Bir tane seçin DKIM protokolü karşılayan ve postanızı gönderen ve alan sistemlerde çalışan anahtar yapılandırması. Kontrol panelinde daha büyük bir sayı tam bir güvenlik kararı değildir. Algoritmayı, anahtar türünü ve alıcı kanıtını kaydedin ve kriptografik gücü teslimattan ve dağıtımdan ayrı tutun. hizalama.
Güncellenmiş RSA gereksinimlerini kullanın
RFC 8301 eski DKIM spesifikasyonunu günceller. RSA için imzalama anahtarları en az 1024 bit olmalı ve imzalayanlar en az 2048 bit kullanmalıdır. Doğrulayıcılar, 1024 bitten 4096 bit'e kadar RSA anahtarlarıyla doğrulamayı desteklemeli, daha büyük anahtarları destekleyebilir ve 1024 bitin altındaki RSA anahtarlarını geçerli olarak kabul etmemelidir. Doğrulayıcı, anahtar uzunluğuna dayalı olarak yerel bir politikayı hâlâ uygulayabilir.
Aynı RFC, imzalama ve doğrulama için rsa-sha1'i yasaklar. Güncel dağıtım önerisi olarak eski bir öğreticinin SHA-1 örneğini kullanmayın. Gerçek olanı kontrol edin a= alınan değer DKIM-Signature ve onun aracılığıyla ulaşılan anahtar türü seçiciBir yöneticinin orijinal kurulumu hatırlamasına güvenmek yerine.
Minimum ve öneri farklı soruları yanıtlar. 1024 bitlik bir RSA anahtarı, önerilen daha güçlü seçeneği karşılamadan belirtilen katı karşılayabilir. Kuruluşun bunu belgelenmiş bir sistem sınırlaması nedeniyle elinde tutması durumunda istisnayı, sahibini ve kaldırma koşulunu kaydedin. Bu istisnayı evrensel en iyi konfigürasyon olarak tanımlamayın.
Anahtar oluşturmadan önce hizmeti kontrol edin
Sağlayıcının anahtarları yönetip yönetmediğini veya müşteri tarafından sağlanan materyali kabul edip etmediğini belirleyin. Amazon SES Easy DKIM , bir 2048 bit varsayılan; Bu ürün davranışının tüm posta platformlarına genelleştirilmemesi gerekir. Bazı hizmetler yalnızca desteklenen bir seçenek kümesini ortaya çıkarır. Oluşturulan 4096 bitlik anahtar, amaçlanan imzalayanın onu yükleyememesi veya DNS sağlama yolunun genel kaydını bozması durumunda işe yaramaz.
RFC 8463 Ed25519-SHA256'yı ekler: İmzalayanlar bunu uygulamalı ve doğrulayıcılar da bu spesifikasyon kapsamında uygulamalıdır. Anahtar boyutları, eşdeğer güvenlik önlemleri olarak RSA boyutlarıyla sayısal olarak karşılaştırılamaz. Standarttaki destek, dağıtılan her imzalayıcı, alıcı veya yönetim arayüzünde destek olduğunu göstermez. Algoritma geçişini, kozmetik bir ayar olarak değil, açık kanıtlara sahip bir uyumluluk değişikliği olarak ele alın. RFC 8463 bölüm 6 paralel RSA'ya izin verir ve Ed25519 geçiş sırasında imzalar; her seçici tek bir anahtar kaydı tanımladığından ayrı seçiciler kullanmaları gerekir. Planlamadan önce gerçek imzalama hizmetinin bu yaklaşımı desteklediğini doğrulayın.
Yararlı bir doğrulama matrisi oluşturun
Her gönderme yolu için yazılımı veya sağlayıcıyı, algoritmayı, ilgili olduğu yerde anahtar boyutunu, seçiciyi, yayın yöntemini ve temsili bir alıcı sistemi kaydedin. Üç testi ayırın: İmzalayan yapılandırmayı kabul eder, genel anahtar bozulmadan çözümlenir ve alıcı, imzalayan tarafından üretilen mesajı doğrular.
Örnek bir geçiş, eski bir 1024 bit RSA fatura imzalayıcıyla başlar. Önerilen hedef SHA-256'lı 2048 bit RSA'dır. Platformun desteklenen sürecini kullanarak yeni bir seçici yayınlayın, anahtarı doğrulayın, faturalandırma uygulaması aracılığıyla gönderin ve alma sonucunu inceleyin. Bir çalışanın posta kutusundan yapılan test, faturalandırma uygulamasının değiştirildiğini kanıtlamaz. Olay müdahalesi aksini gerektirmedikçe, eski bağımlılığı yalnızca planlanan geçiş ve yasal gecikmeli posta için koruyun.
Arızaları tam olarak yorumlayın
Daha büyük bir kayıt yayınlanamazsa, şifrelemeyi zayıflatmadan önce DNS arayüzünü ve TXT gösterimini araştırın. Doğrulamada desteklenmeyen bir algoritma rapor edilirse bu bulguyu gerçek alıcı ve yazılım sürümüyle karşılaştırın. DKIM geçerse ancak DMARC başarısız olursa, anahtar boyutunu tekrar değiştirmek yerine kimlik hizalamasını inceleyin.
Neyin test edildiğini ve neyin bilinmediğini belgeleyin. Başarılı alıcılardan oluşan bir örnek, internetin tamamını kapsayan bir garanti değil, faydalı bir operasyonel kanıttır. Sağlayıcı, kriptografik rehberlik veya önemli alıcı popülasyonu değiştiğinde incelemeyi planlayın. Karar, gereklilikleri, uygulama sınırları ve gözlemlenen sonuçların tamamı görünür olduğunda savunulabilir.
İlgili okuma
RSA ve Ed25519 DKIM imzaları: dağıtım soruları ve birlikte çalışabilirlik · DKIM genel anahtar sözdizimi: kesilmiş veya hatalı biçimlendirilmiş DNS değerlerini tanımlar.
Kullanıma sunmadan önce kararı kaydedin
- Geçerli rota: uygulama, sahip, imzalama alanı, seçici ve yayılan algoritma.
- Önerilen seçim: Gerektiğinde 2048 bit veya daha güçlü bir hızda desteklenen RSA-SHA256 veya desteklenen bir Ed25519 geçişi.
- Kabul kanıtı: imzalayan anahtarı yükler; DNS bunu bozulmadan sunar; güvenilir bir alıcı sistem bu uygulamadan gelen bir mesajı doğrular.
- Durdurma koşulu: desteklenmeyen algoritma, hatalı biçimlendirilmiş anahtar veya eksik imza. Çalışan seçiciyi kullanımdan kaldırmadan önce bu kusuru giderin.
- İstisna: 1024 bit RSA tutuluyorsa sınırlamayı, risk sahibini ve yeniden değerlendirme tarihini belirtin.