[ أمن النقل ]
نشر سجلات TLSA وتدويرها دون قطع تسليم SMTP
خطط لتمرير TLSA ذي المعلمات الثابتة مع النشر المسبق والتداخل مع ذاكرة التخزين المؤقت والتحقق من الأسطول وحدود الاسترداد قبل إزالة الارتباطات القديمة.
بواسطة فريق البحث EmailAuth · 8 دقائق قراءة
[النقاط الرئيسية]
- حدد ما إذا كان التغيير يحل محل المفتاح أو الشهادة أو مرساة الثقة أو معلمات TLSA.
- بالنسبة لتمرير المعلمات الثابتة، قم بالنشر المسبق للارتباطات القديمة والجديدة على الأقل TTLs قبل النشر.
- قم بإيقاف الارتباطات القديمة فقط بعد فهم تبعيات الخدمة النشطة والتراجع.
[ الوجبات الجاهزة ]
قم بتنسيق مشغلي DNS و SMTP حول التداخل الذي تم التحقق منه، ثم النشر والتقاعد على مراحل دون الخلط بين الشهادة المحفوظة والتراجع الآمن.
[ حسب الدور ]
ماذا يعني هذا بالنسبة لك
اختر دورك للخطوات العملية التالية.
تكنولوجيا المعلومات / مدير البريد
التحقق من كل مرحلة من مراحل التمديد
لا تثبت مهمة النشر الناجحة أن كل مثيل SMTP يقدم المفتاح المقصود.
الخطوات التالية
- التقط خط الأساس الآمن ومجموعة TLSA الكاملة.
- قم بالنشر المسبق للمجموعة الموسعة وتسجيل التوقيت.
- تحقق من كل مثيل نشط قبل سحب البيانات القديمة.
كبير مسؤولي أمن المعلومات / SecOps
احتفظ بالأدلة العامة منفصلة عن الحضانة الرئيسية
تحتاج خطة DNS إلى ارتباطات، وليس إلى مفاتيح خاصة.
الخطوات التالية
- قم بمراجعة الاستخدام وتغييرات المعلمات بشكل صريح.
- احتفظ بالسجلات المطابقة حاليًا لكل مجموعة منشورة.
- التعامل مع التحقق من DNSSEC كبوابة مستقلة.
المؤسس / غير التقنية
تنسيق تبعية الصيانة
يمكن لذاكرة التخزين المؤقت لنظام أسماء DNS والنشر المتدرج للخادم أن تستمر لفترة أطول من فترة الصيانة.
الخطوات التالية
- قم بتعيين مالكي النشر و SMTP .
- الموافقة على خطة التداخل والاسترداد المبررة.
- طلب الأدلة قبل خطوة التقاعد النهائية.
[ الأسئلة الشائعة ]
الأسئلة المتداولة
هل يؤدي كل تجديد للشهادة إلى تغيير سجل 3 1 1؟
لا، هذا الارتباط يختار المفتاح العام، وبالتالي فإن التجديد باستخدام نفس المفتاح يمكن أن يحافظ عليه. تحقق من المفتاح الفعلي بدلاً من افتراض أن الأتمتة تعيد استخدامه.
في أي وقت مبكر يجب نشر الارتباطات الجديدة ذات المعلمات الثابتة؟
يحدد RFC 7671 زيادة المجموعة القديمة بما لا يقل عن اثنين من TTLs، أو أطول، قبل نشر السلسلة الجديدة. الحفاظ على الاقتران الحالي أثناء التداخل.
هل يمكن أن يؤدي خفض TTL إلى تقصير البيانات القديمة المخزنة مؤقتًا على الفور؟
لا. تحتاج النسخ المخزنة مؤقتًا بموجب TTL السابقة إلى مراعاة التوقيت الخاص بها. سجل النشر الفعلي وتاريخ ذاكرة التخزين المؤقت.
هل يمكنني نشر البيانات المستقبلية فقط ضمن مجموعة معلمات واحدة؟
تتطلب إرشادات الناشر اقترانًا مطابقًا حاليًا لكل مجموعة استخدام/محدد/نوع مطابقة منشورة. لا يمكن أن تكون السجلات المستقبلية أو المتقاعدة هي الوحيدة لهذه المجموعة.
