Để giảm thiểu các mối đe dọa bảo mật email này đòi hỏi một cách tiếp

cận toàn diện. Tài liệu NIST Special Publication 800-177 (Email Đáng Tin Cậy,
Tháng 9 năm 2015) cung cấp một danh sách hữu ích về các mối đe dọa cụ thể và
các phương pháp giảm thiểu được đề xuất. Một số giao thức tiêu chuẩn được
khuyến nghị để đối phó với các mối đe dọa này bao gồm:
 STARTTLS: Tiện ích mở rộng bảo mật SMTP cung cấp tính xác thực,
tính toàn vẹn, không thoái thác (thông qua chữ ký điện tử) và tính bảo mật
(thông qua mã hóa) cho toàn bộ thông báo SMTP bằng cách chạy SMTP qua
TLS.
Ví dụ : Một nhà cung cấp dịch vụ email triển khai tính năng STARTTLS
trên máy chủ email của họ. Khi một máy chủ email khách kết nối với máy chủ
email của nhà cung cấp này và gửi yêu cầu STARTTLS, máy chủ email của nhà
cung cấp sẽ phản hồi và bắt đầu quá trình thiết lập kết nối bảo mật.
Sau khi yêu cầu STARTTLS được chấp nhận, máy chủ email khách và máy chủ
email của nhà cung cấp sẽ thiết lập một kết nối bảo mật bằng cách sử dụng TLS
hoặc SSL. Quá trình này bao gồm các bước như thỏa thuận phiên bản TLS/SSL,
trao đổi chứng chỉ số công cộng, và sử dụng các khóa mã hóa để bảo vệ dữ liệu.
Sau khi kết nối bảo mật đã được thiết lập, bất kỳ dữ liệu nào được truyền giữa
máy chủ email khách và máy chủ email của nhà cung cấp đều được mã hóa.
Điều này ngăn chặn bất kỳ bên thứ ba nào có thể nghe trộm hoặc chiếm giữ
thông tin quan trọng trong email.
Sử dụng STARTTLS giúp ngăn chặn các cuộc tấn công Man-in-the-Middle
(MITM) bằng cách đảm bảo tính toàn vẹn và bảo mật của dữ liệu khi truyền qua
mạng.
 S/MIME (Secure/Multipurpose Internet Mail Extensions): S/MIME
cung cấp xác thực, tính toàn vẹn, không phủ nhận (qua chữ ký số) và tính bảo
mật (qua mã hóa) cho nội dung thông điệp được chuyển trong các thông điệp
SMTP.
Ví dụ : Giả sử Alice muốn gửi một email bảo mật cho Bob, và cả hai đều
có chứng chỉ số S/MIME.
Alice sử dụng chứng chỉ số của Bob để mã hóa email trước khi gửi nó đi. Điều
này đảm bảo rằng chỉ có Bob mới có thể giải mã và đọc nội dung của email.
Alice sử dụng khóa riêng của mình để tạo chữ ký số cho email. Chữ ký số này
được gắn vào email trước khi gửi đi, cho phép Bob xác minh rằng email được
gửi từ Alice và chưa bị sửa đổi trong quá trình truyền qua mạng.
Khi Bob nhận được email, anh ta sẽ sử dụng chứng chỉ số của Alice để xác minh
danh tính của người gửi và kiểm tra chữ ký số để đảm bảo tính toàn vẹn của nội
dung email.
Vì email đã được mã hóa, bất kỳ kẻ tấn công nào cũng không thể đọc nội dung
của nó trong quá trình truyền qua mạng.
Với việc sử dụng S/MIME, Alice và Bob có thể giao tiếp qua email một cách
bảo mật, đảm bảo tính toàn vẹn và xác thực của thông tin. Điều này làm cho
S/MIME trở thành một công cụ quan trọng trong việc bảo vệ thông tin và đảm
bảo tính bảo mật trong truyền thông email.
 DNS Security Extensions (DNSSEC): DNSSEC tăng cường bảo mật
email bằng cách cung cấp xác thực và bảo vệ tính toàn vẹn của dữ liệu DNS,
quan trọng để đảm bảo độ chính xác của việc giải mã tên miền.
Ví dụ : Khi một máy tính yêu cầu giải quyết tên miền của một trang web,
hệ thống DNS sẽ trả về thông tin được ký điện tử bằng chữ ký số. Máy tính của
người dùng sẽ kiểm tra chữ ký này để xác minh tính toàn vẹn của thông tin DNS
trước khi tiếp tục kết nối đến máy chủ web. Điều này giúp ngăn chặn các cuộc
tấn công như giả mạo DNS, nơi mà kẻ tấn công cố gắng chuyển hướng người
dùng đến các trang web giả mạo để lừa đảo hoặc đánh cắp thông tin cá nhân.
 DNS-based Authentication of Named Entities (DANE): DANE giải
quyết các vấn đề trong hệ thống chứng chỉ (CA) bằng cách cung cấp một kênh
thay thế để xác thực các khóa công khai dựa trên DNSSEC, tăng cường bảo mật
của mã hóa email.
