BIMI (Brand Indicators for Message Identification)

BIMI (Brand Indicators for Message Identification), alan adı sahibinin, desteklenen e-posta istemcilerinde e-postalarının yanında gösterilecek bir logo yayımlamasını sağlayan bir standarttır. Logo yalnızca mesaj DMARC kontrolünden geçtiğinde görünür; bu yüzden BIMI, güçlü e-posta kimlik doğrulamasının görünür bir ödülü gibi çalışır. Gmail, Apple Mail ve Yahoo, BIMI'yi destekleyen e-posta sağlayıcıları arasındadır.

Nasıl çalışır

Logonun görünmesi için alan adında birkaç şeyin hazır olması gerekir:

• Yaptırım düzeyinde DMARC: tüm e-postalara uygulanan p=quarantine ya da p=reject.
• SVG Tiny Portable/Secure (SVG Tiny PS) profilinde hazırlanmış ve HTTPS üzerinden sunulan bir SVG logo dosyası.
• default._bimi.example.com adresinde bir BIMI TXT kaydı; örneğin v=BIMI1; l=https://example.com/logo.svg; a=https://example.com/mark.pem.
• Büyük sağlayıcıların çoğu için, yetkili bir sertifika otoritesinden alınmış bir marka sertifikası.

İki tür marka sertifikası vardır. Doğrulanmış Marka Sertifikası (Verified Mark Certificate, VMC) tescilli bir marka gerektirir. Ortak Marka Sertifikası (Common Mark Certificate, CMC) ise tescilli markası olmayan ama logoyu belgelenmiş biçimde bir süredir kullanan kuruluşlara yöneliktir. Gmail ikisini de kabul eder, ancak mavi doğrulama işaretini yalnızca VMC ile gösterir. Gereksinimler sağlayıcıdan sağlayıcıya değiştiği için her sağlayıcının güncel belgelerine bakmak gerekir.

Örnek

Temsilî bir örnek: Kurgusal bir banka p=reject düzeyine ulaşır, tescilli logosu için bir VMC alır ve BIMI kaydını yayımlar. Gmail'deki mesajlarında artık logo ve doğrulama işareti görünür. ornekbanka-uyari[.]com adresinden gönderilen bir oltalama e-postası ise bankanın logosunu BIMI ile gösteremez, çünkü saldırgan bu logo için marka sertifikası alamaz.

Sorunlar nasıl fark edilir

• DMARC hâlâ p=none düzeyinde olduğu için logonuz görünmez.
• SVG dosyası gerekli profilde olmadığı için reddedilir.
• Saldırganlar logonuzu mesaj gövdesine yapıştırır ya da profil fotoğrafı olarak kullanır; bu BIMI değildir ve hiçbir şey kanıtlamaz.
• Logonun görünmemesi tek başına dolandırıcılık kanıtı değildir; birçok istemci BIMI'yi desteklemez.

Markalar ne yapabilir

• Önce DMARC yaptırım düzeyine ulaşın; BIMI bundan sonra gelir.
• Uygun bir SVG dosyası hazırlayın ve bir VMC ya da CMC edinin.
• Müşterilere logonun yararlı bir işaret olduğunu, ama tek başına garanti olmadığını anlatın.

BIMI gerçek e-postaların tanınmasını kolaylaştırır, ama benzer alan adları ortadan kalkmaz. Phishvoid bu alan adlarını bulur ve kaldırtır; ekiple iletişime geçebilirsiniz. Altyapıdaki standartlar için SPF, DKIM ve DMARC yazısına bakın.

Devamını okuyun: SPF, DKIM ve DMARC ile Markanız Adına Sahte E-postayı Önleyin