En gyldig DKIM signatur kan vises på uønsket eller fornærmende e-post. En angriper kan få en lovlig signert melding og distribuere den på nytt uten å endre det dekkede innholdet. Signaturen kan fortsette å bekrefte fordi DKIM lover ikke at hver levering er unik, etterspurt eller godartet.
Forstå hva som overlever replay
RFC 6376 §8.6 beskriver gjentakelsesmisbruk der en melding signert av et anerkjent domene sendes på nytt til mange mottakere. En gyldig signatur fastslår signeringsdomenets ansvar for dekket innhold i henhold til DKIM regler. Det er ikke bevis på at domenet hadde til hensikt hver påfølgende levering eller at mottakeren samtykket til å motta den.
SMTP -konvoluttmottakere er ikke inkludert bare fordi en synlig Til-overskrift er signert. En reprise kan beholde den signerte overskriften mens du bruker forskjellige konvoluttmottakere. En signert dato eller meldings-ID skaper ikke en kryptografisk restriksjon for én levering. Utløp kan begrense en tidssammenligning, men er eksplisitt ikke ment som et anti-replay forsvar i RFC 6376 §3.5.
Skill tre hendelseshypoteser
For det første kan en ekte signert melding ha blitt omfordelt uendret. For det andre kan en angriper bruke en autorisert konto eller applikasjon for å få nylig signert misbruksmeldinger. For det tredje kan en privat signeringsnøkkel ha blitt kompromittert. Disse forklaringene krever ulike bevis og utbedring. Et DKIM pass alene kan ikke skille dem.
Ta vare på råprøver fra pålitelige mottakerrapporter og sammenlign signaturverdier, signert innhold, meldingsidentifikatorer, opprettelsestider og leveringsspor. Identiske signaturer og dekket innhold på tvers av klager støtter etterforskning av gjenbruk, men beviser ikke opprinnelsen. Nye signaturer over distinkt støtende innhold reiser spørsmål om signertilgang og kontokontroll. Undersøk autentiserte innsendingslogger og nøkkeltilgang under hendelsesprosedyrene dine.
Bruk en avgrenset illustrativ kasus
I en hypotetisk kontrollert testspesifikasjon vil en tjeneste signere én melding og en sele vil levere den samme signerte meldingen til to autoriserte testinnbokser med forskjellige SMTP -konvoluttmottakere. Ingen slik test ble utført for denne artikkelen. Begge kan bekrefte den samme signaturen hvis dekket innhold og andre bekreftelsesbetingelser fortsatt er gyldige. Det forventede resultatet illustrerer hvorfor signaturgyldighet og unikhet er atskilt. Det er ikke en test av leverandørens spamfiltrering og bør ikke utvides til uønsket levering.
Svar på høyre lag
For en misbrukt avsenderkonto må du inneholde kontoen eller søknadsbanen og gjennomgå innsendingskontrollene. For mistenkt nøkkeleksponering, følg nøkkelkompromissprosedyrer og vurder leveringseffekten av tilbakekalling. For avspilling av tidligere signert innhold, kombiner signaturanalyse med frekvens, omdømme, klager og meldingsmønstersignaler. RFC 6376 §8.6 diskuterer omdømmebaserte delsvar; ingen konverterer DKIM til en komplett spamklassifiserer.
Ikke tilbakekall en delt velger utelukkende fordi en klage inneholder en gyldig signatur uten å undersøke. Fjerning av den offentlige nøkkelen kan påvirke legitime meldinger som fortsatt venter på bekreftelse og kan ikke adressere hvordan misbruk kom inn i systemet. Omvendt, ikke avvis troverdig nøkkeleksponeringsbevis fordi gjenspilling er mulig.
Rapporter sikkerhet nøyaktig
Bruk separate hendelsesfelt for autentiseringsresultat, mistenkt misbruksmekanisme, konto eller nøkkelbevis og mottakerpåvirkning. EN DMARC pass kan eksistere samtidig med replay når en justert signatur forblir gyldig. Autentisering er nyttig bevis, men sikker håndtering avhenger fortsatt av mottakersystemets bredere vurdering. Lukk hendelsen med en støttet årsak og svar, ikke med en generell erklæring om at gyldig DKIM beviser at e-posten er ufarlig.
Hold hypoteser atskilt i hendelsesprotokollen
Bruk observasjonene til å velge neste undersøkelse, ikke for å erklære en årsak for tidlig:
- Samme signatur og dekket innhold sett gjentatte ganger: undersøk gjenbruk og leveringsspor; dette beviser ikke alene hvem som har omfordelt den.
- Distinkte støtende meldinger som nylig er signert via en konto: gjennomgå innsending og bevis for søknadstilgang.
- Troverdig hemmelig eksponering eller uautorisert nøkkeltilgang: påkall nøkkelkompromitteringssvaret, selv om avspilling også skjedde.
Registrer bevisene som støtter hver hypotese og den gjenværende usikkerheten. Sjekk effekten av legitim e-post før du trekker tilbake en delt velger; RFC 6376 §8.7 beskriver den begrensningen. Ingen misbrukstrafikk eller leveringseksperimenter ble utført for denne artikkelen.