Ví dụ : Một ví dụ thực tế về bảo mật của DANE là khi một máy tính
muốn kết nối đến một máy chủ sử dụng SSL/TLS. Thay vì tin cậy vào các
chứng chỉ SSL/TLS được phát hành bởi các CA (Certificate Authorities), DANE
cho phép máy tính kiểm tra chứng chỉ này bằng cách truy vấn bản ghi DNSSEC
cho tên miền tương ứng của máy chủ.
Khi máy tính nhận được thông tin chứng chỉ từ máy chủ thông qua giao thức
DNSSEC, nó sẽ kiểm tra tính toàn vẹn của thông tin này bằng cách xác minh
chữ ký số. Nếu thông tin chứng chỉ được xác thực thành công, máy tính có thể
tin cậy vào chứng chỉ SSL/TLS mà máy chủ cung cấp, giúp giảm nguy cơ của
các cuộc tấn công giả mạo hoặc MITM.
Sender Policy Framework (SPF): Sử dụng Hệ thống Tên Miền (DNS)
để cho phép chủ sở hữu tên miền tạo ra các bản ghi kết hợp tên miền với một
phạm vi địa chỉ IP cụ thể của các người gửi tin nhắn được ủy quyền. Điều này
cho phép người nhận dễ dàng kiểm tra bản ghi SPF TXT trong DNS để xác nhận
rằng người gửi tin nhắn được cho là được phép sử dụng địa chỉ nguồn đó và từ
chối thư không đến từ địa chỉ IP ủy quyền.
 Ví dụ : Giả sử một tổ chức có tên miền là example.com và họ sử dụng
SPF để bảo vệ chống lại việc gửi email giả mạo từ tên miền của họ. Tổ chức này
có cấu hình SPF trên tên miền example.com để chỉ cho phép các máy chủ email
được liệt kê trong bản ghi SPF của tên miền này được ủy quyền để gửi thư từ tên
miền example.com.
Khi một máy chủ email nhận được một email từ địa chỉ @example.com, nó sẽ
kiểm tra bản ghi SPF của tên miền example.com để xác định xem máy chủ gửi
email có được ủy quyền hay không. Nếu máy chủ email không được liệt kê
trong bản ghi SPF hoặc không được ủy quyền, thì email có thể được xem xét là
gửi từ một nguồn không đáng tin cậy và có thể bị chặn hoặc đánh dấu là spam.
Điều này giúp ngăn chặn việc gửi email giả mạo từ tên miền example.com và
tăng cường bảo mật cho tổ chức.
 Domain-based Message Authentication, Reporting, and Conformance
(DMARC): Cho phép người gửi biết về hiệu quả tỷ lệ của các chính sách SPF
và DKIM của họ, và thông báo cho người nhận biết hành động nào nên được
thực hiện trong các kịch bản tấn công cá nhân và hàng loạt.
Ví dụ : Một tổ chức sử dụng DMARC để bảo vệ tên miền của họ khỏi
việc gửi email giả mạo hoặc lừa đảo. Họ cấu hình DMARC trên tên miền của
mình để xác định cụ thể các hành động cần thực hiện đối với các email không
hợp lệ. Ví dụ, họ có thể chỉ định rằng các email không đúng cấu trúc hoặc không
được xác thực sẽ bị từ chối hoặc đưa vào thùng rác.
Khi một email được gửi từ tên miền của tổ chức, máy chủ nhận email sẽ kiểm
tra bản ghi DMARC của tên miền đó để xác định xem email đó có tuân thủ các
chính sách bảo mật được xác định hay không. Nếu email không tuân thủ, máy
chủ có thể thực hiện các hành động mà tổ chức đã cấu hình, bao gồm từ chối
email đó hoặc đưa vào thùng rác.
DMARC cung cấp cho tổ chức khả năng kiểm soát và giám sát hoạt động email
của họ, từ đó tăng cường bảo mật và giảm thiểu nguy cơ từ các cuộc tấn công
email giả mạo.
 DomainKeys Identified Mail (DKIM): Cho phép một MTA ký các tiêu
đề được chọn và nội dung của một thông điệp. Điều này xác thực tên miền
nguồn của thư và cung cấp tính toàn vẹn cho nội dung của thông điệp
Ví dụ : Một công ty cấu hình DKIM trên máy chủ email của họ để ký số
các email được gửi từ tên miền chính của họ. Khi một email được gửi từ máy
chủ email của công ty, DKIM sẽ tự động thêm một chữ ký số vào header của
email, đồng thời lưu trữ một bản sao của chữ ký này trên DNS của tên miền của
công ty.
Khi một email được nhận, máy chủ email của người nhận sẽ kiểm tra chữ ký
DKIM trong header của email và truy vấn DNS để lấy chữ ký tương ứng từ tên
miền của người gửi. Nếu chữ ký được truy vấn khớp với chữ ký trong email,
email được xem xét là hợp lệ và tin cậy.
Nếu một email không có chữ ký DKIM hoặc chữ ký không khớp với chữ ký trên
DNS, máy chủ email của người nhận có thể xem xét email đó là không đáng tin
cậy hoặc có nguy cơ bị giả mạo.
Thông qua việc triển khai DKIM, tổ chức có thể tăng cường bảo mật email của
họ bằng cách xác thực nguồn gốc của các email và ngăn chặn việc gửi email giả
mạo và lừa đảo từ tên miền của họ.