[ Transportsicherheit ]
Veröffentlichen und rotieren Sie TLSA-Datensätze, ohne SMTP Zustellung zu unterbrechen
Planen Sie einen TLSA-Rollover mit festen Parametern mit Vorveröffentlichung, Cache-basierter Überlappung, Flottenüberprüfung und einer Wiederherstellungsgrenze, bevor Sie alte Zuordnungen entfernen.
Vom EmailAuth Forschungsteam · 8 Minuten Lesezeit
[Wichtige Punkte]
- Identifizieren Sie, ob die Änderung einen Schlüssel, ein Zertifikat, einen Vertrauensanker oder TLSA-Parameter ersetzt.
- Für einen Rollover mit festen Parametern veröffentlichen Sie alte und neue Zuordnungen mindestens zwei TTLs vor der Bereitstellung vor.
- Entfernen Sie alte Zuordnungen erst, nachdem Sie die aktiven Dienst- und Rollback-Abhängigkeiten verstanden haben.
Auf dieser Seite
[ Wegbringen ]
Koordinieren Sie DNS und SMTP Betreiber um eine verifizierte Überschneidung herum und stellen Sie sie dann schrittweise bereit und außer Betrieb, ohne ein gespeichertes Zertifikat mit einem sicheren Rollback zu verwechseln.
[Nach Rolle]
Was das für Sie bedeutet
Wählen Sie Ihre Rolle für praktische nächste Schritte.
IT-/Mail-Administrator
Überprüfen Sie jede Rollover-Phase
Ein erfolgreicher Bereitstellungsauftrag beweist nicht, dass jede SMTP Instanz den beabsichtigten Schlüssel präsentiert.
Nächste Schritte
- Erfassen Sie die sichere Basislinie und das vollständige TLSA-Tupel.
- Veröffentlichen Sie den erweiterten Satz vorab und zeichnen Sie das Timing auf.
- Überprüfen Sie jede aktive Instanz, bevor Sie alte Daten löschen.
CISO / SecOps
Bewahren Sie öffentliche Beweise getrennt von der Schlüsselverwahrung auf
Der DNS Plan benötigt Assoziationen, keine privaten Schlüssel.
Nächste Schritte
- Überprüfen Sie die Nutzung und Parameteränderungen explizit.
- Pflegen Sie aktuell übereinstimmende Datensätze für jede veröffentlichte Kombination.
- Behandeln Sie DNSSEC Validierung als unabhängiges Tor.
Gründer / Nicht-technisch
Koordinieren Sie die Wartungsabhängigkeit
DNS Caches und eine gestaffelte Serverbereitstellung können ein Wartungsfenster überdauern.
Nächste Schritte
- Weisen Sie sowohl Veröffentlichungs- als auch SMTP Besitzer zu.
- Genehmigen Sie einen begründeten Überschneidungs- und Wiederherstellungsplan.
- Vor dem endgültigen Ruhestandsschritt sind Nachweise erforderlich.
[ FAQs ]
Häufig gestellte Fragen
Ändert jede Zertifikatsverlängerung einen 3 1 1-Datensatz?
Nein. Diese Vereinigung wählt den öffentlichen Schlüssel aus, sodass er bei einer Erneuerung mit demselben Schlüssel erhalten bleiben kann. Überprüfen Sie den tatsächlichen Schlüssel, anstatt davon auszugehen, dass die Automatisierung ihn wiederverwendet.
Wie früh sollten neue Festparameter-Assoziationen veröffentlicht werden?
RFC 7671 legt fest, dass der alte Satz um mindestens zwei TTLs oder länger erweitert werden muss, bevor die neue Kette bereitgestellt wird. Behalten Sie die aktuelle Zuordnung während der Überlappung bei.
Kann eine Senkung der TTL alte zwischengespeicherte Daten sofort verkürzen?
Nein. Kopien, die bereits unter der vorherigen TTL zwischengespeichert wurden, erfordern eine eigene Zeitüberlegung. Zeichnen Sie den tatsächlichen Veröffentlichungs- und Cache-Verlauf auf.
Kann ich nur zukünftige Daten unter einer Parameterkombination veröffentlichen?
Die Herausgeberrichtlinien erfordern eine aktuell übereinstimmende Zuordnung für jede veröffentlichte Kombination aus Verwendung/Selektor/Übereinstimmungstyp. Zukünftige oder zurückgezogene Datensätze können nicht die einzigen für diese Kombination sein.
