İptal edilen DKIM anahtar ve eksik anahtar kaydı operatöre farklı şeyler söyleyebilir ancak ikisi de kullanışlı bir doğrulama anahtarı sağlamaz. RFC 6376 §3.1 bir anahtarın iptal edilmesi ile imza doğrulaması için kaydının kaldırılması arasında hiçbir anlamsal fark olmadığını açıkça tanımlar. Bir kesintiyi teşhis ederken veya bir uzlaşmaya yanıt verirken bu ayrımı koruyun.
Farklı gözlemleri tanıyın
DKIM anahtar kaydında boş bir p= değer iptali belirtir. Sözdizimsel olarak uygun açıklayıcı bir RSA iptal değeri: v=DKIM1; k=rsa; p=. Özel anahtar içermez ve yedek anahtar değildir. Kesin olanı kullanın seçici Etkilenen imzadan sahibinin adını öğrenin ve platformun desteklenen sürecini takip edin.
Anahtar kaydı mevcut olmadığında, RFC 6376 §6.1.2 Anahtar olmayan bir nedenle kalıcı başarısızlık çağrısında bulunur. Boş bir genel anahtar değeri, iptal edilen anahtar nedeniyle kalıcı hataya neden olur. Yanıt vermeyen bir DNS sorgusu farklı bir durumdur ve geçici arızaya neden olabilir. Her arama sorununun iptalini çağırmayın.
Operasyonel niyet hâlâ kanıta ihtiyaç duyuyor. Boş bir anahtar, onaylanmış bir acil durum değişikliği veya yayınlama hatası olabilir. Eksik bir kayıt, kasıtlı olarak kullanımdan kaldırılmayı, yanlış bir seçiciyi veya kazara silinmeyi yansıtabilir. Sebebi belirtmeden önce yetkili DNS durumunu, yinelemeli yanıtı, zaman damgasını ve yetkili değişiklik geçmişini karşılaştırın.
Olaya göre yanıtı seçin
Rutin kullanımdan kaldırma için, imzalamanın sonunu, meşru gecikmeli mesajların hâlâ eski genel anahtarı gerektirebileceği dönemle koordine edin. Şüpheli bir özel anahtar güvenliği ihlali durumunda, süreklilik ve koruma çatışabilir. Olay sürecini başlatın, değişikliğe kimin yetki verebileceğini belirleyin ve seçilen müdahalenin neden orantılı olduğunu belgeleyin.
İptal, önbellekler arasında anında gerçekleşmez. RFC 1034 §3.6 Önbelleğe alınan kayıtların TTL'sini açıklar. Bir çözümleyici, önbellek ömrü sona erene kadar önceki pozitif verileri saklayabilir. Olaydan sonra TTL'yi azaltmak, önbelleğe alınan her kopyayı geriye dönük olarak kısaltmaz. Bazı çözümleyiciler eski verileri şu şekilde sunabilir: RFC 8767 §4 yenileme kullanılamadığında eski TTL dünya çapında kesin bir iptal tarihi değildir. Bir DNS düzenlemesinin, daha eski bir yanıt kullanılarak yapılan sonraki her doğrulamayı anında engellediğini iddia etmeyin.
Güvenliği ihlal edilmiş imzalayanı durdurmak ve yetkisiz erişimi kısıtlamak ayrı görevlerdir. Yalnızca bir DNS değişikliği, sızdırılan özel anahtarı kurtarmaz veya onu ifşa eden hesabın güvenliğini sağlamaz. RFC 6376 §8.3 Güvenliği ihlal edilmiş bir imzalama anahtarının riskini açıklar. Sağlayıcı tarafından yönetilen CNAME'ler için, nihai anahtar verileri kimin kontrol ettiğini ve etkilenen seçiciyi hangi desteklenen eylemin kullanımdan kaldırdığını tanımlayın. Çakışan eklemeyin TXT kaydı doğaçlama bir düzeltme olarak takma adın yanında; Görmek RFC 1034 §3.6.2.
Kanıta dayalı bir örnek üzerinde çalışın
Sentetik bir olayda mesajlar şunu kullanır: d=example.com; s=oldbilling. Yetkili cevap artık boş bir cevap içeriyor p=, yinelemeli bir çözümleyici ise yine de önceki ortak anahtarı döndürür. Olay kaydı onaylanmış bir iptali gösteriyor. Bu, önbellek geçişi açıklamasını destekler; tüm alıcıların eski imzayı doğrulamayı bıraktığı anlamına gelmez.
İkinci bir test kullanır s=old-billing, amaçlanan seçicide bir kısa çizgi olmadan. Bu isimde herhangi bir kayıt bulunmamaktadır. Arama hatası gerçektir ancak amaçlanan seçicinin iptal edildiğini kanıtlamaz. İsimlerin aynı olması bu iki vakanın tek bir olaya indirgenmesini engellemektedir.
Pozlamayı geri yüklemeden değiştirme işlemini doğrulayın
Sürekli göndermeye izin verildiğinde yeni, güvenli bir şekilde oluşturulmuş bir anahtar ve desteklenen bir seçici geçişi kullanın. Yetkili yayını onaylayın ve etkilenen her uygulamadan alınan testi inceleyin. Güvenliği ihlal edilmiş anahtarı kurtarma komut dosyalarının, etkin imzalayanlara geri yüklenen yedeklerin ve kopyalanan yapılandırma şablonlarının dışında tutun.
Eski yapılandırmayı, otomatik geri alma hedefi olarak değil, sınırlı erişim altında olay kanıtı olarak koruyun. Güvenliği ihlal edilmiş bir imzalama sırrını geri yükleyen bir geri alma, sorunu yeniden oluşturabilir. Olayı, değişiklik yetkilisi, etkilenen seçiciler, sınırlama eylemleri, önbellek gözlemleri ve yeni imza kanıtlarıyla kapatın. Doğrulaması kasıtlı olarak feda edilen eski meşru mesajları kaydedin.
Bir eylem seçmeden önce aramayı sınıflandırın
Bunları gerçek bir alandan elde edilen sonuçlar olarak değil, sentetik teşhis dalları olarak kullanın:
- Tam seçici boş bir p değeri döndürür: anahtar açıkça iptal edilir; RFC 6376 PERMFAIL gerektirir (anahtar iptal edildi).
- Tam seçicinin anahtar kaydı yoktur: RFC 6376 PERMFAIL gerektirir (imza için anahtar yoktur). Yazımı, yetkilendirmeyi ve onaylanmış kullanımdan kaldırma geçmişini kontrol edin.
- Sorgu yanıt almıyor: RFC 6376 TEMPFAIL'e izin veriyor (anahtar mevcut değil). Bu gözlem tek başına iptali kanıtlamaz.
Bu sonuçlar o imzayla ilgilidir. Diğer imzaları ve sonuçlarını ayrı ayrı koruyun; bir mesajın başka bir kimlik doğrulama yolu olabilir.
İlgili okuma
DKIM DNS yetkisi: bir sağlayıcıya verilen denetimin kapsamını değerlendirme · DKIM özel anahtarlarını imzalama sistemlerinde saklayın ve koruyun.