Miten DKIM löytää avaimen
Viestin DKIM-allekirjoitus määrittää verkkotunnuksen (d=) ja valitsimen (s=). Vastaanottaja yhdistää ne muotoon selector._domainkey.domain, lukee kyseisestä osoitteesta TXT-tietueen ja tarkistaa allekirjoituksen sen p=-tunnisteessa olevalla julkisella avaimella. Yksi verkkotunnus voi julkaista rajattoman määrän valitsimia, joten jokaisella lähetyspalvelulla voi olla oma avain ja avaimet voidaan vaihtaa ilman käyttökatkoa.
Tarkistin tarvitsee valitsimen, koska DNS ei tarjoa tapaa luetella verkkotunnuksen valitsimia. Mitään ei voi skannata, vaan valitsin saadaan oikean viestin allekirjoituksesta.
Mikä tekee avaimesta heikon tai rikkinäisen
RFC 8301:n mukaan RSA-avainten on oltava vähintään 1024-bittisiä ja niiden pitäisi olla 2048-bittisiä. Varmennin voi jättää lyhyemmän avaimen huomiotta, ja meidän varmentimemme tekee niin, joten 512-bittinen avain vastaa tilannetta, jossa allekirjoitusta ei ole lainkaan. Ed25519-avaimet (RFC 8463) ovat tarkoituksella lyhyitä ja vahvoja, mutta kaikki vastaanottajat eivät vielä varmista niitä. Siksi ne julkaistaan yleensä RSA-avaimen rinnalla eikä sen sijaan.
Tarkistin purkaa koko avaimen, koska väärin TXT-merkkijonojen välille jaettu tietue tai purkautumaton base64-data muodostaa avaimen, jota yksikään vastaanottaja ei voi käyttää. Tyhjä p= tarkoittaa, että avain on tarkoituksella peruttu. t=y merkitsee verkkotunnusta, joka on vielä testausvaiheessa, ja RFC 6376 §3.6.1 ohjeistaa varmentimia käsittelemään sen sähköpostit aivan kuin niitä ei olisi allekirjoitettu.
Kysymyksiä
Miten löydän DKIM-valitsimen, ja onko DKIM käytössä?
Lähetä viesti itsellesi ja avaa saapuneen viestin otsakkeet. DKIM-Signature-otsake tarkoittaa, että viesti on allekirjoitettu: valitsin on s=-arvo ja verkkotunnus on d=. Jos otsaketta ei ole, lähetykseen käytetty palvelu ei allekirjoita viestejä. Jokainen lähetyspalvelu käyttää omaa valitsintaan, joten uutiskirjeessä ja postilaatikostasi lähetetyssä viestissä voi olla eri valitsin.
Avain on kunnossa, mutta DKIM epäonnistuu virheellä "body hash did not verify". Miksi?
Yleensä viestiä on muutettu allekirjoittamisen jälkeen. Esimerkiksi postituslista on voinut lisätä alatunnisteen tai tietoturvayhdyskäytävä kirjoittaa linkin uudelleen. Avain voi vahvistaa vain allekirjoitetun sisällön. Täysi testi näyttää viestisi todellisen varmennustuloksen.
Koko opas: DKIM fail
DKIM-avaimen pituus: 1024 vai 2048 bittiä?
1024-bittinen avain kelpaa kaikkialla, ja RFC 8301 sallii sen. Se on silti vähimmäispituus, joten siirry 2048 bittiin, kun vaihdat avaimet seuraavan kerran.
Voiko verkkotunnuksella olla useita DKIM-tietueita?
Kyllä, yksi kutakin valitsinta kohden. Monilla verkkotunnuksilla on useita tietueita: yksi postilaatikkopalvelulle ja yksi kullekin uutiskirje- tai laskutuspalvelulle. Tarkista ne yksi kerrallaan. DNS:stä poistettu avain aiheuttaa virheen jokaiselle viestille, joka on edelleen allekirjoitettu sillä.
Kuinka usein DKIM-avaimet pitäisi vaihtaa?
M3AAWG suosittelee vaihtamaan avaimet vähintään kuuden kuukauden välein ja heti, jos yksityinen avain on voinut vuotaa. Julkaise uusi avain uudella valitsimella, siirrä allekirjoitus käyttämään sitä ja poista vanha tietue vasta, kun vanhalla avaimella allekirjoitettuja viestejä ei enää saavu. Lähettäjät yrittävät uudelleen neljän tai viiden päivän ajan, joten odota noin viikko.