A DKIM 개인 키는 일치하는 공개 기록에 대해 확인할 수 있는 서명을 생성하는 권한입니다. DNS 레코드만 보호한다고 해서 해당 권한이 보호되는 것은 아닙니다. 키를 결정하기 전에 서명 시스템, 이를 사용할 수 있는 계정 및 비밀의 모든 운영 복사본에 대한 목록을 작성하세요.
양육권을 가정하기보다는 확인하십시오.
실제 공급자 또는 서명 소프트웨어로 시작하십시오. 관리형 서비스는 키를 생성하고 보관할 수 있습니다. 자체 운영 서명자는 파일, 비밀 저장소 또는 지원되는 하드웨어 지원 인터페이스를 읽을 수 있습니다. 이러한 모델에는 서로 다른 액세스 및 복구 제어 기능이 있습니다. 선택한 제품이 이를 문서화하고 구현하지 않는 한 하드웨어 보호, 수출 불가 또는 고객 관리 순환을 약속하지 마십시오.
RFC 6376 §8.3 개인 키 손상의 결과를 설명합니다. 침입자는 해당 공개 키를 게시하는 도메인에서 서명한 메일을 만들 수 있습니다. 또한 제출자를 인증하고 전송 제어를 적용하는 제어된 발신 메일 서버의 가치에 대해서도 설명합니다. 아래의 특정 저장 및 검토 단계는 일반적인 DKIM 프로토콜 요구 사항이 아닌 운영 권장 사항입니다.
숨겨진 복사본을 노출하는 보관 맵 구축
각각에 대해 선택자, 서명 도메인, 서비스 소유자, 주요 관리자, 활성 서명 노드, 배포 경로 및 지원되는 복구 메커니즘을 기록합니다. 비밀 자체가 아닌 비밀의 참조 또는 식별자를 추적하세요. 조직의 승인된 비밀 처리 프로세스를 통해 구성 리포지토리, 컨테이너 빌드 단계, 임시 배포 파일, 백업 및 의도하지 않은 복사본에 대한 진단 번들을 검토합니다.
종합적인 예로는 두 개의 서명 노드와 하나의 배포 작업이 있는 청구 클러스터가 있습니다. DNS 키는 공개되어 있고 예상됩니다. 개인 키는 두 개의 노드에만 도달하도록 되어 있지만 이전 빌드 파이프라인은 관련 없는 프로젝트에 액세스할 수 있는 이미지에도 이를 포함합니다. 현재 노드 파일 권한을 보호해도 이전 노출은 제거되지 않습니다. 유포경로를 조사하고, 사고처리 과정에 따라 노출될 가능성이 있는 비밀을 처리합니다.
공개 DNS 필드, 티켓, 채팅 또는 공개 DKIM 검사기에 개인 키를 붙여넣지 마세요. 지원에 증거가 필요한 경우 공개 선택자 정보와 적절하게 통제된 진단 결과를 제공하십시오. 원시 메시지에는 민감한 콘텐츠도 포함될 수 있습니다. 공유되는 내용을 최소화하고 승인된 채널을 사용하세요.
서명할 수 있는 사람과 비밀을 검색할 수 있는 사람을 줄입니다.
관리 및 런타임 액세스 모두에 대해 플랫폼에서 지원되는 최소 권한 제어를 사용하십시오. 서명을 요청할 수 있는 계정은 키를 내보낼 수 없더라도 강력할 수 있습니다. 허용된 전송 ID를 변경하고, 메일을 제출하고, 키를 순환하고, 서명자 구성을 배포하고, 백업을 검색할 수 있는 사람을 검토하세요.
아키텍처가 독립 키와 선택기를 지원하는 경우 소유자 또는 신뢰 수준이 다른 별도의 서비스입니다. 하나의 키를 모든 애플리케이션에 복사하면 사고 범위를 파악하기가 더 어려워지고 폐기가 더 혼란스러워집니다. 고가용성은 합법적으로 공유 서명 ID를 요구할 수 있지만 이는 구성 파일 복사로 인한 우발적인 결과가 아니라 배포가 통제된 명시적 설계여야 합니다.
비밀을 배포하지 않고 복구 테스트
보호된 키를 복원하거나, 대체 키를 생성하거나, 공급자가 관리하는 복구 경로를 사용하여 중단이 복구되는지 물어보세요. 통제된 환경에서 지원되는 절차를 테스트합니다. 복구 시간, DNS 종속성 및 대기 중인 메일이 여전히 이전 선택기를 사용하는지 여부를 기록합니다. 단지 훈련을 더 쉽게 하기 위해 보호되지 않은 추가 백업 복사본을 생성하지 마십시오.
서명 플랫폼 및 비밀 관리 시스템에서 제공되는 로그 및 액세스 이벤트를 검토하세요. 유용한 질문은 특정 대시보드가 존재하는지 여부가 아니라 무단 변경이나 사용을 감지하고 조사할 수 있는지 여부입니다. 감사 추적을 고안하는 대신 로깅 격차를 문서화하세요.
실행 가능한 수명 주기 기록으로 마무리
교체 및 타협 절차 옆에 보관 지도를 보관하십시오. 직원이나 공급업체가 떠날 때 더 이상 사용되지 않는 액세스 권한을 제거하고 인프라 변경 후 배포를 다시 확인하십시오. 노출이 의심되는 동안 액세스 억제, 완전한 교체 및 이전 키 폐기에 대한 확인 결과를 조정합니다. 보호된 현재 파일은 제어된 서명 수명 주기의 일부일 뿐입니다.
양육권 결정 워크시트 사용
각 서명 ID에 대해 다음과 같은 비밀이 아닌 필드를 기록합니다.
- 사용: 서명을 제출하거나 요청할 수 있는 서비스 계정 및 사용할 수 있는 ID.
- 검색: 개인 키를 내보내거나 복원할 수 있는 역할과 승인된 복사본이 있는 위치.
- 변경: 서명자 구성, 허용된 ID 또는 배포 아티팩트를 변경할 수 있는 사람입니다.
- 복구: 지원되는 경로가 보호된 키를 복원하는지 아니면 DNS 및 대기 메일 종속성을 사용하여 대체 키를 생성하는지 여부입니다.
- 증거: 사용 가능한 액세스/서명 로그, 적용 범위 공백 및 검토 책임이 있는 소유자.
이전 빌드 아티팩트에 노출된 키가 포함된 경우 라이브 노드만 보호하는 것만으로는 충분하지 않습니다. 이전 노출 범위를 지정하고 사고 절차에 따라 완전한 교체를 결정합니다. 이 워크시트는 편집 보안 지침이지 특정 플랫폼이 이러한 제어 기능을 제공한다는 주장이 아닙니다.
관련 독서
DKIM 키를 취소하고 누락된 DNS 레코드와 취소를 구별합니다. · DKIM 키 길이 및 알고리즘: 현재 수신기 지원을 확인하세요..