Un valide Signature DKIM peuvent apparaître sur des courriers indésirables ou abusifs. Un attaquant peut obtenir un message légitimement signé et le redistribuer sans modifier le contenu couvert. La signature peut continuer à être vérifiée car DKIM ne promet pas que chaque livraison soit unique, demandée ou bénigne.
Comprendre ce qui survit à la rediffusion
RFC 6376 §8.6 décrit un abus de relecture dans lequel un message signé par un domaine réputé est renvoyé à de nombreux destinataires. Une signature valide établit la responsabilité du domaine signataire pour le contenu couvert par les règles de DKIM . Cela ne constitue pas une preuve que le domaine avait l'intention de chaque livraison ultérieure ou que le destinataire a consenti à la recevoir.
Les destinataires de l'enveloppe SMTP ne sont pas inclus simplement parce qu'un en-tête To visible est signé. Une rediffusion peut conserver l'en-tête signé tout en utilisant différents destinataires d'enveloppe. Une date ou un ID de message signé ne crée pas de restriction cryptographique à livraison unique. L'expiration peut contraindre une comparaison temporelle mais n'est explicitement pas conçue comme une défense anti-répétition dans RFC 6376 §3.5.
Séparer trois hypothèses d'incident
Premièrement, un véritable message signé peut avoir été redistribué sans modification. Deuxièmement, un attaquant peut utiliser un compte ou une application autorisé pour obtenir des messages abusifs nouvellement signés. Troisièmement, une clé de signature privée peut avoir été compromise. Ces explications nécessitent des preuves et des mesures correctives différentes. Un pass DKIM à lui seul ne peut pas les distinguer.
Conservez des échantillons bruts des rapports des destinataires fiables et comparez les valeurs de signature, le contenu signé, les identifiants de message, les temps de création et les traces de livraison. Les signatures identiques et le contenu couvert dans les plaintes soutiennent les enquêtes sur la réutilisation, mais ne prouvent pas son origine. De nouvelles signatures sur des contenus abusifs distincts soulèvent des questions sur l'accès des signataires et le contrôle des comptes. Examinez les journaux de soumission authentifiés et les accès aux clés dans le cadre de vos procédures d’incident.
Utiliser un cas illustratif limité
Dans une spécification de test hypothétique contrôlé, un service signerait un message et un harnais délivrerait le même message signé à deux boîtes de réception de test autorisées avec des destinataires d'enveloppe SMTP différents. Aucun test de ce type n'a été exécuté pour cet article. Les deux peuvent vérifier la même signature si le contenu couvert et les autres conditions de vérification restent valables. Le résultat attendu illustre pourquoi la validité de la signature et l’unicité sont distinctes. Il ne s'agit pas d'un test de filtrage du spam par le fournisseur et ne doit pas être étendu à la diffusion non sollicitée.
Répondez au bon niveau
Pour un compte d'envoi abusif, indiquez le chemin du compte ou de la candidature et examinez les contrôles de soumission. En cas d’exposition présumée à une clé, suivez les procédures de compromission de clé et évaluez l’impact de la révocation sur la livraison. Pour la relecture d'un contenu précédemment signé, combinez l'analyse des signatures avec les signaux de taux, de réputation, de plainte et de modèle de message. RFC 6376 §8.6 discute des réponses partielles basées sur la réputation ; aucun ne convertit DKIM en un classificateur de spam complet.
Ne révoquez pas un partage sélecteur uniquement parce qu'une plainte comprend une signature valide sans enquête. La suppression de sa clé publique peut affecter les messages légitimes toujours en attente de vérification et peut ne pas résoudre la manière dont les abus sont entrés dans le système. À l’inverse, ne rejetez pas les preuves crédibles d’exposition clés parce que la répétition est possible.
Rapporter l’assurance avec précision
Utilisez des champs d'incident distincts pour le résultat de l'authentification, le mécanisme d'abus suspecté, le compte ou les preuves clés et l'impact sur le destinataire. UN DMARC le pass peut coexister avec la relecture lorsqu'une signature alignée reste valide. L'authentification est une preuve utile, mais la sécurité du traitement dépend toujours d'une évaluation plus large du système récepteur. Clôturez l'incident avec une cause et une réponse prises en charge, et non avec une déclaration générale selon laquelle DKIM valide prouve que le courrier est inoffensif.
Gardez les hypothèses séparées dans le dossier d'incident
Utiliser les observations pour choisir la prochaine investigation, et non pour déclarer une cause prématurément :
- Même signature et même contenu couvert vus à plusieurs reprises : enquêter sur les traces de réutilisation et de livraison ; cela ne prouve pas à lui seul qui l’a redistribué.
- Messages abusifs distincts nouvellement signés via un compte : examinez les preuves de soumission et d'accès à l'application.
- Exposition crédible d’un secret ou accès non autorisé à la clé : invoquez la réponse de compromission de clé, même si une réexécution s’est également produite.
Enregistrez les preuves à l’appui de chaque hypothèse et l’incertitude restante. Vérifiez l'impact du courrier légitime avant de retirer un sélecteur partagé ; RFC 6376 §8.7 décrit cette limitation. Aucune expérience de trafic ou de livraison abusive n’a été réalisée pour cet article.