 공식적인 지위를 검증되고 널리 채택된 이메일 인증 프로토콜의 수준으로 격상시킵니다.
DMARCbis는 다음과 같은 방식으로 원래의 표준을 강화합니다:
- 더 많은 예시와 함께 사양을 더 명확하고 상세한 초안으로 분리
- 수동으로 관리되는 목록 대신 DNS 기반 조회를 사용하여 조직 도메인 경계를 결정하는 방식 개선
- 일관성이 없는 레거시 요소를 제거하여 정책 태그를 단순화
- 더 나은 가시성과 보안을 위한 보고 요구사항 강화
결정적으로, DMARCbis는 하위 호환성을 유지합니다. 버전 식별자로 계속 v=DMARC1을 사용하므로, 기존 DMARC 레코드는 즉각적인 변경 없이도 유효한 상태를 유지하며, 조직은 새로운 기능을 점진적으로 도입할 수 있습니다.
DMARCbis의 주요 변경 사항
재구성된 사양
업데이트된 표준은 세 개의 개별 초안으로 나뉩니다:
- 핵심 프로토콜 — DMARC의 기본 사항을 정의
- 집계 보고 — 일일 보고서가 생성되고 형식화되는 방식을 설명
- 포렌식 보고 — 인증 실패 정보가 보고되는 방식을 상세히 설명
이러한 분리는 표준을 시간이 지나도 더 쉽게 이해하고, 구현하고, 유지 관리할 수 있게 해줍니다.
DNS Tree Walk 알고리즘
가장 중요한 기술적 변경 사항은 도메인의 조직 경계를 찾기 위해 Public Suffix List (PSL)를 DNS Tree Walk 알고리즘으로 대체한 것입니다.
수동으로 관리되는 공개 목록에 의존하는 대신, 수신자는 psd=y(공개 접미사 도메인) 또는 psd=n(조직 경계)로 표시된 DNS 레코드를 찾을 때까지 도메인 계층 구조의 연속적인 단계를 한 번에 하나의 레이블씩 위로 올라가며 조회합니다.
- 과도한 DNS 조회를 방지하기 위해 조회는 최대 8단계로 제한됩니다.
- 레이블이 8개 이상인 도메인의 경우, 조회가 시작되기 전에 7개가 남을 때까지 가장 왼쪽의 레이블부터 제거됩니다.
- 조회는 명시적인
psd값을 가진 유효한 DMARC 레코드를 찾는 즉시 중단됩니다.
이러한 DNS 기반 접근 방식은 제3자 목록에 대한 의존성을 제거하여, 경계 변경 사항이 일관되게 반영될 가능성을 높이고 전반적인 도메인 경계 감지의 정확성을 향상시킵니다.
참고: 전환 기간 동안 일부 수신자는 여전히 PSL을 사용하고 다른 수신자는 Tree Walk를 사용할 수 있으며, 이로 인해 동일한 도메인에 대해 서로 다른 결과가 발생할 수 있습니다. 모든 도메인 및 서브도메인에 명시적인 DMARC 레코드를 게시하고(해당되는 경우
psd태그 포함), 이러한 모호함을 방지하시기 바랍니다.
새로운 정책 태그
DMARCbis는 더 세밀한 제어를 위해 세 가지 새로운 태그를 도입합니다:
| 태그 | 목적 |
|---|---|
psd (공개 접미사 도메인) | y는 도메인을 공개 접미사 도메인으로 표시하고, n은 조직 도메인으로 표시합니다. 기본값인 u는 Tree Walk가 이를 판단하도록 맡깁니다. |
np (존재하지 않는 서브도메인 정책) | DNS에 존재하지 않는 서브도메인에서 발송된 것으로 주장하는 이메일에 적용되는 정책을 설정하여, 공격자가 ceo.example.com과 같이 조작된 서브도메인을 사용하는 스푸핑 허점을 차단합니다. |
t (테스트 모드) | 정책이 아직 적용되지 않고 시범 운영 중임을 나타내거나(y), 정상적으로 적용됨을 나타냅니다(n, 기본값). |
사용 중단된 레거시 태그
수신자마다 일관성 없는 결과를 발생시켰던 세 가지 태그가 사용 중단되었습니다:
pct(백분율) — 더 명확한t(테스트 모드) 태그로 대체됨rf(보고 형식)ri(보고 간격) — 보고 주기는 이제 구성 가능한 값이 아니라 균일하게 정의됨
이러한 태그는 하위 호환성을 위해 설정된 경우 계속 게시되지만, DMARCbis를 인식하는 수신자는 점점 더 대체 태그에 의존하게 될 것입니다.
