A DKIM body-hash 실패는 검증자가 본문 해시 서명의 관련 규칙을 적용한 후 서명에 포함됩니다. 어떤 시스템이 메시지를 변경했는지 식별할 수 없으며 공개 키 누락과 동일한 진단도 아닙니다.
원래 수신된 메시지를 보존하는 것부터 시작하세요. 메일 클라이언트에서 표시되는 텍스트를 복사하면 확인에 중요한 MIME 구조, 인코딩 및 기타 바이트가 손실됩니다.
정확한 실패 확인
신뢰할 수 있는 수신자의 결과와 평가 중인 서명을 검사합니다. 메시지는 둘 이상을 가질 수 있습니다 DKIM 서명, 각각은 서로 다른 서명 도메인이나 결과를 가질 수 있습니다.
d=, s=, 알고리즘, 기록을 기록합니다. c= 정규화 설정 및 l= 본문 길이 태그. 정확한 확인 사유를 유지하세요. 키 조회 시간 초과, 지원되지 않는 알고리즘, 헤더 서명 불일치 및 본문 해시 불일치로 인해 다양한 조사가 필요합니다.
~ 안에 RFC 6376 §3.5, bh= 값은 정의된 길이 처리에 따라 정규화된 본문의 인코딩된 해시입니다. b= 값은 서명 계산에 속합니다. 이를 상호 교환 가능한 것으로 취급하면 어떤 검사가 실패했는지 모호해집니다.
결과를 재현할 수 있는 증거 보존
승인된 내보내기 경로를 통해 원시 메시지를 저장하고 해당 내용에 따라 액세스를 제한합니다. 조사 프로세스에서 지원하는 경우 해시 및 수집 시간과 함께 수신된 원본을 그대로 유지합니다.
분석 복사본을 별도로 생성합니다. 주소를 수정하거나, 첨부 파일을 변경하거나, 재구성된 메시지를 저장하면 확인과 관련된 자료가 변경될 수 있습니다. 안전한 공유 사본은 유용할 수 있지만 보존된 원본과 자동으로 동등하지는 않습니다.
검증 출력의 소스를 기록하십시오. 가져올 때 줄 끝을 정규화하는 도구는 수신 서버와 동일한 바이트를 평가하지 않을 수 있습니다. 두 도구가 동의하지 않는 경우 먼저 입력 및 지원되는 동작을 설정합니다.
가능한 수정자 전후의 메시지를 비교하세요.
게이트웨이, 릴레이, 메일링 리스트 및 수신 서비스를 통해 보낸 사람의 실제 경로를 매핑합니다. 의심되는 변형 직전과 직후에 통제된 캡처를 찾으십시오.
일반적인 조사 대상에는 서명 후 삽입된 바닥글, URL 재작성, MIME 재인코딩, 첨부 파일 처리 및 잘못된 형식의 콘텐츠 복구가 포함됩니다. 이는 증거가 적절한 변화를 가져올 때까지의 가설입니다.
동일한 경로를 따르고 의심되는 기능을 실행하는 통제된 테스트를 사용하십시오. 예를 들어, 게이트웨이의 바닥글 규칙이 있는 메시지와 없는 메시지를 비교해 보세요. 프로덕션 게이트웨이를 우회하는 직접 테스트를 일반화하지 마세요.
종합적인 경우 보낸 사람의 저장된 출력은 성공적으로 확인되지만 고지 사항 게이트웨이 이후에 캡처된 메시지에는 본문-해시 불일치가 있습니다. 게이트웨이는 발신자가 서명한 후 바닥글을 추가합니다. 명시된 가상 관찰에 따르면 이는 DKIM 공개 키를 교체해야 하는 이유가 아니라 해결해야 할 구성 종속성을 식별합니다.
표준화가 허용되는 범위 이해
DKIM 의 표준화 규칙 특정 정규화를 허용합니다. 임의의 콘텐츠 편집을 안전하게 만들지는 않습니다. 편안한 본문 정규화에서는 서명 후 링크를 다시 작성하거나 단락을 추가하는 권한이 없습니다.
서명에 지정된 알고리즘을 검사하고 이를 올바르게 구현하는 검증기를 사용합니다. 시각적으로 동일한 렌더링으로 진단하지 마십시오. 표시된 두 개의 메시지에는 서로 다른 서명된 옥텟이 포함될 수 있습니다.
아래에 RFC 6376 §3.5, l= 값은 정의된 계산에 포함되는 정규화된 본문 옥텟을 제한합니다. 이는 게이트웨이 수정에 대한 일반적인 수정 사항이 아니며 의도적으로 콘텐츠를 보호 외부에 남겨두면 보안 평가가 변경됩니다. 증상을 억제하기 위해 길이 제한을 추가하는 대신 지원되는 구성을 사용하고 의미를 검토하십시오.
수정 경로를 수정한 후 정렬을 재평가하세요.
조직이 경로를 제어하는 경우 최종 적절한 서명 단계 전에 필요한 수정 사항을 준비하십시오. 서비스가 메일에 다시 서명하는 경우 새 서명 ID와 그것이 증명하는 내용을 확인하세요. 관련 없는 중개자로부터 전달된 서명은 원래 표시되는 보낸 사람 도메인과 자동으로 일치하지 않습니다. RFC 9989 §4.4.1 정렬하려면 인증된 서명 ID가 필요합니다.
보낸 사람의 통제를 벗어난 합법적인 간접 경로의 경우 해당 상호 운용성 지침을 평가하세요. 하나의 테스트가 실패했다는 이유만으로 보안 처리를 비활성화하거나 도메인 정책을 약화시키지 마십시오.
영향을 받은 비즈니스 워크플로를 반복하고 전후 증거를 유지합니다. 그런 다음 사용 DMARC 정렬 진단 통과 정렬 경로가 남아 있는지 확인합니다. 해당 변환과 그 효과가 이해되고 의도된 경로가 확인되면 사건은 종결됩니다.
다음 진단 단계를 선택하세요
제안된 결정 순서를 사용하세요. 실행된 테스트를 기록하지 않습니다.
- 사용 가능한 키 또는 키 쿼리 시간 초과 없음: 아래의 조회 결과를 따릅니다. RFC 6376 §6.1.2 바닥글을 진단하는 것보다
- 다시 계산된 본문 해시가 bh와 다릅니다. 본문 표현, 실제 c/l 설정 및 기록된 bh 값을 아래에서 비교합니다. RFC 6376 §6.1.3. 손상되거나 잘못 생성된 bh 또는 서명자/검증자 구현 오류도 원인일 수 있습니다. 불일치만으로는 신체 변형을 증명할 수 없습니다.
- 본문 해시가 일치하지만 서명이 실패합니다. 서명된 헤더, 서명 계산 및 키-서명자 관계를 검사합니다. bh와 일치하는 것만으로는 DKIM 패스가 아닙니다.
- 여러 서명이 동의하지 않습니다. 통과 정렬 경로가 남아 있는지 여부를 결정하기 전에 각 결과를 자체 d 및 s에 연결해 둡니다.