Een geldig DKIM -handtekening kan verschijnen in ongewenste of beledigende e-mail. Een aanvaller kan een legitiem ondertekend bericht verkrijgen en dit opnieuw verspreiden zonder de gedekte inhoud te wijzigen. De handtekening kan blijven verifiëren omdat DKIM belooft niet dat elke levering uniek, aangevraagd of goedaardig is.
Begrijp wat de herhaling overleeft
RFC 6376 §8.6 beschrijft replay-misbruik waarbij een bericht ondertekend door een gerenommeerd domein opnieuw naar veel ontvangers wordt verzonden. Een geldige handtekening bepaalt de verantwoordelijkheid van het ondertekenende domein voor de gedekte inhoud onder de regels van DKIM . Het is geen bewijs dat het domein elke volgende levering bedoelde of dat de ontvanger ermee instemde deze te ontvangen.
SMTP envelopontvangers worden niet opgenomen alleen omdat er een zichtbare Aan-header is ondertekend. Bij een herhaling kan de ondertekende koptekst behouden blijven terwijl verschillende envelopontvangers worden gebruikt. Een ondertekende datum of bericht-ID creëert geen cryptografische beperking van één bezorging. Vervaldatum kan een tijdvergelijking beperken, maar is expliciet niet bedoeld als verdediging tegen herhaling RFC 6376 §3.5.
Scheid drie incidenthypothesen
Ten eerste kan een echt ondertekend bericht ongewijzigd opnieuw zijn verspreid. Ten tweede kan een aanvaller een geautoriseerd account of een geautoriseerde applicatie gebruiken om nieuw ondertekende misbruikberichten te verkrijgen. Ten derde kan een privé-ondertekeningssleutel in gevaar zijn gebracht. Deze verklaringen vereisen ander bewijsmateriaal en herstel. Met een DKIM pas alleen zijn ze niet te onderscheiden.
Bewaar onbewerkte voorbeelden van rapporten van vertrouwde ontvangers en vergelijk handtekeningwaarden, ondertekende inhoud, berichtidentificaties, aanmaaktijden en leveringssporen. Identieke handtekeningen en gedekte inhoud in klachten ondersteunen onderzoek naar hergebruik, maar bewijzen niet de oorsprong ervan. Nieuwe handtekeningen over duidelijk beledigende inhoud roepen vragen op over de toegang van ondertekenaars en het accountbeheer. Onderzoek geauthenticeerde indieningslogboeken en sleuteltoegang volgens uw incidentprocedures.
Gebruik een begrensd illustratief geval
In een hypothetische gecontroleerde testspecificatie zou een dienst één bericht ondertekenen en zou een harnas hetzelfde ondertekende bericht afleveren bij twee geautoriseerde testinboxen met verschillende SMTP envelopontvangers. Voor dit artikel is een dergelijke test niet uitgevoerd. Beiden kunnen dezelfde handtekening verifiëren als de gedekte inhoud en andere verificatievoorwaarden geldig blijven. De verwachte uitkomst illustreert waarom handtekeningvaliditeit en uniciteit gescheiden zijn. Het is geen test voor het spamfilteren van providers en mag niet worden uitgebreid tot ongevraagde bezorging.
Reageer op de juiste laag
Voor een misbruikt verzendend account vermeldt u het account- of aanvraagpad en controleert u de indieningsopties. Voor vermoedelijke sleutelblootstelling volgt u de procedures voor sleutelcompromissen en beoordeelt u de impact van de intrekking op de levering. Voor het afspelen van eerder ondertekende inhoud kunt u handtekeninganalyse combineren met signalen over cijfers, reputatie, klachten en berichtpatronen. RFC 6376 §8.6 bespreekt op reputatie gebaseerde deelreacties; geen enkele converteert DKIM naar een complete spamclassificator.
Trek een gedeeld bericht niet in keuzeschakelaar uitsluitend omdat een klacht een geldige handtekening bevat zonder onderzoek. Het verwijderen van de publieke sleutel kan van invloed zijn op legitieme berichten die nog op verificatie wachten en kan mogelijk niet ingaan op de manier waarop misbruik het systeem binnendringt. Omgekeerd: wijs geloofwaardig bewijsmateriaal over belangrijke blootstelling niet af, omdat herhaling mogelijk is.
Rapporteer de zekerheid nauwkeurig
Gebruik afzonderlijke incidentvelden voor het authenticatieresultaat, het vermoedelijke misbruikmechanisme, account- of belangrijk bewijsmateriaal en de impact op de ontvanger. A DMARC pass kan naast replay bestaan als een uitgelijnde handtekening geldig blijft. Authenticatie is nuttig bewijsmateriaal, maar veilige afhandeling hangt nog steeds af van de bredere beoordeling van het ontvangende systeem. Sluit het incident af met een ondersteunde oorzaak en reactie, niet met een algemene verklaring dat geldige DKIM bewijst dat de e-mail onschadelijk is.
Houd hypothesen gescheiden in het incidentrecord
Gebruik de observaties om het volgende onderzoek te kiezen, niet om voortijdig een oorzaak aan te geven:
- Herhaaldelijk dezelfde handtekening en bedekte inhoud: onderzoek sporen van hergebruik en levering; dit bewijst niet alleen wie het heeft herverdeeld.
- Opvallende beledigende berichten die nieuw zijn ondertekend via een account: bekijk de inzending en het bewijs van toegang tot de aanvraag.
- Geloofwaardige geheime onthulling of ongeoorloofde sleuteltoegang: roep de sleutel-compromisreactie op, zelfs als er ook herhaling heeft plaatsgevonden.
Noteer het bewijsmateriaal dat elke hypothese en de resterende onzekerheid ondersteunt. Controleer de impact van legitieme e-mail voordat u een gedeelde selector buiten gebruik stelt; RFC 6376 §8.7 beschrijft die beperking. Er is geen misbruikverkeer of leveringsexperiment uitgevoerd voor dit artikel.