DKIM Bir alanın, kriptografik imza yoluyla bir mesajın sorumluluğunu almasına olanak tanır. Bunun belirli bir e-posta için ne anlama geldiğini anlamak için DNS denetleyicisi yerine alınan orijinalle başlayın. Yararlı kanıt zinciri, mesaj imzası, imzalama alanı ve seçici, genel anahtar, alıcı doğrulama sonucu ve ardından herhangi biri DMARC hizalama karar.
İmzalanan kimliği okuyun
Her birini bulun DKIM-Signature Orijinal mesajdaki başlık. d= değeri imzalama alanını tanımlar ve s= onun seçicisini tanımlar. DNS tabanlı anahtar alımı için bunları seçici olarak birleştirin. _domainkey.signing-domain. İmzalama alanı, yazarın kuruluşuna, bir aktarma kuruluşuna veya onun adına hareket eden bir hizmete ait olabilir. DKIM imzalama sorumluluğunu kasıtlı olarak görünen yazardan ayırmaktadır. RFC 6376 §1, RFC 6376 §3.5, RFC 6376 §3.6.2.
Açıklayıcı örnek: Kimden accounts@example.com ve bir imza şunu içerir d=example.com; s=mail2026. Doğrulayıcı mail2026._domainkey.example.com arar. Bu DNS kaydı herkese açık doğrulama materyali sağlar. Özel imzalama anahtarı yetkili imzalayanda kalır ve yayınlanmamalıdır. Bu örnek aramayı açıklamaktadır; gerçek bir imza veya test edilmiş bir mesaj değildir.
Varlığı başarılı doğrulamadan ayırın
DKIM-Signature başlığı hem mevcut hem de geçersiz olabilir. Uygulama hiçbir imza göndermediğinde bir DNS anahtarı mevcut olabilir. Doğrulama imza yapısını, anahtarı, seçilen başlıkları ve gövde gösterimini kontrol eder. İmzalamadan sonra yapılan değişiklikler, neyin değiştiğine ve imzanın ne olduğuna bağlı olarak imzayı bozabilir. kanonikleştirme kullanılmış. Özet görünümlü bir dize, bu kontrollerin başarılı olduğunun kanıtı değildir. RFC 6376 §3.4, RFC 6376 §3.5, RFC 6376 §3.7, RFC 6376 §6.
Alıcı sistemin güvenilir olup olmadığını inceleyin Authentication-Results veya eşdeğer günlükler. Bu sonucu hangi kimlik doğrulama hizmetinin eklediğini ve güvenilmeyen gelen sonuç başlıklarının nerede kaldırıldığını veya yok sayıldığını anlayın. Gönderen, bir mesaja makul görünen geçiş metni ekleyebilir, dolayısıyla keyfi Authentication-Results içeriği kanıt değildir. RFC 8601 §1.2, RFC 8601 §7.1.
Sonucu görünür yazara bağlayın
DMARC için, başarıyla doğrulanmış bir d= alanını Kimden Yazar Alanıyla karşılaştırın. Sıkı DKIM hizalaması, tam bir eşleşme gerektirir RFC 9989 §3.2.10; Rahat hizalama, organizasyonel alan keşfini kullanır. RFC 9989 §4.10.2. Seçici ve isteğe bağlı i= değeri, bu DMARC karşılaştırması için kullanılan alanlar değildir. Birden fazla DKIM imzası mevcutsa, geçen hizalanmış bir imza, DMARC geçişine giden DKIM yolunu sağlayabilir. RFC 9989 §4.4.1.
Örnekte d=example.com Kimden alanıyla eşleşiyor. Bunun yerine d=service.example.net doğrulanırsa ham DKIM geçer ancak ilgisiz alan adı example.com ile uyum sağlamaz. Alınan bir başlığı düzenleyerek bu durumu "düzeltmeyin": meşru imzalayanı uygun bir desteklenen kimlik kullanacak şekilde yapılandırın.
Yararlı bir araştırma kaydı oluşturun
Mesaj zamanını, rotayı, Etki alanından, her d/s çiftini, güvenilen DKIM sonucunu ve nedenini, DNS gözlem süresini ve hizalama sonucunu kaydedin. Kişisel veya gizli bilgiler içerebileceği için orijinal mesajı koruyun. Bir kopyanın redakte edilmesi imzanın geçersiz kılınmasına neden olabilir; Yeniden doğrulama gerektiğinde erişim kontrollü bir orijinali saklayın.
Doğrulama başarısız olursa imzalamanın etkinleştirilip etkinleştirilmediğini, doğru anahtarın mevcut olup olmadığını, algoritmanın desteklenip desteklenmediğini ve iletinin aktarım sırasında değiştirilip değiştirilmediğini araştırın. Mevcut kriptografik rehberlik, eski varsayılanların yerini alır: RFC 8301 §3.1 rsa-sha1'in imzalanmasını ve doğrulanmasını yasaklar; RFC 8301 §3.2 RSA anahtar kılavuzunu günceller. Eski bir öğreticinin şifreleme seçeneklerini yalnızca sözdizimi hala geçerli görünüyor diye kullanmayın. Yalnızca DNS bir anahtar içerdiğine dair kanıtla değil, alınan sonucun kanıtlarıyla bitirin.
Ayrımı uygula
Varsayımsal bir mesaj için her imza için bir satır yazın: d, s, arama sahibi, güvenilir doğrulama sonucu ve hizalama. İlgisiz bir service.example.net imzası geçerken example.com imzası başarısız olursa, ilk etki alanını ikinci sonuçla birleştirmeyin. Başarısız imzayı araştırın ve değerlendirin SPF DMARC atamadan önce ayrı ayrı. Bu makale için herhangi bir mesaj doğrulaması yürütülmedi.