[ Sicurezza dei trasporti ]
Pubblica e ruota i record TLSA senza interrompere la consegna SMTP
Pianifica il rollover TLSA a parametri fissi con prepubblicazione, sovrapposizione con riconoscimento della cache, verifica della flotta e un limite di ripristino prima di rimuovere le vecchie associazioni.
A cura del team di ricerca EmailAuth · 8 minuti di lettura
[ Punti chiave ]
- Identificare se la modifica sostituisce una chiave, un certificato, un trust Anchor o parametri TLSA.
- Per il rollover con parametri fissi, prepubblica le associazioni vecchie e nuove almeno due TTL prima della distribuzione.
- Ritirare le vecchie associazioni solo dopo aver compreso il servizio attivo e le dipendenze di rollback.
[ Porta via ]
Coordina gli operatori DNS e SMTP attorno a una sovrapposizione verificata, quindi distribuisci e ritira in più fasi senza confondere un certificato salvato con un rollback sicuro.
[Per ruolo]
Cosa significa questo per te
Scegli il tuo ruolo per i prossimi passi pratici.
Amministratore IT/Posta
Verificare ogni fase di rollover
Un processo di distribuzione riuscito non dimostra che ogni istanza SMTP presenta la chiave prevista.
Prossimi passi
- Cattura la linea di base sicura e la tupla TLSA completa.
- Prepubblicare il set espanso e registrare i tempi.
- Verifica ogni istanza attiva prima di ritirare i vecchi dati.
CISO/SecOps
Mantenere le prove pubbliche separate dalla custodia delle chiavi
Il piano DNS necessita di associazioni, non di chiavi private.
Prossimi passi
- Esaminare esplicitamente l'utilizzo e le modifiche ai parametri.
- Conserva i record attualmente corrispondenti per ciascuna combinazione pubblicata.
- Tratta la convalida DNSSEC come un cancello indipendente.
Fondatore / Non tecnico
Coordinare la dipendenza dalla manutenzione
Le cache DNS e la distribuzione scaglionata dei server possono sopravvivere a una finestra di manutenzione.
Prossimi passi
- Assegnare sia la pubblicazione che i proprietari SMTP .
- Approvare una sovrapposizione giustificata e un piano di recupero.
- Richiedere prove prima della fase finale del pensionamento.
[ Domande frequenti ]
Domande frequenti
Ogni rinnovo del certificato modifica un record 3 1 1?
No. Tale associazione seleziona la chiave pubblica, quindi il rinnovo utilizzando la stessa chiave può preservarla. Verificare la chiave effettiva anziché presumere che l'automazione la riutilizzi.
Con quanto anticipo dovrebbero essere pubblicate le nuove associazioni a parametri fissi?
RFC 7671 specifica di aumentare il vecchio set di almeno due TTL, o più, prima di distribuire la nuova catena. Conserva l'associazione corrente durante la sovrapposizione.
L'abbassamento del TTL può abbreviare immediatamente i vecchi dati memorizzati nella cache?
No. Le copie già memorizzate nella cache con il TTL precedente necessitano di una considerazione temporale specifica. Registra la pubblicazione effettiva e la cronologia della cache.
Posso pubblicare solo dati futuri con una combinazione di parametri?
Le indicazioni dell'editore richiedono un'associazione attualmente corrispondente per ogni combinazione di utilizzo/selettore/tipo di corrispondenza pubblicata. I record futuri o ritirati non possono essere gli unici per quella combinazione.
Quando è possibile rimuovere le associazioni obsolete?
Dopo che la nuova catena è stata distribuita e verificata e la vecchia associazione non descrive più una dipendenza attiva. Esaminare i requisiti di backup e rollback prima della rimozione.
Il ripristino del vecchio certificato è sempre un rollback sicuro?
No. Alcuni client potrebbero avere un set TLSA solo nuovo memorizzato nella cache dopo il ritiro. Valutare i dati pubblicati correnti e la cronologia della cache prima di ripristinare il server.
Posso applicare la stessa sequenza quando cambio utilizzo o selettore?
Non dare per scontato che sia così. Le transizioni dei parametri richiedono la guida RFC 7671 corrispondente e la revisione della compatibilità, separate dal rollover della chiave a parametro fisso.
Nessun errore TLS-RPT dimostra che il rollover è riuscito?
No. La segnalazione è facoltativa, aggregata e differita. Conserva prove DNS sicure e SMTP autorizzate dirette per la flotta effettiva.
[ Fonti ]
Fonti
- RFC 1035
Sezioni §3.2.1 Formato · §3.3.13 Formato SOA RDATA
- RFC 8460
Sezioni §3. Politica di reporting · §4.1 Intervallo temporale del report · §4.3 Tipi di risultati · §5.2 Compressione · §5.3 Trasporto e-mail · §5.4 Trasporto HTTPS · §5.5 Nuovo tentativo di consegna · §5.6 Variazioni dei metadati · §7. Considerazioni sulla sicurezza
- RFC 7672
Sezioni §2.1 Considerazioni DNS · §2.2 Rilevamento TLS · §2.2.1 Risoluzione MX · §2.2.3 Ricerca di record TLSA · §3.1 Utilizzo dei certificati TLSA · §3.2 Corrispondenza dei certificati · §4. Gestione delle chiavi del server
- RFC 7671
Sezioni §6. Sincronizzazione tra fornitore di servizi e editore TLSA · §7. Dominio di base TLSA e CNAME · §8. Requisiti dell'editore TLSA · §8.1 Rollover chiave con parametri TLSA fissi · §8.3 Passaggio a nuovi parametri TLSA
- RFC 6698
Sezioni §2.1 Formato cavo TLSA RDATA · §3. Nomi di dominio per associazioni di certificati TLSA
[ Glossario ]
Glossario
- Prepubblicazione
- Pubblicazione delle associazioni per una chiave futura preservando le associazioni attuali prima di cambiare servizio.
- Sovrapposizione di associazioni
- Un set TLSA che supporta il materiale chiave attuale e transitorio richiesto.
- Parametri fissi
- Utilizzo del certificato, selettore e combinazioni di tipi di corrispondenza invariati durante un rollover della chiave.
- Confine di rollback
- Il punto in cui i nuovi dati pubblicati e memorizzati nella cache possono rendere pericoloso il ritorno alla vecchia chiave del server senza ulteriore coordinamento.
Provenienza aziendale
Perché le principali istituzioni finanziarie e i governi hanno ritirato le dashboard di sicurezza della posta elettronica.
Le tradizionali piattaforme di autenticazione e-mail ti vendono una dashboard e chiedono ai tuoi ingegneri di fare il lavoro. Negli ambienti ad alto rischio, la supervisione manuale comporta un’applicazione ritardata, deviazioni della configurazione e domini ombra non monitorati.
EmailAuth è la piattaforma di provenienza della posta elettronica degli agenti. I nostri agenti applicano p=reject, mantieni allineati i mittenti di terze parti e sposta i tuoi domini al massimo RFC 9989 conformità, il nuovo standard DMARC , con verificabilità human-in-the-loop.
SaaS · Locazione dedicata · Air-gapped on-premise · Crittografia BYOK