RSA-SHA256 ja Ed25519-SHA256 ovat erilliset DKIM -allekirjoitus algoritmeja. Valitse tai ota molemmat käyttöön käyttämällä allekirjoittajasi tuettuja ominaisuuksia ja asianmukaisten todentajien todisteita. Niiden raaka-avainten pituuksien vertailu ei vastaa yhteentoimivuuskysymykseen.
Erillinen määrittelytuki käyttöönotetusta tuesta
RFC 8463 kohdat 3–5 lisää Ed25519-SHA256:n DKIM ja vaatii päivityksen toteuttavien todentajien tukemaan sitä. Se suosittelee allekirjoittajan käyttöönottoa. Nämä vaatimukset kuvaavat standardia; ne eivät vahvista, että jokainen asennettu sähköpostilaite, vanha kirjasto tai isännöity käyttöliittymä toteuttaa päivityksen tänään.
The Ed25519 avaintietueen käyttötarkoituksia k=ed25519, ja sen julkinen avain on koodattu p=. Allekirjoitusalgoritmi tunnistetaan nimellä a=ed25519-sha256. RSA:lle vastaava algoritmi on rsa-sha256; RFC 8301 jakso 3 toimittaa päivitetyt RSA-kokovaatimukset ja kieltää rsa-sha1:n. Älä muuta vain algoritmin etikettiä säilyttäen samalla yhteensopimaton avainmateriaali.
Päätä, mitä todisteita muuttoliike tarvitsee
Inventoi allekirjoitusohjelmisto, versio, tuetut algoritmit ja palveluntarjoajan hallintalaitteet. Tunnista vastaanottavat järjestelmät, joiden käyttäytymisellä on merkitystä yritykselle. Tallenna, vastaako testitulos omaa todentajakirjastoasi, lopullisen vastaanottajan luotettavaa todennustulosta vai kolmannen osapuolen analyysityökalua. Nämä ovat erilaisia havaintoja.
Kysy, voiko alusta lähettää molemmat algoritmit ja hallita kahta valitsinta turvallisesti. Palveluntarjoajalla, joka ei tarjoa Ed25519-ohjausta, voi silti olla tehtävään sopiva dokumentoitu RSA-kokoonpano. Älä keksi menettelyä, jota ei tueta, vain siksi, että taustalla oleva RFC sallii konfiguroinnin.
Käytä eri valitsimia rinnakkaisille allekirjoituksille
RFC 8463 osa 6 kuvaa useita allekirjoituksia siirtymämekanismina. RSA- ja Ed25519-avaimet tarvitsevat erilliset valitsimet. Älä aseta kahta algoritmiavainta samaan aikaan valitsin ja luota siihen, että vastaanottaja valitsee haluamasi.
Havainnollistavassa suunnittelussa rsa2026._domainkey.example.com säilyttää RSA-vahvistustiedot ja ed2026._domainkey.example.com sisältää Ed25519-tiedot. Molemmat allekirjoitukset käyttävät d=example.com, mutta heidän s= ja a= arvot vaihtelevat. Nämä ovat esimerkkinimiä, eivät käyttöönotettavia avaintietueita. Luo ja julkaise varsinaista avainmateriaalia tuetun allekirjoitusjärjestelmän kautta.
Hyödyllinen testi tallentaa jokaisen allekirjoituksen itsenäisesti. Vastaanotin A saattaa vahvistaa molemmat; vastaanotin B saattaa vahvistaa vain RSA:n. Älä ilmoita "kaksoisallekirjoitustyöt" säilyttämättä kunkin tuloksen tuottamaa algoritmia. Under RFC 9989 kohta 4.4.1, onnistunut kohdistettu RSA-allekirjoitus voi tarjota a DMARC todennuspolku, vaikka toinen allekirjoitus ei vahvistaisi, edellyttäen, että sovellettavat DMARC arviointiehdot täyttyvät.
Tee katkaisusta käännettävä
Ennen kuin muutat tuotantoa, luo tuettu menetelmä edellisen allekirjoituskokoonpanon palauttamiseksi. Testaa normaaleja viestejä ja todellisia reititysominaisuuksia, kuten yhdyskäytäviä tai postituslistoja. Algoritmittuki ei suojaa allekirjoitusta mielivaltaisilta sisällön muutoksilta allekirjoituksen jälkeen.
Pidä havaintojakson aikana valitsimen luettelo ja vastaanottajan todisteet sidottuina aikaleimoihin. Ed25519-tietueen onnistunut DNS haku todistaa julkaisun, ei sen, että lähettäjä on antanut allekirjoituksen tai että vastaanottaja käytti sitä. Päätä, säilytetäänkö molemmat algoritmit vai muutetaanko kokoonpanoa mitatun yhteensopivuuden ja organisaatiovaatimusten perusteella, älä väittäen, että kaikki vastaanottimet ovat päivittäneet.
Sulje turvallisuus- ja toimintapäätös yhdessä
Tallenna valittu malli, algoritmikohtaiset tulokset, ratkaisemattomat vastaanottajarajoitukset ja kriteerit yhteensopivuuspolun poistamiseksi. Jatka molempien yksityisten avainten suojaamista, kun molemmat allekirjoittajat pysyvät aktiivisina. Kaksoisallekirjoitus lisää toisen avaintenhallinnan riippuvuuden; se ei poista huoltajuuden, vuorottelun tai välikohtausten tarvetta.
Lue synteettinen kaksoisallekirjoitustulos
Oletetaan, että viestissä on Author Domain example.com ja kaksi allekirjoitusta d=example.com. Luotettu vastaanotin raportoi rsa-sha256, s=rsa2026, hyväksyi yhden allekirjoituksen ja ed25519-sha256, s=ed2026, epäonnistuu toiselle. RSA-allekirjoitus on tarkasti kohdistettu passi, joten se voi täyttää DMARC :n DKIM polun. Epäonnistunut Ed25519-allekirjoitus ei peruuta sitä. Tämä on rakennettu esimerkki, ei todiste siitä, että vastaanottimesta puuttuu Ed25519-tuki: vika voi sen sijaan koskea sen avainta, syntaksia tai allekirjoitettua sisältöä. Säilytä allekirjoituskohtainen syy ennen yhteensopivuuden diagnosoimista.
Pidä tiivistä tutkimustietoa
Käytä tätä ehdotettua laskentataulukkoa tarkasteltavalle reitille. Se on suunnitteluapu, ei todiste suoritetusta testistä.
- Allekirjoittaja: ohjelmisto tai palvelu, versiot ja tuetut algoritmiohjaimet.
- Allekirjoitusta kohti: a, d, s, tulos ja vastaanottaja, joka tuotti tuloksen.
- DMARC : tekijän verkkotunnus, linjaus tila ja ohittava tasattu allekirjoitus, jos sellainen on.
- Päätös: Säilytä molemmat algoritmit tai poista toinen käytöstä palautusvaiheilla ja ratkaisemattomilla vastaanottajarajoituksilla.
Aiheeseen liittyvää luettavaa
DKIM avaimen pituus ja algoritmit: tarkista nykyinen vastaanottimen tuki · Useita DKIM allekirjoituksia: etsi tasattu ohitusallekirjoitus.