सीमा टैग स्वामित्व प्रमाणपत्र नहीं है
पीएसडी टैग वर्तमान बताता है DMARC डिस्कवरी एल्गोरिदम, DNS पदानुक्रम में पॉलिसी रिकॉर्ड की स्थिति की व्याख्या कैसे करें। यह डोमेन स्वामित्व हस्तांतरित नहीं करता है, होस्ट की गई सेवा को अधिकृत नहीं करता है या यह साबित नहीं करता है कि एक सार्वजनिक-प्रत्यय ऑपरेटर इसके नीचे प्रत्येक प्रेषक को नियंत्रित करता है। इसका परिचालन महत्व संकीर्ण और पर्याप्त है: टैग पेड़ के चलने को समाप्त कर सकता है और प्रभावित कर सकता है संगठनात्मक डोमेन आराम के लिए उपयोग किया जाता है संरेखण, साथ ही पॉलिसी तब उपलब्ध होती है जब कोई किरायेदार कुछ भी प्रकाशित नहीं करता है।
RFC 9989 अनुभाग 4.7 y, n और डिफ़ॉल्ट u को परिभाषित करता है। एक y रिकॉर्ड एक सार्वजनिक प्रत्यय डोमेन की पहचान करता है। एक n रिकॉर्ड स्पष्ट रूप से उस डोमेन और उसके उपडोमेन के लिए संगठनात्मक सीमा की पहचान करता है। एक यू रिकॉर्ड, एक छोड़े गए टैग सहित, यह तय नहीं करता है कि डोमेन संगठनात्मक है या नहीं; खोज को उस प्रश्न का समाधान अवश्य करना चाहिए। इसलिए एक गुम पीएसडी टैग psd=n.
ऑपरेटर की भूमिका से शुरुआत करें
एक सार्वजनिक प्रत्यय ऑपरेटर एक सामान्य पंजीकरणकर्ता या किरायेदार से एक अलग भूमिका निभाता है। अंतर्गत खंड 5.2, एक भाग लेने वाले पीएसओ को psd=y. यह DMARC प्रोटोकॉल के अंतर्गत एक कथन है, रजिस्ट्री सीमाओं की सामान्य प्रयोजन सूची नहीं। समीक्षा करें कि प्रासंगिक DNS ज़ोन को कौन नियंत्रित करता है, इसके नीचे कौन से स्वतंत्र संगठन मौजूद हैं, और क्या प्रस्तावित तैनाती में वास्तव में विनिर्देश द्वारा वर्णित पीएसओ भूमिका है।
एक संगठन जो अपनी टीमों के लिए उपडोमेन संचालित करता है, उसे केवल इसलिए y सेट नहीं करना चाहिए क्योंकि डोमेन में बच्चे हैं। इसके विपरीत, n डिफ़ॉल्ट पर भरोसा करने के बजाय एक इच्छित संगठनात्मक सीमा को स्पष्ट कर सकता है। वह परिवर्तन अधीनस्थ पहचानों के लिए शिथिल-संरेखण गणनाओं को बदल सकता है, इसलिए इसका प्रभाव मौजूदा रिकॉर्ड और वास्तविक प्रेषण पथों के साथ नियंत्रित तुलना के योग्य है। वाक्यात्मक रूप से मान्य टैग इस बात का प्रमाण नहीं है कि चुनी गई सीमा संगठन के सुरक्षा मॉडल से मेल खाती है।
एक काल्पनिक सार्वजनिक-प्रत्यय मामले का अनुसरण करें
मान लें कि registry.example एक काल्पनिक सार्वजनिक प्रत्यय है और tenant.registry.example एक काल्पनिक किरायेदार से संबंधित है। लेखक डोमेन alerts.tenant.registry.example है। न तो वह नाम और न ही tenant.registry.example इस स्थिरता में DMARC नीति प्रकाशित करता है। _dmarc.registry.example पर रिकॉर्ड v=DMARC1;p=reject; psd=y. कोई लुकअप निष्पादित नहीं किया गया है; ये तथ्य कार्यित उदाहरण के लिए निर्धारित हैं।
वॉक ऑथर डोमेन से चढ़ता है, registry.example तक पहुंचता है और y पर रुकता है। चूँकि यह आरंभिक डोमेन नहीं है, धारा 4.10.2 डोमेन को उसके नीचे एक लेबल, tenant.registry.example , संगठनात्मक डोमेन के रूप में पहचानता है। बिना किरायेदार या लेखक डोमेन नीति के, पीएसडी रिकॉर्ड धारा 4.10.1 के तहत नीति की आपूर्ति करता है। इस विशेष रिकॉर्ड में कोई एसपी या एनपी ओवरराइड नहीं है, इसलिए पी अनुरोधित मूल्यांकन प्रदान करता है।
आरंभिक डोमेन पर उस उदाहरण को y के लिए सामान्यीकृत न करें। एक-लेबल-नीचे नियम स्पष्ट रूप से प्रारंभिक रिकॉर्ड को बाहर करता है। सामान्य रोक नियम और संगठनात्मक-डोमेन चयन नियम अलग-अलग चरण हैं। एक अनुरूपता स्थिरता को चाइल्ड संगठनात्मक डोमेन का निर्माण करने के बजाय इस बढ़त का उपयोग करना चाहिए जो कभी भी लुकअप पथ का हिस्सा नहीं था।
स्पष्ट n की तुलना डिफ़ॉल्ट u से करें
