Eine geplante DKIM Durch die Rotation wird geändert, welcher private Schlüssel neue E-Mails signiert, während das Verifizierungsmaterial für bereits übertragene Nachrichten erhalten bleibt. Einen neuen öffentlichen Schlüssel veröffentlichen, den Unterzeichner wechseln und den alten zurückziehen Wähler sind getrennte Stufen.
Beginnen Sie mit dem Signaturdienst und dem unterstützten Rotationsverfahren. Eine vom Anbieter verwaltete Selektordelegation hat ein anderes Betriebsmodell als ein Schlüsselpaar, das direkt von Ihrer Organisation kontrolliert wird.
Stellen Sie den aktuellen Signaturstatus fest
Verwenden Sie die ursprünglich empfangenen Nachrichten, um die tatsächlichen d=-Signaturdomänen und s=-Selektoren zu identifizieren. Ordnen Sie sie dem Signaturdienst, dem Schlüsselverwaltungsmodell und dem Geschäftsinhaber zu.
Ein DNS Eintrag kann vorhanden sein, ohne von aktuellen Nachrichten verwendet zu werden. Umgekehrt kann eine alte Nachricht auf einen Selektor verweisen, der nicht mehr die aktive Auswahl für neue E-Mails ist.
Speichern Sie die relevanten öffentlichen Antworten und den Konfigurationsstatus. Bewahren Sie private Signaturschlüssel im autorisierten Signatursystem auf, nicht in einem Ticket, einer Inventartabelle oder einem öffentlichen DNS Eintrag.
Bestätigen Sie die Algorithmus- und Anbieteranforderungen
Sehen Sie sich die aktuellen kryptografischen Leitlinien und das unterstützte Verifizierungsverhalten an. RFC 8301 §3 schließt rsa-sha1 aus und legt RSA-Schlüsselgrößenanforderungen fest; Es werden RSA-Schlüssel mit mindestens 2048 Bit empfohlen. RFC 8463 §5 definiert Ed25519-SHA256 als zusätzliche Methode.
Die Spezifikation eines Algorithmus und die tatsächliche Unterstützung der beteiligten Sender, Anbieter und Empfänger sind unterschiedliche Beweise. Ändern Sie einen Produktionsdienst nicht in eine Methode, die seine unterstützte Konfiguration nicht verwenden kann.
Befolgen Sie beim vom Anbieter verwalteten Signieren die generierten Werte und den Rotationsprozess. Ein DNS Alias kann die Schlüsselverwaltung delegieren, ohne Ihrem Team den privaten Schlüssel oder eine manuelle Übernahmekontrolle zu geben.
Veröffentlichen Sie vor der Umstellung neues Verifizierungsmaterial
Wenn das unterstützte Design einen neuen Selektor verwendet, veröffentlichen Sie zuerst das korrekte öffentliche Verifizierungsmaterial. Bestätigen Sie den Namen des endgültigen Eigentümers, die Antwort und etwaige Delegationsketten.
Verwenden Sie einen anderen Selektor für einen neuen Schlüssel, wenn das unterstützte Verfahren dies zulässt. Das Ersetzen des Schlüssels unter einem Selektor kann dazu führen, dass Nachrichten, die mit dem alten Schlüssel signiert wurden, nicht mit dem Ersatzschlüssel verglichen werden können.
Entfernen Sie den alten Schlüssel nicht, nur weil die neue DNS Antwort korrekt aussieht. Zu diesem Zeitpunkt haben Sie die Veröffentlichung etabliert, nicht, dass der Unterzeichner gewechselt hat oder jeder Empfänger das beabsichtigte Material abrufen kann.
Wechseln Sie die Signatur und überprüfen Sie neue Nachrichten
Nutzen Sie das autorisierte Signaturverfahren, um mit dem neuen Schlüssel zu signieren. Senden Sie repräsentative Nachrichten über wichtige Routen und überprüfen Sie die ursprünglich empfangenen Signaturen und vertrauenswürdigen Ergebnisse.
