يمكن لمحلل الرأس أن يختلف مع جهاز الاستقبال الأصلي دون أن يتم اختلاق أي من الملاحظتين. ربما قاموا بتقييم وحدات بايت مختلفة للرسائل أو حالة مفتاح DNS مختلفة أو سياسات تحقق مختلفة في أوقات مختلفة. الحفاظ على الأدلة الأصلية ومقارنة الشروط قبل تحديد معنى الخلاف.
إن النتيجة التاريخية المعروضة والتحقق المشفر الجديد هما عمليتان مختلفتان. تلخيص بعض الأدوات Authentication-Results موجودة بالفعل في العينة. يقوم آخرون باسترداد المفاتيح والتحقق من العينة الحالية. حدد العملية التي يقوم بها المحلل قبل مقارنة مخرجاته بنتيجة نظام الاستقبال.
الحفاظ على الأصل وتحديد الحدود
قم بتصدير الرسالة الأولية باستخدام أسلوب يحافظ على تمثيل الرسالة. احتفظ بنسخة أصلية غير محررة واحسب تجزئة الملف لمقارنتها لاحقًا. قم بتسجيل طريقة التجميع ووقت التسليم وصندوق البريد المصدر. يمكن أن توضح تجزئة الملف أن هناك ملفين تم تصديرهما مختلفان؛ فهو لا يفسر في حد ذاته أي اختلاف يهم DKIM.
حدد Authentication-Results التي أنشأها المتلقي ومعرف المصادقة الموثوق به. الرؤوس التي يقدمها مرسل غير موثوق به ليست دليلاً موثوقًا للمستقبل. RFC 8601 §7.1 يصف حدود الثقة هذه. حدد أيضًا ما إذا كان المستلم قد قام بتقييم الرسالة قبل أن تقوم بوابة لاحقة أو عملية تصدير بتغييرها.
قارن المدخلات الفعلية للمحلل
بالنسبة للتوقيع العادي لكامل الجسم، تحذف كتلة الرأس المنسوخة النص اللازم لإعادة حساب DKIM الخاص بها تجزئة الجسم. الحالة الخاصة l=0 تجزئة صفر ثمانيات ولا توفر أي حماية لسلامة الجسم؛ ولا يتنازل عن عمليات التحقق من الرأس أو المفتاح أو غيرها. يرى RFC 6376 §3.5, §3.7 و §5.4.1. يمكن أن يؤدي لصق النص أيضًا إلى تغيير نهايات الأسطر أو الطي. إذا كان المحلل يفتقر إلى الرسالة الكاملة، فقد يفسر النتائج المبلغ عنها بدلاً من التحقق بشكل مستقل من التوقيع بأكمله. تسمية الواجهة الخاصة بها وحدها لا تحل هذا السؤال.
قارن العينات الكاملة عندما تكون متاحة. DKIM تحديد العنوان القانوني في RFC 6376 §3.4 يتسامح مع تحويلات محددة، وليس التكافؤ التعسفي للمحتوى المقدم. لا تعني تجزئة الملف المختلفة تلقائيًا فشل DKIM ، نظرًا لأن بعض تغييرات البايت قد تتم تطبيعها؛ تقوم تجزئة الملف المتطابقة بإنشاء وحدات بايت متطابقة فقط، وليس DNS متطابقًا أو سياق السياسة.
تحقق مما تغير في DNS والوقت
اقرأ d وs لكل توقيع وسجل الإجابات الرئيسية التي تمت ملاحظتها أثناء الفحص اللاحق. ربما تم سحب المفتاح الأصلي أو إبطاله أو استبداله منذ التسليم. RFC 6376 §6.1.2 يعتمد التحقق على استرداد مواد التحقق المناسبة، بحيث يمكن أن يتواجد المرور التاريخي مع نتيجة لاحقة بدون مفتاح.
قم أيضًا بفحص أي قيمة x لانتهاء صلاحية التوقيع ومعالجة وقت المدقق. قد يتم تقييم أداة لاحقة بعد انتهاء صلاحية التوقيع. RFC 6376 §6.1.1 يسمح للمدققين بتجاهل التوقيعات منتهية الصلاحية؛ يجب التحقق من سلوك أداة معينة بدلاً من افتراضه. لا تصنف هذه النتيجة كدليل على انتهاء صلاحية التوقيع عندما قام المستلم بمعالجته في الأصل. عندما لا تتوفر إجابة DNS القديمة، اذكر أنه لا يمكن إعادة إنتاج حساب التشفير التاريخي بالكامل من الأدلة الحالية.
العمل من خلال مثالين متناقضين
المثال التوضيحي الأول: تمرير تقارير المتلقي محدد old1 يوم الاثنين، ويتقاعد المرسل old1 يوم الجمعة. تشير إعادة الفحص يوم السبت إلى عدم وجود مفتاح. ولا تمحو هذه النتيجة اللاحقة الملاحظة الموثوقة التي تمت يوم الاثنين، على الرغم من أن إعادة إنتاج التحقق الذي تم يوم الاثنين بشكل مستقل يتطلب المدخلات التاريخية ذات الصلة.
المثال التوضيحي الثاني: يتم التحقق من الملف الأصلي المستلم، بينما تفشل النسخة الملصقة بعد تغيير التذييل أو تسلسل MIME . قارن التمثيل المغطى والنقطة التي حدث فيها التغيير. قد تكمن المشكلة في معالجة العينة بدلاً من التوقيع الأصلي للمرسل. هذه مجرد تركيبات مقارنة، وليست ادعاءات حول محلل أو مستأجر حقيقي.
الإبلاغ عن الخلاف بدقة
قم بإنشاء سجل مقارنة يحتوي على نماذج التجزئات، وطرق التجميع، وأوقات المراقبة، وd وs، والإجابات الرئيسية، وإصدارات التحقق، والنتائج المُبلغ عنها، والاختلافات المعروفة في السياسة. افحص التوقيعات المتعددة بشكل منفصل، حيث أن الأدوات قد تسلط الضوء على توقيعات مختلفة. حافظ على صلاحية DKIM مختلفة عن DMARC تنسيق والتسليم النهائي .
استنتج فقط ما تدعمه الأدلة: وحدات البايت المختلفة، أو DNS المتغير، أو الصلاحية المنقضية، أو التوقيع المحدد المختلف، أو السياق الذي لم يتم حله. الحفاظ على عدم اليقين عندما تكون المدخلات الأصلية مفقودة. يعد المحلل اللاحق بمثابة دليل تشخيصي مفيد، ولكنه ليس آلة زمنية ولا ينبغي أن يحل محل نتيجة جهاز الاستقبال الأصلي الموثوق به بصمت.
الأدلة اللازمة لاتخاذ القرار المقبل
استخدم صف مقارنة لكل توقيع: تجزئة العينة الأصلية/الوقت، عينة التجزئة/الوقت اللاحقة، d/s، المفتاح الملحوظ، x إذا كان موجودًا، الأداة/الإصدار، العملية (تحليل التقرير أو التحقق منه)، النتيجة والفجوة المتبقية. تترك وحدات البايت النموذجية المتطابقة مع DNS التاريخي غير المتاح فجوة في الحالة الرئيسية، وليست دليلاً على خطأ أي من الأداتين. إذا اختلفت العينات، قارن التمثيل القانوني المغطى قبل تحديد السببية.