Wann können veraltete Zuordnungen entfernt werden?
Nachdem die neue Kette bereitgestellt und überprüft wurde und die alte Zuordnung keine aktive Abhängigkeit mehr beschreibt. Überprüfen Sie vor dem Entfernen die Backup- und Rollback-Anforderungen.
Ist die Wiederherstellung des alten Zertifikats immer ein sicheres Rollback?
Nein. Bei einigen Clients wird möglicherweise nach der Außerbetriebnahme ein nur neuer TLSA-Satz zwischengespeichert. Bewerten Sie die aktuell veröffentlichten Daten und den Cache-Verlauf, bevor Sie den Server zurücksetzen.
Kann ich dieselbe Reihenfolge anwenden, wenn ich die Verwendung oder den Selektor ändere?
Gehen Sie nicht davon aus. Parameterübergänge erfordern die entsprechende RFC 7671 Anleitung und Kompatibilitätsprüfung, getrennt vom Schlüssel-Rollover mit festen Parametern.
Ist kein TLS-RPT Fehler ein Beweis dafür, dass der Rollover erfolgreich war?
Nein. Die Berichterstattung ist optional, aggregiert und verzögert. Bewahren Sie direkt autorisierte Secure-DNS- und SMTP -Beweise für die tatsächliche Flotte auf.
[ Quellen ]
Quellen
- RFC 1035
Abschnitte §3.2.1 Format · §3.3.13 SOA RDATA-Format
- RFC 8460
Abschnitte §3. Berichtsrichtlinie · §4.1 Berichtszeitrahmen · §4.3 Ergebnistypen · §5.2 Komprimierung · §5.3 E-Mail-Transport · §5.4 HTTPS-Transport · §5.5 Zustellungswiederholung · §5.6 Metadatenabweichungen · §7. Sicherheitsüberlegungen
- RFC 7672
Abschnitte §2.1 DNS Überlegungen · §2.2 TLS Erkennung · §2.2.1 MX Auflösung · §2.2.3 TLSA-Eintragssuche · §3.1 Verwendung von TLSA-Zertifikaten · §3.2 Zertifikatsabgleich · §4. Serverschlüsselverwaltung
- RFC 7671
Abschnitte §6. Synchronisierung von Dienstanbietern und TLSA-Herausgebern · §7. TLSA-Basisdomäne und CNAMEs · §8. TLSA-Publisher-Anforderungen · §8.1 Schlüssel-Rollover mit festen TLSA-Parametern · §8.3 Wechsel zu neuen TLSA-Parametern
- RFC 6698
Abschnitte §2.1 TLSA RDATA-Drahtformat · §3. Domänennamen für TLSA-Zertifikatszuordnungen
[ Glossar ]
Glossar
- Vorveröffentlichung
- Veröffentlichung von Zuordnungen für einen zukünftigen Schlüssel unter Beibehaltung der aktuellen Zuordnungen vor dem Wechsel des Dienstes.
- Assoziationsüberschneidungen
- Ein TLSA-Satz, der das erforderliche aktuelle und Übergangsschlüsselmaterial unterstützt.
- Feste Parameter
- Unveränderte Zertifikatverwendung, Selektor- und Matching-Typ-Kombinationen während eines Schlüssel-Rollovers.
- Rollback-Grenze
- Der Punkt, an dem veröffentlichte und zwischengespeicherte, nur neue Daten eine Rückkehr zum alten Serverschlüssel ohne weitere Koordination unsicher machen können.
Unternehmensherkunft
Warum Top-Finanzinstitute und Regierungen haben ihre E-Mail-Sicherheits-Dashboards eingestellt.
Herkömmliche E-Mail-Authentifizierungsplattformen verkaufen Ihnen ein Dashboard und bitten Ihre Techniker, die Arbeit zu erledigen. In Umgebungen mit hohem Risiko führt die manuelle Überwachung zu verzögerter Durchsetzung, Konfigurationsabweichungen und nicht überwachten Schattendomänen.
EmailAuth ist die Agenten-E-Mail-Herkunftsplattform. Unsere Agenten setzen durch p=reject, halten Sie die Absender von Drittanbietern auf dem Laufenden und verschieben Sie Ihre Domains auf voll RFC 9989 Compliance, der neue DMARC Standard, mit Human-in-the-Loop-Überprüfbarkeit.
SaaS · Dedizierte Mandantenfähigkeit · Air-Gap-On-Prem · BYOK-Verschlüsselung