Güvenliği ihlal edilmiş bir DKIM özel anahtar, bir saldırganın etkilenen imzalama alanı altında doğrulanan imzalar oluşturmasına olanak sağlayabilir. Etkinliği bir imza yetkisi olayı olarak değerlendirin. DNS kaydının değiştirilmesi, korumanın yalnızca bir kısmıdır ve DKIM doğrulaması tek başına yetkili bir imzalayıcıyı aynı anahtarı tutan bir saldırgandan ayırt edemez.
Etkilenen otoriteyi oluşturun
İmza alan adını, seçicileri, anahtar saklayıcıyı ve özel anahtarı kullanan her hizmeti tanımlayın. Sırrı destek taleplerine veya sohbete kopyalamadan ilgili denetim günlüklerini, yapılandırmayı ve temsilci şüpheli mesajlarını koruyun. Keşif süresini, olası maruz kalma penceresini ve bilinenlerle şüphelenilenleri kaydedin.
Özel anahtar hırsızlığını, imzalama hizmetine yetkisiz erişimden ayırın. Hesap erişimine sahip bir saldırgan, erişim kontrol altına alınmadığı sürece anahtar rotasyonundan sonra imzalamaya devam edebilir. DNS yönetimi uzlaşması, kendi yanıtını gerektiren başka bir bağımlılıktır. Bu soruşturmaları olay sahibinin gözetiminde koordine edin.
Yeni kötüye kullanımı durdurun ve eski doğrulama yolunu iptal edin
Onaylanan olay süreci aracılığıyla etkilenen imzalama yollarını veya kimlik bilgilerini askıya alın. RFC 6376 boş bir p değeri yayınlayarak iptale izin verir. Anahtarın çıkarılması, yokluğun görüldüğü durumlarda başarılı bir şekilde anahtarın alınmasını da engeller. Platform tarafından desteklenen yanıtı seçin ve tam olarak doğrulayın seçici ve etki alanını değiştirmeden önce.
İptal, her alıcıda anında gerçekleşmez. Önbelleğe alınmış DNS verileri ve önceden değerlendirilmiş olan mesajlar, zamana bağlı bir sınır oluşturur. DNS değiştirmenin, teslim edilen postadaki imzaları geriye dönük olarak geçersiz kılacağına veya kötü amaçlı mesajların kabul edilmediğini kanıtlayacağına dair söz vermeyin.
Normal rotasyon çakışması, sıraya alınmış meşru mesajların doğrulamasını korur. Tehlike sırasında, açığa çıkan anahtarın doğrulanabilir tutulması saldırganın yeteneğini de koruyabilir. Olay sahibi, rutin çakışma planını otomatik olarak uygulamak yerine, gecikmeli posta hatalarına karşı korumayı tartmalıdır.
İmzalamayı temiz bir yolla geri yükleyin
Maruz kalma nedenini belirledikten sonra güvenilir, desteklenen bir süreç aracılığıyla yedek anahtar malzemesi oluşturun. Eski ve yeni kanıtların ayırt edilebilmesi için desteklenen yeni bir seçiciyi tercih edin. Mevcut şifreleme gerekliliklerini uygulayın. RSA imzalama için RFC 8301 , rsa-sha1 yerine rsa-sha256'yı gerektirir ve en azından şunu önerir: 2048 bit anahtarlar.
Açıklayıcı yanıt: seçici sales1 açığa çıkar ve imza hesabı kapsanır. Temiz imzalayan, satış1 iptal edilirken satış2'yi kullanır. Yeni kontrollü posta, sales2 ile doğrulanır ve Kimden ile uyumlu hale gelir; sales1 ile imzalanan gecikmiş posta başarısız olabilir. Bu örnek, tamamlanmış bir olayı veya evrensel alıcı davranışının garantisini değil, açık bir değiş-tokuşu açıklamaktadır.
Kurtarmayı doğrulayın ve belirsizliği koruyun
Yalnızca bir posta kutusunu değil, etkilenen her rotayı test edin. Ham mesajları ve güvenilir sonuçları kaydedin, yeni seçiciyi inceleyin, onaylayın hizalama ve güvenliği ihlal edilmiş kimlik bilgilerinin artık imzalamaya izin vermediğini doğrulayın. Teşhir süresine ilişkin sağlayıcı günlüklerini ve alıcı raporlarını inceleyin; raporların her alıcıyı kapsamadığını veya her mesajı kimin gönderdiğini kanıtlamadığını unutmayın.
Sınırlama, DNS gözlemleri, yedek dağıtım ve müşteri etki değerlendirmesi için bir zaman çizelgesi sağlayın. Adli kopyaları erişim kontrollü tutun. Geriye kalan soruşturma ve düzeltilmiş anahtar saklama veya erişim hatası için olayı yalnızca tanımlanmış bir sahiple kapatın. Başarılı yeni bir imza, kurtarma yolunun işe yaradığını kanıtlar; tek başına daha önceki kötüye kullanımın tam kapsamını oluşturmaz.
Acil bir durumdan önce masa üstünde egzersiz yapın
Bu sentetik zaman çizelgesinde, hizmet hesabı A satışları1, temiz hesap B ise satışları2 tutar. Sıfır dakikada A'yı içerir. Birinci dakikada, sales1 iptalini yayınlayın. İkinci dakikada, kurgusal çözümleyicinin eski anahtarı hâlâ önbelleğe alınmış durumdadır, dolayısıyla eski imzalar burada doğrulanabilir durumda kalabilir. Üçüncü dakikada temiz satış2 rotasını başlatın. Otuz dakikada, yalnızca DNS kurtarma bildirmek yerine, rota başına alınan sonuçları toplayın ve kanıtlara erişin. Bu zamanlamalar vaat edilen bir yayılma aralığını değil, sıralamayı gösterir.
Bu yazılı tablo beş gerekli kurtarma gözlemi önermektedir: eski erişim devre dışı bırakıldı, maruz kalma nedeni kontrol altına alındı, yeni anahtar yayınlandı, yeni imza doğrulandı ve yeni imza hizalandı. Yeni postanın geçtiği ancak eski erişimin hâlâ etkin olduğu bir senaryo, kurtarma geçidinde başarısız olur. Beşini de karşılayan bir senaryo modellenen kapıdan geçer. Her iki gözlem seti de sentetiktir; hiçbir masaüstü program, kiracı veya mesaj testi yürütülmedi. Gerçek bir olay sırasında gerçek koruma, önbellek gözlemleri, onaylar ve mesaj testleri gerekli olmaya devam eder.
Çözümlenmemiş her kurtarma kapısına bir sahip atayın
Yazılı örnek olay KEY-01, yedek seçici sales2'nin From sales@example.org için d=example.org, ancak eski hizmet hesabının etkin kaldığını varsayar. Olay sahibi, kurtarmayı açık tutmalı ve erişim kısıtlamasını ele almalıdır; bir posta yöneticisinin başarılı imza testi bu açığı kapatamaz. Eski çözümleyici önbellekleri ve geçmişteki kötüye kullanım kapsamı hala bilinmiyor. Kimlikler ve sonuçlar, yürütülen bir olay değil, öngörülen öğretim varsayımlarıdır.