In einer synthetischen Rotation verwenden frühere E-Mails s=old2026 und neue E-Mails s=new2026. Beide öffentlichen Verifizierungsnamen bleiben während der geplanten Überschneidung verfügbar, während neu empfangene Nachrichten den vorgesehenen Selektor und eine Passsignatur aufweisen.
Wenn ein Gateway die Nachricht nach dem Signieren ändert, ist ein direkter Test vor diesem Gateway unvollständig. Überprüfen Sie die vollständige Geschäftsroute und DMARC Ausrichtung sowie das Rohsignaturergebnis.
Wählen Sie in den Lieferbedingungen den Austritt aus
RFC 6376 §3.1 beschreibt die gleichzeitige Veröffentlichung während des Übergangs, bei dem sich die Post möglicherweise noch im Transport befindet. Es wird nicht für jede Organisation eine universelle Überlappungsdauer bereitgestellt.
Bewerten Sie Warteschlangen, Wiederholungsverhalten, erwartete Lieferverzögerungen, DNS Cache-Verhalten, relevante Signaturabläufe und Überprüfungsanforderungen. Notieren Sie den Grund für die gewählte Überschneidung und etwaige Anbieterbeschränkungen.
Entfernen Sie das alte Verifizierungsmaterial im Rahmen des unterstützten Prozesses nur dann, wenn diese Beurteilung dies rechtfertigt. Eine spätere Überprüfung einer gespeicherten Nachricht kann nach der Schlüsselentfernung vom ursprünglichen Ergebnis der Zustellungszeit abweichen.
Behandeln Sie den Verdacht einer Kompromittierung als eine andere Entscheidung
Routinerotation zielt auf Kontinuität ab. Eine mutmaßliche Kompromittierung des privaten Schlüssels kann trotz potenzieller Auswirkungen auf die Verifizierung älterer E-Mails eine dringende Einschränkung oder Einstellung erfordern.
Befolgen Sie den Vorfallprozess der Organisation und die unterstützte Reaktion des Signaturanbieters. Bewahren Sie die Beweise und erklären Sie den Kompromiss. Versprechen Sie nicht, dass eine Überlappung, die für die routinemäßige Wartung geeignet ist, während eines aktiven Kompromisses geeignet ist.
Schließen Sie mit einem überprüfbaren Unterzeichnungsprotokoll ab
Behalten Sie den Dienst, den Eigentümer, alte und neue Selektoren, Veröffentlichungsnachweise, Umstellungsbeobachtungen, Überschneidungsgründe, Ruhestandsentscheidungen und repräsentative erhaltene Ergebnisse bei.
Der Auswahlhilfe erklärt die Identitätssuche. Verwenden Sie für Microsoft 365 oder Workspace deren mieterspezifisch oder ausgewählte-Domäne Konfigurationsanleitung. Eine Rotation ist abgeschlossen, wenn die neue Signaturroute überprüft wurde und die alte Abhängigkeit aus einem dokumentierten Grund zurückgezogen wurde.
Verwenden Sie drei separate Akzeptanzprüfungen
Dies ist bei der vorgeschlagenen Checkliste nicht der Fall ein Rekord der abgeschlossenen Rotation. Stellen Sie vor der Umstellung sicher, dass der neue Selektor in den generierten öffentlichen Wert aufgelöst wird, während der alte Selektor verfügbar bleibt. Nach der Umstellung sollte eine neu empfangene Anwendungsnachricht s=new2026 und die beabsichtigte d-Domäne mit einem vertrauenswürdigen Pass anzeigen. Bestätigen Sie vor dem Ausscheiden, dass die vereinbarten Warteschlangen-/Wiederholungs- und Verifizierungsbedingungen erfüllt sind, und protokollieren Sie die Entscheidung. Ein Pass von einer nicht verwandten Anwendung schließt die betroffene Route nicht. Verwandeln Sie ein Beispielintervall nicht in eine universelle Wartezeit.