SpamChannel

Live-Worker gehostet unter https://spamchannel.haxxx.workers.dev

UPDATE (13. August 2023): Zwei Tage nach meinem DEFCON-31-Vortrag hat MailChannels stillschweigend beschlossen, einen Domain Lockdown Record zu verlangen, um E-Mails von Cloudflare Workers senden zu können, was bedeutet, dass dieser Code nicht mehr funktioniert. Da sie jedoch nur ein „Symptom“ und nicht das zugrunde liegende Problem (fehlende Absenderidentitätsprüfung) behoben haben, kann sich weiterhin jeder auf ihrer Website anmelden (80$) und ihren „normalen“ SMTP-Relay verwenden, um alle Domains ihrer Kunden zu spoofen 🤷🏻‍♂️

Was ist das?

Zum Zeitpunkt dieses Schreibens kannst du damit E-Mails von beliebigen der über 2 Millionen Domains spoofen, die MailChannels verwenden. Außerdem hast du eine etwas höhere Chance, dass gespoofte E-Mails von Domains ohne SPF & DMARC zugestellt werden, dank der Einführung von ARC.

Es wurde auf dem Defcon-31-Vortrag SpamChannel: Spoofing Emails From 2 Million+ Domains and Virtually Becoming Satan veröffentlicht.

Die Folien zu dem Vortrag findest du hier.

Ich bin MailChannels-Kunde, wie verhindere ich, dass andere sich als meine Domain ausgeben?

TL;DR: Setze so schnell wie möglich deinen Domain Lockdown Record.

Defcon-Vortrag

Demos

Im Folgenden findest du die Demos aus meinem Defcon-Vortrag, die E-Mail-Spoofing mit diesem Cloudflare-Worker demonstrieren.

Dieses Video demonstriert das Spoofing einer E-Mail von einer Domain, die mit DMARC + DKIM konfiguriert ist:

SpamChannel Demo 1

Dieses Video demonstriert, wie man sich als Satan ausgibt ([email protected]):

SpamChannel Demo 2

So stellst du es selbst bereit

1. Registriere dich und erstelle ein kostenloses Konto bei Cloudflare (https://dash.cloudflare.com/sign-up)
2. Klone dieses Repo
3. Installiere das Wrangler-CLI-Tool (npm i -g wrangler)
4. Führe wrangler login aus und melde dich in deinem Konto an
5. Führe im Stammverzeichnis dieses Repos wrangler publish aus

Danksagungen

Der Code basiert auf dem Gist von @ihsangan.