ヘッダー アナライザーは、観測結果が捏造されていなくても、元の受信機と一致しない可能性があります。異なるメッセージ バイト、異なるDNSキー状態、または異なる検証ポリシーを異なる時点で評価した可能性があります。不一致が何を意味するかを判断する前に、元の証拠を保存し、条件を比較してください。
表示される履歴結果と新たな暗号検証は別の操作です。いくつかのツールは要約します Authentication-Results すでにサンプルに存在しています。他の人はキーを取得し、現在のサンプルを検証します。アナライザーの出力と受信システムの結果を比較する前に、アナライザーが実行する操作を確立します。
原本を保存し、境界を特定する
メッセージ表現を保持する方法を使用して、生のメッセージをエクスポートします。未編集のオリジナルを保持し、後で比較できるようにファイル ハッシュを計算します。収集方法、配信時間、送信元メールボックスを記録します。ファイル ハッシュにより、エクスポートされた 2 つのファイルが異なることがわかります。それ自体では、どの違いが重要であるかを説明しません DKIM.
受信者が生成したAuthentication-Resultsとその信頼できる authserv-id を特定します。信頼できない送信者によって提供されたヘッダーは、信頼できる受信者の証拠ではありません。 RFC 8601 §7.1 この信頼境界について説明します。また、後のゲートウェイまたはエクスポート プロセスによってメッセージが変更される前に、受信者がメッセージを評価したかどうかも判断します。
アナライザーの実際の入力を比較する
通常のフルボディ署名の場合、コピーされたヘッダー ブロックでは、 DKIMを再計算するために必要なボディが省略されます。 ボディハッシュ。特殊なケースl=0ゼロボディオクテットをハッシュし、ボディ整合性保護を提供しません。ヘッダー、キー、その他の検証チェックが免除されるわけではありません。見る RFC 6376 §3.5, §3.7 そして §5.4.1。テキストを貼り付けると、折り目や行末が変更される場合もあります。アナライザーに完全なメッセージが欠けている場合、アナライザーは署名全体を個別に検証するのではなく、報告された結果を解釈している可能性があります。そのインターフェイスのラベルだけではその疑問は解決されません。
入手可能な場合は完全なサンプルを比較してください。 DKIM 正規化 で RFC 6376 §3.4 レンダリングされたコンテンツの任意の等価性ではなく、指定された変換を許容します。一部のバイト変更は正規化される可能性があるため、ファイル ハッシュが異なることが自動的にDKIM障害を意味するわけではありません。同一のファイル ハッシュは、同一の提供されたバイトのみを確立し、同一のDNSまたはポリシー コンテキストを確立しません。
DNSと時間を変更した内容を確認する
各署名の d と s を読み取り、後のチェック中に観察された主要な回答を記録します。元のキーは、納品後に廃止、失効、または交換された可能性があります。 RFC 6376 §6.1.2 検証は適切な検証マテリアルの取得に依存しているため、履歴パスは後のキーなしの結果と共存できます。
また、署名の有効期限 x 値と検証者の時間処理も検査します。新しいツールは、署名の有効期限が切れた後に評価される可能性があります。 RFC 6376 §6.1.1 検証者が期限切れの署名を無視できるようにします。特定のツールの動作を想定するのではなく、確認する必要があります。その結果を、受信者が最初に署名を処理したときに署名の有効期限が切れていたという証拠としてラベル付けしないでください。古いDNS回答が入手できない場合は、過去の暗号計算を現在の証拠から完全に再現できないことを述べてください。
2 つの対照的な例を取り上げます
例示的な例 1: 受信者のレポートは次のように渡されます。 セレクタ old1 は月曜日に、送信者は金曜日に old1 を引退します。土曜日の再検査ではキーがないと報告されました。この後の結果は月曜日の信頼できる観察を消去するものではありませんが、月曜日の検証を独立して再現するには関連する歴史的入力が必要です。
例 2: 受信した元のファイルは検証されますが、フッターまたはMIMEシリアル化が変更された後、貼り付けられたコピーは失敗します。カバーされた表現と変更が発生したポイントを比較します。問題は、送信者の元の署名ではなく、サンプルの処理にある可能性があります。これらは比較対象であり、実際のアナライザーやテナントに関する主張ではありません。
意見の相違を正確に報告する
サンプル ハッシュ、収集方法、観察時間、d と s、主要な回答、検証者のバージョン、報告された結果、および既知のポリシーの違いを含む比較レコードを作成します。ツールでは異なる署名が強調表示される場合があるため、複数の署名を個別に検査します。 DKIM有効性を区別する DMARC アライメント そして最終納品。
証拠がサポートするもののみを結論付けてください: 異なるバイト、変更されたDNS 、有効期限の経過、選択された異なる署名、または未解決のコンテキスト。元の入力が欠落している場合でも不確実性を維持します。新しいアナライザーは有用な診断証拠ですが、タイムマシンではないため、信頼できる元の受信者の結果を黙って上書きすべきではありません。
次の決断に必要な証拠
各署名の比較行を使用します: 元のサンプルのハッシュ/時間、後のサンプルのハッシュ/時間、d/s、観察されたキー、x (存在する場合)、ツール/バージョン、操作 (レポートの解析または検証)、結果、および残りのギャップ。履歴DNSが利用できない同一のサンプル バイトでは、キーと状態のギャップが残りますが、いずれかのツールが間違っているという証拠にはなりません。サンプルが異なる場合は、因果関係を割り当てる前に、対象となる正規表現を比較します。