काल्पनिक किरायेदार रिकॉर्ड को v=DMARC1;p=quarantine; psd=n. अब चलना tenant.registry.example पर रुकता है। वह डोमेन संगठनात्मक है, उसकी नीति को PSD फ़ॉलबैक पर प्राथमिकता दी जाती है, और लुकअप को registry.example पर चढ़ने की आवश्यकता नहीं है। उच्च ऑपरेटर की अस्वीकार प्राथमिकता इस किरायेदार रिकॉर्ड को केवल इसलिए ओवरराइड नहीं करती है क्योंकि यह सख्त लगता है।
एक अलग डिफ़ॉल्ट-खोज उदाहरण के लिए, alerts.team.tenant.registry.example से शुरू करें। मान लीजिए कि team.tenant.registry.example और tenant.registry.example प्रत्येक के पास वैध रिकॉर्ड हैं जिनमें PSD हटा दिया गया है या u पर सेट है। मान लें कि registry.example या उदाहरण पर कोई वैध रिकॉर्ड नहीं है। चलना पहले यू रिकॉर्ड पर नहीं रुकता; सबसे कम लेबल वाला वैध रिकॉर्ड tenant.registry.example को संगठनात्मक के रूप में पहचानता है। यह संपूर्ण प्रासंगिक उम्मीदवार सेट से प्राप्त एक डिफ़ॉल्ट परिणाम है, यह कोई वादा नहीं है कि प्रत्येक यू-असर डोमेन एक संगठनात्मक सीमा है।
जब यह किसी संगठनात्मक डोमेन को निर्धारित नहीं कर पाता है तो उसी एल्गोरिदम में प्रारंभिक लक्ष्य पर फ़ॉलबैक भी शामिल होता है। समीक्षा आउटपुट में "कोई सीमा निर्धारित नहीं", "कोई लागू नीति नहीं" और " DNS त्रुटि" को अलग रखें। वे अंतर्ज्ञान से प्रत्यय सीमा का आविष्कार करने या पुराने सार्वजनिक-प्रत्यय-सूची परिणाम को चुपचाप प्रतिस्थापित करने को उचित नहीं ठहराते हैं।
किरायेदार रिपोर्टिंग को प्रत्यय रिपोर्टिंग से अलग रखें
नीतिगत प्राथमिकता का गोपनीयता पर प्रभाव पड़ता है। धारा 4.10.1 का कहना है कि PSD नीति का उपयोग किसी ऐसे संगठनात्मक डोमेन के लिए नहीं किया जाता है जो अपनी स्वयं की DMARC नीति प्रकाशित करता है। प्रत्यय ऑपरेटर किरायेदार द्वारा छोड़े गए रिपोर्टिंग पतों को भरने के लिए अपने रिकॉर्ड का उपयोग नहीं कर सकता है। एक ट्रेस जो किरायेदार की नीति को PSD के रुआ या रुफ मूल्यों के साथ विलय करता है वह वर्णित तंत्र नहीं है।
विफलता रिपोर्ट बहु-संगठन प्रत्ययों में विशेष रूप से संवेदनशील हैं। धारा 10.2 रूफ को अंदर आने से रोकता है DMARC रिकॉर्ड कई संगठनों को शामिल करने वाले पीएसडी द्वारा प्रकाशित। प्राप्तकर्ता को केंद्रीय सुरक्षा दल को बुलाने से इसका समाधान नहीं होता है। समग्र रिपोर्टिंग के अपने गोपनीयता संबंधी विचार होते हैं, और वास्तविक रिपोर्टिंग गंतव्यों या डेटासेट को बदलने से पहले अभी भी संगठनात्मक अनुमोदन की आवश्यकता होती है।
प्रोटोकॉल अर्थ और परिनियोजन को स्वतंत्र रूप से सत्यापित करें
सटीक कमीशन है: वर्तमान आरएफसी संदर्भों के साथ एक प्रत्यय, संगठनात्मक-डोमेन और डिफ़ॉल्ट खोज उदाहरण दिखाएं। ऊपर दिए गए तीन काल्पनिक उदाहरण दस्तावेजी अपेक्षित परिणाम प्रदान करते हैं, जिसमें प्रारूपण से पहले पूरी धारणाएं बरकरार रखी जाती हैं। वे वास्तविक DNS फिक्स्चर, किरायेदार सूची या प्रेक्षित रिसीवर व्यवहार नहीं हैं। वर्तमान इरेटा सत्यापन और विशेषज्ञ स्वीकृति के साथ-साथ वे परिचालन और प्रयोज्यता द्वार खुले रहते हैं।
भविष्य के अधिकृत मूल्यांकन के लिए, लेखक डोमेन और प्रमाणित पहचान दोनों के लिए पूर्ण नीति सेट और प्राप्तकर्ता के खोजे गए संगठनात्मक डोमेन को बनाए रखें। यह माने बिना कि प्रत्येक प्राप्तकर्ता ने इसे अपनाया है, वर्तमान और प्रस्तावित सीमाओं की तुलना करें RFC 9989. प्रकाशन से पहले परस्पर विरोधी किरायेदार नियंत्रण या अप्रत्याशित शिथिल संरेखण को बढ़ाएं। वांछित परिणाम साक्ष्य के साथ एक सहमत सीमा है, न कि कोई टैग केवल इसलिए जोड़ा गया है क्योंकि यह एक नई रजिस्ट्री में दिखाई देता है।