SpamChannel

ライブワーカーは https://spamchannel.haxxx.workers.dev でホストされています。

UPDATE (Aug 13 2023): 私の DEFCON 31 トークの2日後、MailChannels は Cloudflare Workers からのメール送信に Domain Lockdown Record を要求することを黙って決定しました。つまり、このコードはもう機能しません。しかし、彼らは根本的な問題（送信者ID検証の欠如）ではなく「症状」にしか対処しなかったため、誰でも彼らのウェブサイトにサインアップ（80$）して、「通常の」SMTP リレーを使用して顧客の全ドメインをスプーフィングできます 🤷🏻‍♂️

これは何か

執筆時点では、これを使うと MailChannels を利用している200万以上のドメインのいずれかからメールをスプーフィングできます。また、ARC の採用により、SPF と DMARC を持たないドメインからのスプーフィングメールが届く可能性がわずかに高まります。

これは Defcon 31 のトーク SpamChannel: Spoofing Emails From 2 Million+ Domains and Virtually Becoming Satan で公開されました。

トークのスライドはこちら

MailChannels の顧客ですが、自分のドメインのなりすましを止めるにはどうすればいいですか？

TL;DR: できるだけ早く Domain Lockdown Record を設定してください。

Defcon トーク

デモ

以下は、この Cloudflare Worker を使ったメールスプーフィングを実演した私の Defcon トークのデモです。

この動画は、DMARC + DKIM が設定されたドメインからのメールスプーフィングを実演しています。

この動画は、サタン（[email protected]）になりすます様子を実演しています。

自分でデプロイする方法

1. Cloudflare にサインアップして無料アカウントを作成します（https://dash.cloudflare.com/sign-up）
2. このリポジトリをクローンします
3. Wrangler CLI ツールをインストールします（npm i -g wrangler）
4. wrangler login を実行してアカウントにログインします
5. このリポジトリのルートで wrangler publish を実行します

クレジット

コードは @ihsangan の gist を基にしています。