[ Transportbeveiliging ]

Publiceer en roteer TLSA-records zonder SMTP levering te onderbreken

Plan TLSA-rollover met vaste parameters met prepublicatie, cachebewuste overlap, vlootverificatie en een herstelgrens voordat u oude associaties verwijdert.

Door het EmailAuth -onderzoeksteam · 8 minuten lezen

[ Kernpunten ]

  • Bepaal of de wijziging een sleutel, certificaat, vertrouwensanker of TLSA-parameters vervangt.
  • Voor rollover met vaste parameters publiceert u oude en nieuwe koppelingen ten minste twee TTL's vóór de implementatie.
  • Oude koppelingen pas buiten gebruik stellen nadat de actieve service- en rollback-afhankelijkheden zijn begrepen.
Op deze pagina
  1. Belangrijkste punten
  2. Afhaalmaaltijden
  3. Per rol
  4. Veelgestelde vragen
  5. Bronnen
  6. Glossarium
  7. Gerelateerde handleidingen

[ Afhaalmaaltijden ]

Coördineer DNS en SMTP operators rond een geverifieerde overlap en implementeer en stop vervolgens in fasen zonder een opgeslagen certificaat te verwarren met een veilige rollback.

[ Per rol ]

Wat dit voor jou betekent

Kies jouw rol voor praktische vervolgstappen.

IT/Mailbeheerder

Controleer elke rollover-fase

Een succesvolle implementatietaak bewijst niet dat elk SMTP exemplaar de beoogde sleutel presenteert.

Volgende stappen

  1. Leg de veilige basislijn en het volledige TLSA-tuple vast.
  2. Publiceer de uitgebreide set en de opnametiming vooraf.
  3. Verifieer elk actief exemplaar voordat u oude gegevens buiten gebruik stelt.

CISO / SecOps

Houd openbaar bewijs gescheiden van de sleutelbewaring

Het DNS abonnement heeft koppelingen nodig, geen privésleutels.

Volgende stappen

  1. Controleer gebruiks- en parameterwijzigingen expliciet.
  2. Houd momenteel overeenkomende records bij voor elke gepubliceerde combinatie.
  3. Beschouw DNSSEC validatie als een onafhankelijke poort.

Oprichter / Niet-technisch

Coördineer de onderhoudsafhankelijkheid

DNS caches en gespreide serverimplementatie kunnen een onderhoudsperiode overleven.

Volgende stappen

  1. Wijs zowel publicatie- als SMTP eigenaren toe.
  2. Keur een gerechtvaardigd overlap- en herstelplan goed.
  3. Vereist bewijs vóór de laatste pensioenstap.

[ Veelgestelde vragen ]

Veelgestelde vragen

Verandert elke certificaatvernieuwing een 3 1 1-record?

Nee. Die vereniging selecteert de openbare sleutel, dus bij verlenging met dezelfde sleutel kan deze behouden blijven. Verifieer de daadwerkelijke sleutel in plaats van aan te nemen dat de automatisering deze opnieuw gebruikt.

RFC 7672

Hoe vroeg moeten nieuwe associaties met vaste parameters worden gepubliceerd?

RFC 7671 specificeert dat de oude set minimaal twee TTL's of langer moet worden uitgebreid voordat de nieuwe keten wordt geïmplementeerd. Behoud de huidige koppeling tijdens overlap.

RFC 7671

Kan het verlagen van TTL oude gegevens in de cache onmiddellijk inkorten?

Nee. Kopieën die al onder de vorige TTL in de cache zijn opgeslagen, hebben hun eigen timingoverwegingen nodig. Leg de daadwerkelijke publicatie- en cachegeschiedenis vast.

RFC 1035

Kan ik alleen toekomstige gegevens onder één parametercombinatie publiceren?

De richtlijnen voor uitgevers vereisen een momenteel overeenkomende koppeling voor elke gepubliceerde combinatie van gebruik/selector/overeenkomend type. Toekomstige of gepensioneerde records kunnen niet de enige zijn voor die combinatie.

RFC 7671

Wanneer kunnen verouderde associaties worden verwijderd?