강화된 보고
집계 보고와 포렌식 보고는 이제 각각 자체적인 사양 초안을 가지고 있으며, 일관성과 보안에 대한 더 엄격한 요구사항이 적용됩니다:
- 외부 보고 주소에 대한 필수 검증(
rua=/ruf=수신자는 발송 도메인 외부로 전송되는 보고서를 승인해야 함) - 표준화된 첨부 파일 형식 및 명명 규칙
- XML 구조 및 gzip 압축에 대한 더 엄격한 적용
메일링 리스트에 대한 지침
DMARCbis는 메일링 리스트 및 전달된 메일에 대한 명확한 지침을 제공합니다. 메일링 리스트 소프트웨어가 SPF와 DKIM 정렬을 모두 깨뜨리는 경우가 많아 정상적인 메시지가 거부될 수 있으므로, 메일링 리스트가 정상적인 메일 흐름의 일부인 경우 p=reject 정책을 게시하는 것을 권장하지 않습니다.
동시에, DMARCbis는 도메인 소유자가 가능한 한 p=reject 정책을 향해 나아가도록 계속 권장합니다. 이는 도메인을 무단 사용으로부터 완전히 보호하는 유일한 정책이기 때문입니다. 권장 사항은 엄격한 적용으로 전환하기 전에 메일링 리스트를 포함한 메일 생태계를 평가하는 것입니다.
주요 이점
- DNS Tree Walk 알고리즘을 통한 더 정확한 조직 도메인 감지
- 명확한 테스트 신호를 제공하는 더 간단하고 명료한 정책 태그
- 존재하지 않는 서브도메인에 대한 스푸핑 방지 강화
- 복잡한 도메인 구조 및 공개 접미사 도메인에 대한 향상된 지원
- 향상된 보고 일관성 및 보안
- 강제 마이그레이션 없음 — 새로운 기능을 원하는 속도로 도입하는 동안 기존 레코드는 계속 유효함
자주 묻는 질문
DMARCbis를 위해 현재의 DMARC 레코드를 변경해야 하나요?
즉각적인 변경은 필요하지 않습니다. DMARCbis는 동일한 버전 식별자(v=DMARC1)를 유지하므로 기존 레코드는 계속 유효합니다. 시간이 지남에 따라 이메일 인증을 강화하기 위해 새로운 태그를 점진적으로 도입할 수 있습니다.
DNS Tree Walk는 Public Suffix List에 비해 어떤 점이 개선되었나요?
수동으로 관리되는 공개 접미사 목록에 의존하는 대신, Tree Walk는 DNS를 직접 조회하여 도메인 계층 구조를 따라 올라가면서 올바른 조직 경계를 식별합니다. 이는 제3자가 목록을 최신 상태로 유지하는 것에 의존하지 않기 때문에 더 일관성이 있습니다.
DMARCbis가 메일링 리스트에 대해 권장하지 않는다면 지금 p=reject 정책을 설정해야 하나요?
DMARCbis가 p=reject를 전면적으로 권장하지 않는 것은 아닙니다. 메일링 리스트가 SPF/DKIM 정렬을 깨뜨릴 수 있으므로, 메일링 리스트가 메일 흐름의 일부인 경우에 특별히 주의를 권고하는 것입니다. 엄격한 적용으로 전환하기 전에 도메인의 메일이 실제로 어떻게 발송되고 전달되는지 검토하시기 바랍니다.