O correio eletrônico é a coisa mais antiga deste catálogo ainda fazendo o trabalho original dela, e a única que virou em silêncio a credencial de referência da internet inteira sem ninguém ter decidido que deveria.

1971: não era tarefa

estava na BBN - a empresa cuja entrada neste catálogo cobre os primeiros roteadores -, trabalhando no desenvolvimento de protocolos da . Mandar mensagem entre usuários de uma máquina de tempo compartilhado já existia, num programa chamado SNDMSG. O que não existia era mandar uma para uma pessoa numa máquina diferente.

Ele pegou código do CPYNET, um programa de transferência de arquivos que ele mesmo escrevera, e o enxertou no SNDMSG. Correio eletrônico é uma ferramenta local de mensagens colada num programa de transferência de arquivos, e essa linhagem explica mais sobre o comportamento dele que qualquer especificação posterior.

A descrição de um porta-voz da Raytheon sobre como aquilo surgiu merece ser preservada com exatidão: não era tarefa nenhuma, ele estava só brincando, procurando o que fazer com a ARPANET. As primeiras mensagens eram testes cujo conteúdo Tomlinson chamou de completamente esquecível. A primeira mensagem de substância anunciava que existia correio em rede e explicava como usar o sinal @, que ele escolheu para indicar que o usuário estava em outro host, e não no local.

Ele entrou no Internet Hall of Fame em 2012 e morreu em 2016, aos 74 anos.

1980 a 1982: a decisão que criou o phishing

coescreveu a 772, precursora do , com Suzanne Sluizer, em 1980, e publicou a RFC 821 em agosto de 1982. David Crocker publicou a RFC 822 ainda naquele mês, definindo o formato da mensagem. Juntas, são a base do correio eletrônico como ele ainda funciona.

Uma decisão de projeto nesse par importa mais que todo o resto deste artigo. O endereço De mostrado ao leitor não precisa coincidir com o endereço que o servidor remetente declara ao servidor destinatário. O envelope e o timbre são separados, e nada confere se combinam.

Isso não é defeito e não foi descuido. É consequência deliberada de um projeto em que retransmitir era normal, encaminhar era esperado, e mentir não era previsto. A RFC 5321 diz a posição com todas as letras: o correio é inerentemente inseguro, porque até usuários casuais conseguem negociar diretamente com servidores receptores e criar mensagens que enganem um destinatário ingênuo, fazendo-o crer que elas vieram de outro lugar.

Sluizer explicou por quê, numa entrevista de 2004: na época daquele trabalho, falava-se de centenas ou talvez milhares de sítios no que então era a ARPANET. Essa frase aparece, com outras palavras, na história do (border gateway protocol), do DNS, do e do neste catálogo. Todos foram projetados para uma rede de conhecidos, e todos passaram décadas recebendo autenticação remendada por gente que não pode mudar o original.

Trinta anos parafusando autenticação por cima

O foi concebido em 1997 e liberado como rascunho por Meng Weng Wong em junho de 2003. Ele publica, no DNS, quais servidores podem enviar por um domínio - o que faz do sistema de nomes a âncora de confiança do correio, mais uma instância do registro DNS virando transportador de uso geral.

O DomainKeys veio do Yahoo em 2004 e virou , assinando a mensagem de forma criptográfica para que o receptor verifique que ela foi autorizada pelo domínio e não foi alterada no caminho.

O DMARC veio em 2012, e a contribuição dele é a peça que faltava, e não uma terceira assinatura: ele amarra o endereço De visível aos resultados de SPF e DKIM, diz aos receptores o que fazer quando falha, e - decisivo - manda relatórios de volta ao dono do domínio, para que ele descubra quem envia em nome dele.

Cada um resolve um fragmento. Nenhum substituiu o SMTP. Trinta anos de trabalho de segurança, nada disso tocando no protocolo, porque tocar no protocolo exigiria que todo servidor de correio do planeta mudasse ao mesmo tempo.

A exceção que refina a regra do próprio catálogo

O artigo de DNS enuncia uma regra que a evidência sustentava: a correção que uma parte sozinha consegue implantar vence, e a que exige cooperação de todos espera.