Nadat de nieuwe keten is geïmplementeerd en geverifieerd en de oude associatie niet langer een actieve afhankelijkheid beschrijft. Controleer back-ups en terugdraaivereisten voordat u ze verwijdert.

RFC 7671

Is het herstellen van het oude certificaat altijd een veilige rollback?

Nee. Bij sommige clients is na buitengebruikstelling mogelijk een TLSA-set die alleen nieuw is in de cache opgeslagen. Beoordeel de huidige gepubliceerde gegevens en cachegeschiedenis voordat u de server terugzet.

RFC 7671

Kan ik dezelfde volgorde toepassen bij het wijzigen van gebruik of selector?

Neem dat niet aan. Voor parameterovergangen zijn de overeenkomstige RFC 7671 richtlijnen en compatibiliteitsbeoordeling vereist, los van de sleutel-rollover met vaste parameters.

RFC 7671

Bewijst geen enkele TLS-RPT fout dat de rollover is geslaagd?

Nee. Rapportage is optioneel, geaggregeerd en vertraagd. Bewaar direct geautoriseerd beveiligd DNS- en SMTP -bewijs voor de daadwerkelijke vloot.

RFC 8460

[ Bronnen ]

Bronnen

  1. RFC 1035

    Secties §3.2.1 Formaat · §3.3.13 SOA RDATA-formaat

  2. RFC 8460

    Secties §3. Rapportagebeleid · §4.1 Rapporttijdsbestek · §4.3 Resultaattypen · §5.2 Compressie · §5.3 E-mailtransport · §5.4 HTTPS-transport · §5.5 Levering opnieuw proberen · §5.6 Varianties metagegevens · §7. Beveiligingsoverwegingen

  3. RFC 7672

    Secties §2.1 DNS overwegingen · §2.2 TLS -detectie · §2.2.1 MX resolutie · §2.2.3 Zoeken naar TLSA-records · §3.1 Gebruik van TLSA-certificaten · §3.2 Certificaatmatching · §4. Beheer van serversleutels

  4. RFC 7671

    Secties §6. Synchronisatie van serviceprovider en TLSA-uitgever · §7. TLSA-basisdomein en CNAME's · §8. Vereisten voor TLSA-uitgevers · §8.1 Key Rollover met vaste TLSA-parameters · §8.3 Overschakelen naar nieuwe TLSA-parameters

  5. RFC 6698

    Secties §2.1 TLSA RDATA-draadformaat · §3. Domeinnamen voor TLSA-certificaatassociaties

[ Glossarium ]

Glossarium

Voorpublicatie
Koppelingen publiceren voor een toekomstige sleutel met behoud van de huidige koppelingen voordat u van service wisselt.

RFC 7671

Associatie overlapt
Een TLSA-set die het vereiste huidige en transitionele sleutelmateriaal ondersteunt.

RFC 7671

Vaste parameters
Ongewijzigd certificaatgebruik, selector en matching-type combinaties tijdens een sleutelrollover.

RFC 7671

Grens terugdraaien
Het punt waarop gepubliceerde en in de cache opgeslagen nieuwe gegevens zonder verdere coördinatie een terugkeer naar de oude serversleutel onveilig kunnen maken.

Herkomst onderneming

Waarom top financiële instellingen en overheden hebben hun e-mailbeveiligingsdashboards stopgezet.

Traditionele platforms voor e-mailauthenticatie verkopen u een dashboard en vragen uw technici om het werk te doen. In omgevingen waar veel op het spel staat, betekent handmatig toezicht vertraagde handhaving, configuratieafwijking en niet-gecontroleerde schaduwdomeinen.

EmailAuth is het agentische e-mailherkomstplatform. Onze agenten handhaven p=reject, houd externe afzenders op één lijn en verplaats uw domeinen naar vol RFC 9989 compliance, de nieuwe DMARC standaard, met 'human-in-the-loop'-auditeerbaarheid.

Regeringen Grote ondernemingen Tier-1 financiële instellingen

SaaS · Toegewijde huur · Air-gapped on-premise · BYOK-encryptie

Kennisbank