Emekli olmak DKIM seçici iki farklı etkisi vardır: gönderen, yeni iletiler için özel anahtarını kullanmayı bırakabilir ve DNS genel doğrulama anahtarını kullanılabilir hale getirmeyi durdurabilir. Bu eylemlerin aynı anda gerçekleşmesi gerekmez. Sıradan planlı bir rotasyon sırasında bunları ayırmak, halihazırda imzalanmış ve halen aktarımda olan postaların doğrulamasını koruyabilir.
Bunun istisnası bir güvenlik olayıdır. Eski özel anahtarın tehlikeye atılması durumunda, genel anahtarın mevcut tutulması, ilgili doğrulama yolunun da kullanılabilir olmasını sağlar. Rutin rotasyon örtüşmesini otomatik olarak uygulamak yerine, sınırlama ve gecikmeli posta uyumluluğu arasındaki dengeye açıkça karar verin.
Eski seçicinin hâlâ desteklediği şeyleri kaydedin
İmzalama etki alanının, seçicinin, anahtar saklayıcının, gönderme sistemlerinin ve bilinen son kullanımın envanterini çıkarın. Kuyruğa alınmış uygulama postasını, toplu işleri ve sağlayıcı geri dönüş yollarını ekleyin. Yeni imzalayandan gelen tek bir başarılı mesaj, her eski imzalayanın durduğu anlamına gelmez.
Ortak anahtarın doğrudan mı yayınlandığını yoksa sağlayıcı tarafından yönetilen bir ağ aracılığıyla mı erişildiğini belirleyin CNAME. Bir hesap kapatıldığında hedef kaldırılırsa takma adı müşteri DNS bırakmak, doğrulamayı korumak için yeterli değildir. Hesabın kapatılmasına karar vermeden önce gerçek saklama davranışını isteyin ve ilgili bağımlılığı onaylayın.
Kesimi ayrı adlarla planlayın
RFC 6376 §3.1 seçici tasarımı, tek bir imzalama alanı altında birden fazla eşzamanlı ortak anahtara izin verir. Desteklenen bir rotasyon, yeni seçiciyi yayınlayabilir, anahtarının alınabileceğini onaylayabilir, yeni imzalamayı değiştirebilir ve ardından onaylanmış çakışma için eski doğrulama materyalini koruyabilir. Eski anahtar malzemesini aynı arama adı altında değiştirmeyin ve önceden imzalanmış postanın yeni anahtarı takip edeceğini varsayın.
Yeni anahtar için mevcut algoritmayı ve anahtar boyutu kılavuzunu kullanın. RFC 8301 §3.1 rsa-sha1 imzalamayı ve doğrulamayı yasaklar. RFC 8301 §3.2 imzalayanların en az 1024 bitlik RSA anahtarları kullanmasını gerektirir; en az 2048 bit önerilir. Sağlayıcı desteği ve mevcut güvenlik gereksinimlerinin hâlâ gözden geçirilmesi gerekiyor; yalnızca seçici etiketini değiştirmek anahtarı güçlendirmez.
Geciken mesaj vakası üzerinde çalışın
Açıklayıcı sıra: A mesajı, geçişten önce eski1 ile imzalanır ve kuyrukta bekler. Mesaj B, geçişten sonra new2 ile imzalanır ve hemen ulaşır. Her ikisi de, kapsanan içeriğin ve diğer tüm geçerli doğrulama kontrollerinin başarılı olduğu varsayılarak, karşılık gelen genel anahtarları kullanılabilir durumda kaldığı sürece doğrulama yapabilir. A değerlendirilirken kullanılabilir bir eski1 anahtar alınamazsa, A, altında hiçbir anahtar olmadan başarısız olabilir. RFC 6376 §6.1.2 B geçmesine rağmen.
