[ DNS ja verkkotunnukset ]
Riippuvat DKIM CNAME -nimet sen jälkeen, kun toimittaja on irrotettu
Poista toimittajan hallinnoimat DKIM aliakset ja tarkista aktiiviset valitsimet, valmiustilan kierto, viivästetut viestit, kohteen hallinta ja jäljellä oleva käyttöoikeus.
EmailAuth -tutkimusryhmä · 8 min lukuaika
[Avainkohdat]
- DKIM alias, allekirjoitusmääritykset ja toimittajan tunnistetiedot ovat erillisiä riippuvuuksia.
- Tarkista valmiustilan valitsimet ja lennonaikaiset viestit ennen julkisen avaimen hakujen lopettamista.
- Älä päättele kohteen vaatimuksen tai välittömän maailmanlaajuisen peruutuksen DNS muutoksesta.
Tällä sivulla
[ Takeaway ]
Sulje varsinainen allekirjoitussuhde, säilytä vain perustellut viestiriippuvuudet ja tarkista DNS poistuminen ja korvaavan todennus erikseen.
[ Roolin mukaan ]
Mitä tämä tarkoittaa sinulle
Valitse roolisi ja seuraa käytännön toimia.
IT / Mail Admin
Erota valitsijat todisteiden perusteella
Viimeaikaiset viestinäytteet eivät paljasta jokaista kierto- tai jonoriippuvuutta.
Seuraavat vaiheet
- Varaston tarkka d=/s= ja aliaskohteet.
- Tarkista valmiustilan valitsimet ja ajoitetut tai viivästyneet viestit.
- Tarkista korvaava allekirjoittaja ja DNS tila.
CISO / SecOps
Tarkista jatkuva avainhallinta
Ulkoinen julkisen avaimen kohde pysyy luottamusriippuvuutena, kunnes se jää asianmukaisesti eläkkeelle.
Seuraavat vaiheet
- Vahvista palveluntarjoajan elinkaarisäädöt vaatimatta tavoitteita.
- Koordinoi pääsy eläkkeelle ja kaikki kiireelliset peruutuspäätökset.
- Vältä väittämästä, että välimuistissa olevat avaimet katoavat välittömästi.
Perustaja / ei-tekninen
Viimeistele toimittajan siirtyminen tiimien kesken
Sopimuksen sulkeminen ei pysäytä automaattisesti työnkulkuja tai poista DNS tietueita.
Seuraavat vaiheet
- Varmista, mitkä sovellukset ovat edelleen riippuvaisia toimittajasta.
- Hyväksy siirto ja perusteltu eläkkeelle siirtymisen määräaika.
- Vaadi DNS , määritys- ja käyttötehtävien omistajan sulkemista.
[ UKK ]
Usein kysytyt kysymykset
Poistaako toimittajatilin poistaminen sen DKIM CNAME:t?
Älä oleta niin. Asiakkaan DNS julkaisu ja palveluntarjoajan tilin määrittäminen ovat erilliset velvollisuudet; tarkistaa poistumissuhteen molemmat puolet.
Onko viimeisimmistä viesteistä poissa valitsin turvallista poistaa?
Ei välttämättä. Microsoft 365 dokumentoi aktiivisen ja kiertovalmiustilan valitsimet. Tarkista todellisen toimittajan tukema malli ja muut työnkulut ennen eläkkeelle siirtymistä.
Antaako CNAME itse jonkun allekirjoittaa postia?
Ei. Allekirjoitus vaatii yksityisen avaimen. Alias ohjaa julkisen avaimen etsintää, joten sen kohteen hallinta on riippuvuus, joka on arvioitava erikseen.
Todistaako puuttuva kohde palautettavissa olevan DKIM palvelun?
Ei. Puuttuva avain tai kohde ei luo palveluntarjoajan uudelleenmäärittelyä tai omistajuuden vahvistusta. Säilytä tämä epävarmuus ja etsi arvovaltaisia todisteita toimittajalta.
Microsoft: Estä roikkuvat DNS -merkinnät ja vältä aliverkkotunnusten haltuunottoa
Kuinka kauan vanhan avaimen pitäisi pysyä julkaistuna?
