Penganalisa header bisa tidak setuju dengan penerima asli tanpa ada observasi yang dibuat-buat. Mereka mungkin telah mengevaluasi byte pesan yang berbeda, status kunci DNS yang berbeda, atau kebijakan verifikasi yang berbeda pada waktu yang berbeda. Simpan bukti asli dan bandingkan kondisinya sebelum memutuskan apa maksud dari ketidaksepakatan tersebut.
Hasil historis yang ditampilkan dan verifikasi kriptografi baru adalah operasi yang berbeda. Beberapa alat merangkum Authentication-Results sudah ada dalam sampel. Yang lain mengambil kunci dan memverifikasi sampel saat ini. Tetapkan operasi mana yang dilakukan penganalisis sebelum membandingkan keluarannya dengan hasil sistem penerima.
Pertahankan yang asli dan identifikasi batasnya
Ekspor pesan mentah menggunakan metode yang mempertahankan representasi pesan. Simpan dokumen asli yang belum diedit dan hitung hash file untuk perbandingan nanti. Catat metode pengumpulan, waktu pengiriman dan kotak surat sumber. Hash file dapat menunjukkan bahwa dua file yang diekspor berbeda; ia tidak dengan sendirinya menjelaskan perbedaan mana yang penting DKIM.
Identifikasi Authentication-Results yang dihasilkan penerima dan id authserv tepercayanya. Header yang diberikan oleh pengirim yang tidak tepercaya bukanlah bukti resmi penerima. RFC 8601 §7.1 menggambarkan batas kepercayaan ini. Tentukan juga apakah penerima mengevaluasi pesan sebelum gateway atau proses ekspor berikutnya mengubahnya.
Bandingkan masukan aktual penganalisis
Untuk tanda tangan seluruh badan biasa, blok header yang disalin menghilangkan isi yang diperlukan untuk menghitung ulang DKIM -nya hash tubuh. Kasus khusus l=0 meng-hash nol oktet badan dan tidak memberikan perlindungan integritas badan; itu tidak mengabaikan pemeriksaan header, kunci, atau verifikasi lainnya. Melihat RFC 6376 §3.5, §3.7 Dan §5.4.1. Menempelkan teks juga dapat mengubah lipatan atau akhir baris. Jika penganalisis tidak memiliki pesan lengkap, penganalisis mungkin menafsirkan hasil yang dilaporkan daripada memverifikasi keseluruhan tanda tangan secara independen. Label antarmukanya saja tidak menyelesaikan pertanyaan itu.
Bandingkan sampel lengkap bila tersedia. DKIM kanonikalisasi di dalam RFC 6376 §3.4 mentolerir transformasi tertentu, bukan kesetaraan sewenang-wenang dari konten yang diberikan. Hash file yang berbeda tidak secara otomatis berarti kegagalan DKIM , karena beberapa perubahan byte mungkin menjadi normal; hash file yang identik hanya menghasilkan byte yang disediakan identik, bukan DNS atau konteks kebijakan yang identik.
Periksa apa yang berubah dalam DNS dan waktu
Bacalah huruf d dan s untuk setiap tanda tangan dan catat kunci jawaban yang diamati pada pemeriksaan selanjutnya. Kunci asli mungkin telah dihentikan, dicabut, atau diganti sejak dikirimkan. RFC 6376 §6.1.2 verifikasi bergantung pada pengambilan materi verifikasi yang sesuai, sehingga izin historis dapat digunakan bersamaan dengan hasil tanpa kunci di kemudian hari.
Periksa juga nilai x kedaluwarsa tanda tangan dan waktu penanganan pemverifikasi. Alat yang lebih baru dapat mengevaluasi setelah masa berlaku tanda tangan habis. RFC 6376 §6.1.1 mengizinkan verifikasi untuk mengabaikan tanda tangan yang sudah kadaluwarsa; perilaku alat tertentu harus diperiksa, bukan diasumsikan. Jangan melabeli hasil tersebut sebagai bukti bahwa tanda tangan telah habis masa berlakunya ketika penerima pertama kali memprosesnya. Jika jawaban DNS lama tidak tersedia, nyatakan bahwa penghitungan kriptografi historis tidak dapat sepenuhnya direproduksi dari bukti saat ini.
Kerjakan dua contoh yang kontras
Contoh ilustratif satu: penerima laporan lolos begitu saja pemilih old1 pada hari Senin, dan pengirim menghentikan old1 pada hari Jumat. Pemeriksaan ulang pada hari Sabtu melaporkan tidak ada kunci. Hasil selanjutnya tidak menghapus pengamatan terpercaya pada hari Senin, meskipun mereproduksi verifikasi hari Senin secara independen memerlukan masukan sejarah yang relevan.
Contoh ilustrasi dua: file asli yang diterima diverifikasi, sementara salinan yang ditempel gagal setelah footer atau serialisasi MIME berubah. Bandingkan representasi yang tercakup dan titik di mana perubahan terjadi. Masalahnya mungkin terletak pada penanganan sampel, bukan pada tanda tangan asli pengirim. Ini adalah perlengkapan perbandingan, bukan klaim tentang penganalisis atau penyewa sebenarnya.
Laporkan ketidaksepakatan dengan tepat
Buat catatan perbandingan yang berisi hash sampel, metode pengumpulan, waktu observasi, hari dan hari, jawaban kunci, versi pemverifikasi, hasil yang dilaporkan, dan perbedaan kebijakan yang diketahui. Periksa beberapa tanda tangan secara terpisah, karena alat mungkin menyorot tanda tangan yang berbeda. Jaga agar validitas DKIM berbeda dari DMARC penyelarasan dan pengiriman akhir.
Simpulkan hanya apa yang didukung oleh bukti: byte berbeda, DNS yang diubah, validitas yang telah berlalu, tanda tangan yang dipilih berbeda, atau konteks yang belum terselesaikan. Pertahankan ketidakpastian ketika masukan asli hilang. Alat analisa yang lebih baru merupakan bukti diagnostik yang berguna, namun ini bukan mesin waktu dan tidak boleh secara diam-diam menimpa hasil asli penerima yang tepercaya.
Bukti diperlukan untuk keputusan selanjutnya
Gunakan baris perbandingan untuk setiap tanda tangan: hash/waktu sampel asli, hash/waktu sampel selanjutnya, d/s, kunci observasi, x jika ada, alat/versi, operasi (penguraian atau verifikasi laporan), hasil, dan celah yang tersisa. Byte sampel yang identik dengan DNS historis yang tidak tersedia meninggalkan celah status kunci, bukan bukti bahwa salah satu alat tersebut salah. Jika sampel berbeda, bandingkan representasi kanonik yang tercakup sebelum menetapkan hubungan sebab akibat.