Kompromitoitunut DKIM yksityinen avain voi antaa hyökkääjälle mahdollisuuden luoda allekirjoituksia, jotka varmentavat asianomaisen allekirjoitustoimialueen. Käsittele tapahtumaa allekirjoitusvaltuutuksen tapahtumana. DNS tietueen korvaaminen on vain yksi osa suojausta, eikä DKIM vahvistus yksinään voi erottaa valtuutettua allekirjoittajaa hyökkääjästä, jolla on sama avain.
Perusta viranomainen, jota asia koskee
Tunnista allekirjoitustoimialue, valitsijat, avainten säilyttäjä ja kaikki yksityistä avainta käyttävät palvelut. Säilytä asiaankuuluvat tarkastuslokit, määritykset ja edustavat epäilyttävät viestit kopioimatta salaisuutta lippuihin tai chattiin. Tallenna löytöaika, todennäköinen altistusikkuna ja se, mitä tiedetään verrattuna epäiltyyn.
Erota yksityisen avaimen varkaus allekirjoituspalvelun luvattomasta käytöstä. Hyökkääjä, jolla on tilin käyttöoikeudet, voi jatkaa allekirjoittamista avaimen vaihdon jälkeen, ellei tätä käyttöoikeutta rajoiteta. DNS -hallinnan kompromissi on toinen riippuvuus, joka vaatii oman vastauksen. Koordinoi nämä tutkimukset tapahtuman omistajan alaisuudessa.
Lopeta uusi väärinkäyttö ja peruuta vanha vahvistuspolku
Keskeytä vaikuttaneet allekirjoitusreitit tai valtuustiedot hyväksytyn tapahtumaprosessin kautta. RFC 6376 sallii peruutuksen julkaisemalla tyhjän p-arvon. Avaimen poistaminen estää myös onnistuneen hakemisen, kun poissaolo on näkyvissä. Valitse alustan tukema vastaus ja tarkista tarkka valitsin ja verkkotunnus ennen sen vaihtamista.
Peruuttaminen ei ole välitöntä jokaisessa vastaanottimessa. Välimuistissa olevat DNS tiedot ja jo arvioidut viestit luovat ajasta riippuvan rajan. Älä lupaa, että DNS muuttaminen takautuvasti mitätöi toimitetun postin allekirjoitukset tai todistaa, että loukkaavia viestejä ei ole hyväksytty.
Normaali kierto päällekkäisyys säilyttää jonossa olevien laillisten viestien vahvistuksen. Kompromissin aikana paljastetun avaimen pitäminen tarkistettavana voi myös säilyttää hyökkääjän kyvyn. Tapahtuman omistajan on punnittava suojausta viivästyneiden sähköpostien epäonnistumiseen sen sijaan, että se soveltaisi rutiininomaista päällekkäisaikataulua automaattisesti.
Palauta allekirjoitus puhtaan polun kautta
Luo korvaava avainmateriaali luotettavan tuetun prosessin kautta altistumisen syyn korjaamisen jälkeen. Valitse uusi tuettu valitsin, jotta vanhat ja uudet todisteet voidaan erottaa toisistaan. Ota käyttöön nykyiset salausvaatimukset. RSA-allekirjoitusta varten RFC 8301 vaatii rsa-sha256:n rsa-sha1:n sijaan ja suosittelee vähintään 2048-bittinen avaimet.
Havainnollinen vastaus: Selector sales1 on esillä ja sen allekirjoitustili sisältyy. Puhdas allekirjoittaja käyttää myynti2:ta, kun taas myynti1 peruutetaan. Uusi valvottu posti vahvistaa myynti2:n kanssa ja linjaa Lähettäjän kanssa; Myynti1:llä allekirjoitettu viivästynyt posti saattaa epäonnistua. Tämä esimerkki kuvaa nimenomaista kompromissia, ei loppuunsaatettua tapausta tai takuuta vastaanottajan yleisestä käyttäytymisestä.
Tarkista palautuminen ja säilytä epävarmuus
Testaa jokaista reittiä, johon vaikuttaa, ei vain yhtä postilaatikkoa. Tallenna raakaviestit ja luotettavat tulokset, tarkista uusi valitsin ja vahvista linjaus ja varmista, että vaarantuneet kirjautumistiedot eivät enää valtuuta allekirjoittamiseen. Tarkista palveluntarjoajan lokit ja vastaanottajan raportit altistumisjaksolta ja huomaa, että raportit eivät kata jokaista vastaanottajaa tai todista, kuka lähetti jokaisen viestin.
Ylläpidä eristämisen, DNS havainnon, korvaavan käyttöönoton ja asiakasvaikutusten arvioinnin aikajanaa. Pidä rikosteknisten kopioiden käyttöoikeus hallinnassa. Sulje tapahtuma vain tunnistetun omistajan kanssa jäljellä olevan tutkinnan ja korjatun avainten säilytys- tai käyttöhäiriön vuoksi. Onnistunut uusi allekirjoitus todistaa, että palautusreitti toimii; se ei sinänsä osoita aikaisemman väärinkäytön koko laajuutta.
Harjoittele pöytätasoa ennen hätätilannetta
Tällä synteettisellä aikajanalla palvelutilillä A on myynti1 ja puhtaalla tilillä B myynti2. Sisällytä minuutilla nolla A. Minuutilla yksi julkaise myynti1 peruutus. Toisella minuutilla kuvitteellisella ratkaisijalla on edelleen vanha välimuistissa oleva avain, joten vanhat allekirjoitukset voivat jäädä siellä tarkistettavissa. Kolmannella minuutilla aloita puhdas myynti2 -reitti. Kerää kolmenkymmenen minuutin kohdalla vastaanotettuja reitin tuloksia ja käytä todisteita sen sijaan, että ilmoittaisit palautumisesta yksin DNS stä. Nämä ajoitukset kuvaavat järjestystä, eivät luvattua etenemisväliä.
Tämä kirjallinen pöytälevy ehdottaa viittä vaadittua palautushavaintoa: vanha pääsy estetty, altistumisen syy sisällä, uusi avain julkaistu, uusi allekirjoitus varmistettu ja uusi allekirjoitus kohdistettu. Skenaario, jossa uusi posti kulkee, mutta vanha käyttöoikeus on edelleen aktiivinen, epäonnistuu palautusportissa. Kaikki viisi tyydyttävä skenaario ohittaa mallinnetun portin. Molemmat havainnot ovat synteettisiä; mitään pöytäohjelmaa, vuokralaista tai viestitestiä ei suoritettu. Todellinen suojaus, välimuistin havainnot, hyväksynnät ja viestitestit ovat edelleen tarpeen todellisen tapahtuman aikana.
Määritä omistaja jokaiselle ratkaisemattomalle palautusportille
Kirjallinen tapaus KEY-01 olettaa, että korvaava valitsin sales2 tuottaa ohimenevän tasatun allekirjoituksen osoitteelle From sales@example.org ja d=example.org, mutta vanha palvelutili pysyy aktiivisena. Tapahtuman omistajan on pidettävä palautus auki ja osoitettava pääsyn estäminen; sähköpostin ylläpitäjän onnistunut allekirjoitustesti ei voi sulkea tätä aukkoa. Vanhat ratkaisijavälimuistit ja aiemmat väärinkäytökset ovat tuntemattomia. Identiteetit ja tulokset ovat määrättyjä opetusoletuksia, eivät toteutettu tapaus.