DKIM, S/MIME och OpenPGP kan alla involvera digitala signaturer, men de gör inte samma påstående. Börja med det skydd du behöver: domänansvar, integritet hos en signerad meddelandeenhet, konfidentialitet för en mottagare eller förtroende för en viss nyckelinnehavare. Ingen etikett ensam bekräftar att en betalningsbegäran är godkänd.
Följ en meddelandeväg
Föreställ dig en författare som skriver ett meddelande, en sändande server som använder DKIM , en gateway som lägger till en sidfot och en mottagare som öppnar resultatet. DKIM kopplar valda rubriker och den kanoniserade kroppen till en signeringsdomän. Mottagaren använder väljare och domän för att hitta den publika nyckeln i DNS . Den krypterar inte innehållet. En sidfotsändring kan bryta body hash, beroende på undertecknad omfattning och bearbetning. RFC 6376.
S/MIME fungerar på MIME -meddelandeenheter med certifikatbaserad kryptografi. Signering och kryptering är distinkta operationer: ett meddelande endast undertecknat är inte konfidentiellt. Mottagaren måste validera relevant certifikat och identitet som är bindande enligt dess förtroendepolicy. Kryptering till ett mottagarcertifikat skyddar den krypterade enheten för motsvarande privata nyckelinnehavare; den döljer inte varje yttre routingfält. RFC 8551.
OpenPGP definierar nyckel-, signatur- och krypterade dataformat. En giltig signatur bevisar ett förhållande till en nyckel, medan användarens förtroende för att nyckeln tillhör den avsedda korrespondenten beror på en verifierad bindande och lokala förtroendebeslut. Kryptering och signering är återigen separata. E-postpaketering och klientinteroperabilitet behöver sina egna implementeringskontroller. RFC 9580.
Jämför hot utan att kollapsa identiteter
För en förfalskad avsändarsökväg på domännivå bidrar DKIM med domänautentisering och kan tillhandahålla en anpassad DMARC väg. För en mellanhand som ändrar signerat innehåll kan en tillämplig S/MIME eller OpenPGP-signatur avslöja modifiering när den verifieras korrekt. För en passiv part som läser meddelandeinnehåll adresserar lämplig kryptering konfidentialitet; en signatur ensam gör det inte.
Inget av dessa påståenden betyder att endpointen är säker. En komprometterad privat nyckel eller ett auktoriserat konto kan producera kryptografiskt giltigt material. Inte heller någon signatur gör en faktura korrekt. Nyckellivscykel, mottagarvalidering och oberoende affärsgodkännande är fortfarande nödvändiga.
Använd en avgränsad kontrollmatris
Följande dokumentär jämförelse ger de fem valen direkt. Den beskriver avsett skydd när det är korrekt implementerat, inte verifierad interoperabilitet.
- DKIM : valda rubriker och kanoniserad kropp associerad med en signeringsdomän; ingen sekretess. En sidfot som ändrar täckta kanoniserade bytes kan ogiltigförklara signaturen.
- Endast signerad S/MIME : signerad MIME entitet associerad med en validerad certifikatnyckel; ingen sekretess. En ändrad signerad enhet kan misslyckas med verifiering, medan en yttre modifiering kräver omfattningsinspektion.
- Krypterad S/MIME : krypterad MIME enhet skyddad för avsedda nyckelinnehavare; yttre ruttfält kan förbli synliga. Enbart kryptering autentiserar inte författaren.
- Endast signerad OpenPGP: signerad data associerad med en nyckel vars korrespondentbindning måste verifieras; ingen sekretess. Ändring av täckta data kan ogiltigförklara verifieringen.
- Krypterad OpenPGP: krypterad data skyddad för avsedda nyckelinnehavare; paketering och exponerad metadata behöver fortfarande granskas. Enbart kryptering är inte avsändarbehörighet.
Inga kryptografiska operationer, klientrundresor eller gatewaytester utfördes för denna jämförelse. Att kombinera signering och kryptering är möjligt; beställning och paketering måste testas på den faktiska rutten. En tillagd gateway-sidfot utanför den krypterade eller signerade enheten har en annan effekt än att ändra den entiteten. Håll dessa fall åtskilda istället för att tilldela ett universellt resultat för vidarebefordran av överlevnad.
Välj och validera kombinationen
Skriv in erforderlig identitet och skyddad omfattning i acceptanskriterierna. Verifiera nyckelregistrering, förlust- och återkallelsehantering, algoritmstöd, vidarebefordringsbeteende och mottagare utanför organisationen. Inspektera vad användare faktiskt ser när valideringen misslyckas. DKIM kan samexistera med slutanvändarsignering eller kryptering; att lägga till en gör inte de andra överflödiga. Håll en dokumenterad återställningsväg som inte tyst nedgraderar det avsedda skyddet.