Tässä oppaassa ei ole universaalia intervallia. Perusta päätös todellisiin jonossa oleviin ja jo allekirjoitettuihin viesteihin, palvelukäyttäytymiseen ja tietoturvan omistajan riskipäätökseen.
Pitääkö vaarantuneen avaimen olla saatavilla viivästyneitä viestejä varten?
Ei. Turvahäiriö saattaa oikeuttaa nopeamman peruutuksen toimitushäiriöstä huolimatta. Vastuullisen tietoturvan omistajan on päätettävä ja koordinoitava tämä vastaus.
Peruuttaako CNAME poistaminen sen välittömästi kaikkialta?
Ei. Rekursiiviset ratkaisijat voivat säilyttää välimuistissa olevan aliaksen tai avaintiedot. Tarkista arvovaltainen poisto ja tallenna välimuistin havainnot lupaamatta välitöntä maailmanlaajuista katoamista.
Mikä todistaa, että korvaava reitti on valmis?
Säilytä ohjattu vastaanotettu viesti, jossa on aiottu allekirjoitustunnus ja ohituspolku, joka on kohdistettu näkyvän lähettäjän kanssa. Pelkkä DNS tallennus tai palveluntarjoajan tunnus ei riitä.
[ Lähteet ]
Lähteet
- RFC1034
Osat §3.6 Aliakset ja kanoniset nimet · §4.2 Tietokannan jakaminen vyöhykkeisiin · §4.3.4 Negatiivisten vastausten välimuisti
- RFC2308
Osat §2. Negatiiviset vastaukset · §5. Tallenna negatiiviset vastaukset välimuistiin
- RFC9989
Osat Identifier Alignment · DMARC Policy Discovery
- RFC6376
Osat §3.5 DKIM-Signature otsikkokenttä · §3.6 Avainten hallinta ja edustaminen · §5. Allekirjoittajan toimet · §6. Vahvistimen toiminnot
- Microsoft: Estä roikkuvat DNS -merkinnät ja vältä aliverkkotunnusten haltuunottoa
Osat Mikä on aliverkkotunnuksen haltuunotto? · Estä roikkuvat DNS merkinnät · Korjaa roikkuvat DNS -merkinnät
- Microsoft: Määritä DKIM mukautettuja verkkotunnuksia varten
Osat DKIM CNAME -tietueiden syntaksi · Kierrä DKIM avaimia · DKIM -allekirjoitusmääritykset mukautetuille verkkotunnuksille
[ Sanasto ]
Sanasto
- Valitsin
- DKIM -allekirjoituksen arvo, jota käytetään allekirjoitustoimialueen kanssa sovellettavan julkisen avaimen paikantamiseen.
- Valmiustilan valitsin
- Valitsin, joka säilytetään palveluntarjoajan tukemaa tulevaa avainten kiertoa varten nykyisen allekirjoituksen sijaan.
- Eläkkeelle siirtymisen määräaika
- Hyväksytty kohta vanhentuneen haun poistamiseksi viestiriippuvuudet ja tietoturvariskit on tarkistettu.
- Avaimen löytämisen riippuvuus
- DNS hakusuhde, jonka kautta vastaanotin saa julkisen avaimen DKIM allekirjoitusta varten.
Yrityksen alkuperä
Miksi parhaat rahoituslaitokset ja hallitukset lopettivat sähköpostin suojauksen hallintapaneelinsa.
Perinteiset sähköpostin todennusalustat myyvät sinulle kojelaudan ja pyytävät insinöörejäsi tekemään työtä. Korkeiden panosten ympäristöissä manuaalinen valvonta tarkoittaa viivästynyttä täytäntöönpanoa, konfiguraatioiden siirtymistä ja valvomattomia varjoalueita.
EmailAuth on agentti sähköpostin alkuperäalusta. Agenttimme valvovat p=reject, pidä kolmannen osapuolen lähettäjät kohdakkain ja siirrä verkkotunnuksesi täyteen RFC 9989 noudattaminen, uusi DMARC standardi, jossa on in-the-loop -tarkastettavuus.
SaaS · Dedikoitu vuokrasopimus · Ilmarakoinen on-prem · BYOK-salaus