متى يمكن إزالة الارتباطات القديمة؟
بعد نشر السلسلة الجديدة والتحقق منها ولم يعد الارتباط القديم يصف تبعية نشطة. قم بمراجعة متطلبات النسخ الاحتياطية والتراجع قبل الإزالة.
هل تعتبر استعادة الشهادة القديمة دائمًا بمثابة تراجع آمن؟
لا، قد يكون لدى بعض العملاء مجموعة TLSA جديدة فقط مخزنة مؤقتًا بعد التقاعد. قم بتقييم البيانات المنشورة الحالية وسجل ذاكرة التخزين المؤقت قبل الرجوع إلى الخادم.
هل يمكنني تطبيق نفس التسلسل عند تغيير الاستخدام أو المحدد؟
لا تفترض ذلك. تتطلب انتقالات المعلمات إرشادات RFC 7671 المقابلة ومراجعة التوافق، بشكل منفصل عن تمرير مفتاح المعلمة الثابتة.
هل لا يثبت فشل TLS-RPT نجاح عملية التمرير؟
لا، التقارير اختيارية، مجمعة ومتأخرة. احتفظ بأدلة DNS و SMTP الآمنة والمصرح بها للأسطول الفعلي.
[ مصادر ]
مصادر
- RFC 1035
الأقسام §3.2.1 التنسيق · §3.3.13 تنسيق SOA RDATA
- RFC 8460
الأقسام §3. سياسة إعداد التقارير · §4.1 الإطار الزمني للتقرير · §4.3 أنواع النتائج · §5.2 الضغط · §5.3 نقل البريد الإلكتروني · §5.4 نقل HTTPS · §5.5 إعادة محاولة التسليم · §5.6 تباينات البيانات الوصفية · §7. الاعتبارات الأمنية
- RFC 7672
الأقسام §2.1 اعتبارات DNS · §2.2 اكتشاف TLS · §2.2.1 دقة MX · §2.2.3 البحث عن سجل TLSA · §3.1 استخدامات شهادة TLSA · §3.2 مطابقة الشهادات · §4. إدارة مفاتيح الخادم
- RFC 7671
الأقسام §6. مزود الخدمة ومزامنة ناشر TLSA · §7. نطاق TLSA الأساسي وأسماء CNAME · §8. متطلبات ناشر TLSA · §8.1 تمرير المفتاح مع معلمات TLSA الثابتة · §8.3 التبديل إلى معلمات TLSA الجديدة
- RFC 6698
الأقسام §2.1 تنسيق سلك TLSA RDATA · §3. أسماء النطاقات لاقترانات شهادة TLSA
[ مسرد ]
مسرد
- النشر المسبق
- نشر الارتباطات لمفتاح مستقبلي مع الحفاظ على الارتباطات الحالية قبل تبديل الخدمة.
- المعلمات الثابتة
- استخدام الشهادة دون تغيير، ومجموعات المحدد والنوع المطابق أثناء تمرير المفتاح.
- حد التراجع
- النقطة التي يمكن أن تؤدي فيها البيانات الجديدة فقط المنشورة والمخزنة مؤقتًا إلى جعل العودة إلى مفتاح الخادم القديم غير آمنة دون مزيد من التنسيق.
مصدر المؤسسة
لماذا كبار المؤسسات المالية والحكومات تقاعدوا من لوحات معلومات أمان البريد الإلكتروني الخاصة بهم.
تبيع لك منصات مصادقة البريد الإلكتروني التقليدية لوحة تحكم وتطلب من مهندسيك القيام بهذا العمل. في البيئات عالية المخاطر، تعني المراقبة اليدوية تأخير التنفيذ، والانحراف في التكوين، ونطاقات الظل غير الخاضعة للمراقبة.
EmailAuth هي منصة مصدر البريد الإلكتروني الوكيل. وكلاؤنا ينفذون p=reject، حافظ على محاذاة المرسلين الخارجيين وانقل نطاقاتك إلى كاملها RFC 9989 الامتثال، وهو معيار DMARC الجديد، مع إمكانية التدقيق البشري في الحلقة.
SaaS · إيجار مخصص · Air-gapped محليًا · تشفير BYOK