Bilinen kuyruk davranışını, varsa imzanın sona erme tarihini, iş gereksinimlerini ve riski kullanarak çakışmayı seçin. Tek bir saklama süresi, arşivlenen postaların gelecekte her kez yeniden kontrol edilmesi için doğrulamayı garanti etmez. Geçmiş kanıtların önemli olduğu durumlarda orijinal güvenilir kimlik doğrulama sonuçlarını koruyun. Bu senaryo, gözlemlenen bir hizmet kuyruğunu değil, beklenen protokol davranışını açıklar.
Emekliliğe hazır olduğunuzu doğrulayın
Her etkin rotanın artık amaçlanan yeni seçiciyle imzalandığını ve alınan mesajların gereken şekilde iletildiğini doğrulayın. hizalama. Yalnızca kısa bir gözlem aralığına güvenmek yerine düşük frekanslı işleri gözden geçirin. Uygulanamayan herhangi bir rotayı kaydedin ve sahibinin konfigürasyon kanıtını veya özel bir takip planını alın.
DNS önbelleğe alma varsayımlarını kontrol edin. Altında RFC 1034 §3.6, önceden önbelleğe alınan yanıtlar önceki TTL'leri için varlığını sürdürebilir; emeklilikte TTL'yi düşürmek bu önbellekleri silmez. RFC 8767 §4 yetkili yenileme başarısız olduğunda eski kayıtların kullanılmasına da izin verir, dolayısıyla TTL'nin süresinin dolması garantili bir genel iptal tarihi değildir. Yetkili bir NXDOMAIN dahil olmak üzere başarılı bir yetkili yenileme, yenileme hatasından farklıdır. Tersine, bir genel anahtarın tutulması, imzanın geçerlilik süresinin uzatılmasına veya alıcı politikasının geçersiz kılınmasına yol açmaz. Emeklilik planında bu mekanizmaları ayrı tutun.
Yetkiyi kasıtlı olarak kaldırmak
Onaylanan uyumluluk penceresinden sonra, desteklenen tasarıma göre genel kaydı veya yetkilendirmeyi kullanımdan kaldırın. Boş bir p değeri, sözleşmenin iptalini belirtir. RFC 6376 §3.6.1; anahtarın kaldırılması, ilgili önbelleğe alınmış yanıtların artık anahtarı sağlamaması durumunda anahtarın alınmasını engeller. Seçilen yöntemi ve nedenini kaydedin. Özel anahtarın güvenli bir şekilde imha edilmesi ve sağlayıcı erişiminin kaldırılması ayrı görevlerdir.
Güvenliği ihlal edilmiş bir anahtar için neden derhal iptal edilmesinin veya daha kısa bir çakışmanın gerekli olduğunu ve hangi meşru mesajların etkilenebileceğini belgeleyin. Güvenliği ihlal edilmiş doğrulama materyalini yalnızca kontrol paneli puanını iyileştirmek için geri yüklemeyin. Tamamlanan değişiklik, eski anahtarla imzalamanın ne zaman durdurulduğunu, eski anahtar doğrulama desteğinin ne zaman sona erdiğini ve her iki kararı da hangi kanıtların haklı çıkardığını göstermelidir.
Bir sonraki kararı kaydedin
Varsayımsal bir kullanımdan kaldırma kaydı, son eski anahtar imzalamayı, yeni rota doğrulamasını, bekleyen kuyruğu veya düşük frekanslı iş kanıtlarını, sağlayıcı hedefini elde tutmayı, önbellek varsayımlarını ve yetkili kullanımdan kaldırma kararını ayırmalıdır. Planlanmış bir faturalandırma işi kontrol edilmemişse, son çalışan postalarından emekliliğe hazır olup olmadığı sonucunu çıkarmak yerine bağımlılığı çözülmemiş olarak işaretleyin. Şüphelenilen bir uzlaşma durumunda, rutin örtüşme kontrol listesi yerine olay kararını kullanın. Hiçbir döndürme veya DNS kaldırma işlemi gerçekleştirilmedi.