A DKIM body-hash hatası, doğrulayıcının yeniden üretmediği anlamına gelir vücut karması İmzanın ilgili kuralları uygulandıktan sonra imzada taşınır. Hangi sistemin mesajı değiştirdiğini tanımlamaz ve eksik bir genel anahtarla aynı teşhis değildir.
Orijinal alınan mesajı koruyarak başlayın. Görünür metnin bir posta istemcisinden kopyalanması MIME yapısını, kodlamayı ve doğrulama açısından önemli olan diğer baytları kaybeder.
Kesin arızayı onaylayın
Güvenilen alıcının sonucunu ve değerlendirilen imzayı inceleyin. Bir mesaj birden fazla olabilir DKIM imzasıve her birinin farklı bir imzalama alanı veya sonucu olabilir.
Kayıt d=, s=, algoritma, c= kanonikleştirme ayarı ve herhangi bir l= gövde uzunluğu etiketi. Tam doğrulama nedenini saklayın. Anahtar arama zaman aşımı, desteklenmeyen bir algoritma, başlık-imza uyumsuzluğu ve gövde karması uyumsuzluğu, farklı araştırmalara ihtiyaç duyar.
İçinde RFC 6376 §3.5bh= değeri, tanımlanan uzunluk işlemine tabi olarak standartlaştırılmış gövdenin kodlanmış karmasıdır. b= değeri imza hesaplamasına aittir. Bunları değiştirilebilirmiş gibi ele almak, hangi kontrolün başarısız olduğunu gizler.
Sonucu tekrarlayabilecek kanıtları koruyun
Ham mesajı onaylanmış bir dışa aktarma yoluyla kaydedin ve içeriğine göre erişimi kısıtlayın. Alınan orijinali, araştırma süreci destekliyorsa karma ve toplama süresiyle birlikte sağlam tutun.
Analiz kopyalarını ayrı ayrı oluşturun. Bir adresin düzenlenmesi, bir ekin değiştirilmesi veya yeniden oluşturulmuş bir mesajın kaydedilmesi, doğrulamayla ilgili materyalin değişmesine neden olabilir. Güvenli paylaşım kopyası faydalı olabilir ancak otomatik olarak korunan orijinale eşdeğer değildir.
Herhangi bir doğrulama çıktısının kaynağını kaydedin. İçe aktarma sırasında satır sonlarını normalleştiren bir araç, alıcı sunucuyla aynı baytları değerlendirmiyor olabilir. Eğer iki araç aynı fikirde değilse, öncelikle onların girdilerini ve desteklenen davranışlarını belirleyin.
İletiyi olası değiştiricilerden önce ve sonra karşılaştırın
Göndericiden gelen gerçek rotayı ağ geçitleri, röleler, posta listeleri ve alma hizmetleri aracılığıyla haritalayın. Şüpheli bir dönüşümün hemen öncesinde ve sonrasında kontrollü yakalamalar yapın.
Yaygın inceleme adayları arasında imzalandıktan sonra eklenen altbilgi, URL'nin yeniden yazılması, MIME yeniden kodlaması, ek işleme ve hatalı biçimlendirilmiş içeriğin onarımı yer alır. Kanıtlar bir sıçramada ilgili bir değişiklik ortaya koyana kadar bunlar hipotezdir.
Aynı yolu takip eden ve şüphelenilen özelliği uygulayan kontrollü bir test kullanın. Örneğin, ağ geçidinin altbilgi kuralı olan ve olmayan eşdeğer bir iletiyi karşılaştırın. Üretim ağ geçidini atlayan doğrudan bir testten genelleme yapmayın.
Sentetik bir durumda, gönderenin depolanan çıkışı başarılı bir şekilde doğrulanırken, sorumluluk reddi ağ geçidinden sonra yakalanan mesajda gövde karma uyuşmazlığı bulunur. Ağ geçidi, gönderenin imzalamasının ardından bir altbilgi ekler. Belirtilen varsayımsal gözlemlere göre bu, DKIM genel anahtarının değiştirilmesinin bir nedenini değil, adrese yönelik bir yapılandırma bağımlılığını tanımlar.