A autenticação de correio deveria ter esperado para sempre. Ela exige que remetentes publiquem registros, que receptores os confiram, e que os dois tolerem a quebra. Ela esperou por duas décadas, exatamente como previsto.

Então, em fevereiro de 2024, Google e Yahoo tornaram SPF, DKIM e DMARC exigência para remetentes em massa - e a adoção andou mais em um ano do que nos vinte anteriores.

Esse é um terceiro mecanismo, e ele merece entrar no registro. Não é uma parte agindo sozinha, e não é acordo universal, e sim um ponto de estrangulamento grande o bastante para tornar a própria preferência condição de entrega. Dois receptores que, juntos, tocam a maior parte do correio de entrada do mundo: a política deles é o padrão de fato, tenha alguém ratificado ou não.

Vale ser honesto sobre o que isso significa. O que finalmente corrigiu uma lacuna de segurança de trinta anos foi CONCENTRAÇÃO DE MERCADO, aplicada de propósito - a mesma concentração que este catálogo trata como risco nos artigos de negação de serviço e de DNS. A propriedade que torna um ponto de estrangulamento perigoso é a que o torna eficaz, e as duas afirmações são verdadeiras ao mesmo tempo.

O que o correio virou enquanto ninguém olhava

Redefinição de senha. É esse o argumento inteiro.

O endereço de correio de uma conta é o caminho de recuperação de quase toda outra conta, o que faz da caixa postal a credencial-raiz de fato da vida digital de uma pessoa - papel que especificação nenhuma atribuiu a ela e projeto nenhum previu. O correio eletrônico virou em silêncio a camada de identidade da internet, e fez isso carregando um modelo de autenticação desenhado para algumas centenas de sítios que confiavam uns nos outros.

Tudo o que é caro em segurança decorre disso. Comprometimento de correio corporativo não é exploração técnica; é o uso correto de um sistema em que o timbre não é verificado e o destinatário é humano. Phishing funciona pela mesma razão. Os dois são consequência de 1982 encontrando um mundo que chegou depois.

Cargos e práticas

O correio produz administradores mais que engenheiros na maioria das organizações, e as práticas dele são dominadas por entregabilidade - a disciplina de ser acreditado pelos servidores dos outros.

Publicar os três registros, corretamente, já que política parcial ou malformada é comum e é pior que nenhuma, porque produz confiança sem proteção. Ler os relatórios DMARC, que a maioria das organizações habilita e nunca olha, e que são o único jeito de descobrir envio não autorizado em nome próprio. Passar para imposição, de monitorar a quarentena e a rejeição, com data - o mesmo padrão escalonado da prevenção de intrusão e do firewall de aplicação web, pela mesma razão: o modo de falha da imposição é queda de negócio.

E a prática que configuração nenhuma substitui: treinar as pessoas de que o campo De é uma alegação, e não um fato.

Para onde vai

Imposição está virando condição para fazer negócio. Com os maiores receptores exigindo autenticação, o incentivo saiu de segurança e foi para entregabilidade, o que motiva organizações de forma muito mais confiável.

Cifragem em trânsito é normal e ponta a ponta não é. Cifra entre servidores hoje é generalizada; conteúdo cifrado entre pessoas segue sendo prática minoritária, porque gestão de chaves para usuário comum nunca foi resolvida e o modelo de negócio dos provedores depende de ler o conteúdo.

Os ataques subiram acima do protocolo. Autenticação prova que um domínio mandou uma mensagem. Não prova que a mensagem é honesta, e uma mensagem corretamente autenticada de uma conta genuinamente comprometida passa em toda verificação - e é para lá que o esforço foi.

E ele sobreviveu a tudo o que foi mandado para substituí-lo. Cinquenta e cinco anos, várias centenas de bilhões de mensagens por dia, e todo desafiante posicionado como sucessor acabou ou se integrando a ele ou sendo alcançado por ele. A razão é a que este catálogo não para de encontrar: ele é federado, sem dono, e ninguém precisa pedir permissão para entrar. Essas são também exatamente as propriedades que tornam impossível consertá-lo.

Fontes