Kanonikleştirmenin neleri tolere edebileceğini anlayın
DKIM kanonikleştirme kuralları belirli normalizasyonlara izin verir. Keyfi içerik düzenlemeyi güvenli hale getirmezler. Rahat gövde kanonikleştirmesi, imzaladıktan sonra bağlantıları yeniden yazmaya veya paragraf eklemeye izin vermez.
İmza tarafından belirtilen algoritmayı inceleyin ve onu doğru şekilde uygulayan bir doğrulayıcı kullanın. Görsel olarak aynı işlemeden teşhis koymayın: görüntülenen iki mesaj farklı imzalı sekizli içerebilir.
Altında RFC 6376 §3.5l= değeri, tanımlanan hesaplamanın kapsadığı standartlaştırılmış gövde sekizlilerini sınırlar. Bu, ağ geçidini değiştiren genel bir düzeltme değildir ve içeriği kasıtlı olarak koruma dışında bırakmak, güvenlik değerlendirmesini değiştirir. Bir belirtiyi bastırmak için uzunluk sınırı eklemek yerine desteklenen yapılandırmaları kullanın ve sonuçlarını inceleyin.
Değiştirilen rotayı düzeltin, ardından hizalamayı yeniden değerlendirin
Organizasyonun rotayı kontrol ettiği durumlarda, son uygun imza aşamasından önce gerekli değişiklikleri düzenleyin. Bir hizmet postayı yeniden imzalıyorsa yeni imzalama kimliğini ve bunun neyi kanıtladığını kontrol edin. İlgisiz bir aracının geçen imzası, görünür orijinal Kimden alan adıyla otomatik olarak hizalanmaz; RFC 9989 §4.4.1 hizalamak için kimliği doğrulanmış imzalama kimliğini gerektirir.
Gönderenin kontrolü dışındaki meşru dolaylı yollar için geçerli birlikte çalışabilirlik kılavuzunu değerlendirin. Yalnızca bir testin başarısız olması nedeniyle güvenlik işlemeyi devre dışı bırakmayın veya etki alanı ilkesini zayıflatmayın.
Etkilenen iş akışını tekrarlayın ve öncesi ve sonrası kanıtları saklayın. O zaman kullan DMARC hizalama teşhisi geçen hizalanmış bir yolun kalıp kalmadığını belirlemek için. İlgili dönüşüm ve etkisi anlaşılıp, amaçlanan rota doğrulandığında olay kapanır.
Sonraki teşhis adımını seçin
Önerilen bu karar dizisini kullanın; yürütülen hiçbir testi kaydetmez:
- Kullanılabilir anahtar veya anahtar sorgusu zaman aşımı yok: aşağıdaki arama sonucunu izleyin RFC 6376 §6.1.2 bir altbilgiyi teşhis etmek yerine.
- Yeniden hesaplanan gövde karması bh'den farklıdır: gövde gösterimini, gerçek c/l ayarlarını ve kaydedilen bh değerini karşılaştırın. RFC 6376 §6.1.3. Hasar görmüş veya yanlış oluşturulmuş bir bh veya imzalayan/doğrulayıcı uygulama hatası da olası bir nedendir; uyumsuzluk tek başına vücut modifikasyonunu kanıtlamaz.
- Gövde karması eşleşiyor ancak imza başarısız oluyor: İmzalı başlıkları, imza hesaplamasını ve anahtar-imzalayan ilişkisini inceleyin; bh'yi eşleştirmek tek başına bir DKIM geçişi değildir.
- Birden fazla imza aynı fikirde değil: geçen hizalanmış bir yolun kalıp kalmayacağına karar vermeden önce her sonucu kendi d ve s'sine bağlı tutun.