RSA-SHA256 ve Ed25519-SHA256 farklıdır DKIM imzası algoritmalar. İmzalayanınızın desteklenen yeteneklerini ve ilgili doğrulayıcılardan elde edilen kanıtları kullanarak aralarında seçim yapın veya her ikisini de dağıtın. Ham anahtar uzunluklarını karşılaştırmak, birlikte çalışabilirlik sorusunu yanıtlamaz.
Belirtim desteğini konuşlandırılan destekten ayırın
RFC 8463 bölümleri 3–5 Ed25519-SHA256'yı ekler DKIM ve bunu desteklemek için bu güncellemeyi uygulayan doğrulayıcılara ihtiyaç duyar. İmzalayanın uygulanmasını önerir. Bu gereksinimler standardı açıklamaktadır; yüklü her posta cihazının, eski kitaplığın veya barındırılan arayüzün güncellemeyi bugün uyguladığını tespit etmezler.
The Ed25519 anahtar kayıt kullanımları k=ed25519ve genel anahtarı şu şekilde kodlanmıştır: p=. İmza algoritması şu şekilde tanımlanır: a=ed25519-sha256. RSA için karşılık gelen algoritma şöyledir: RSA-sha256; RFC 8301 bölüm 3 güncellenmiş RSA boyutu gereksinimlerini sağlar ve rsa-sha1'i yasaklar. Uyumsuz anahtar materyali korurken yalnızca algoritma etiketini değiştirmeyin.
Geçişin hangi kanıtlara ihtiyacı olduğuna karar verin
İmzalama yazılımının, sürümünün, desteklenen algoritmaların ve sağlayıcı kontrollerinin envanterini çıkarın. Davranışı işletme için önemli olan alıcı sistemleri belirleyin. Test sonucunun kendi doğrulama kitaplığınızı, son alıcının güvenilir kimlik doğrulama sonucunu veya bir üçüncü taraf analiz aracını yansıtıp yansıtmadığını kaydedin. Bunlar farklı gözlemler.
Platformun her iki algoritmayı da yayınlayıp, iki seçiciyi güvenli bir şekilde yönetip yönetemeyeceğini sorun. Ed25519 kontrolü sunmayan bir sağlayıcı, yine de göreve uygun, belgelenmiş bir RSA yapılandırmasına sahip olabilir. Yalnızca temeldeki RFC bir yapılandırmaya izin veriyor diye desteklenmeyen bir yordam icat etmeyin.
Paralel imzalar için farklı seçiciler kullanın
RFC 8463 bölüm 6 Çoklu imzayı bir geçiş mekanizması olarak tanımlar. RSA ve Ed25519 anahtarlarının farklı seçicilere ihtiyacı vardır. İki algoritma anahtarını bir arada bulundurmayın seçici ve alıcının tercih ettiğinizi seçmesine güvenin.
Açıklayıcı bir tasarımda, rsa2026._domainkey.example.com RSA doğrulama verilerini tutar ve ed2026._domainkey.example.com Ed25519 verilerini tutar. Her iki imza da kullanılır d=example.com, ama onların s= Ve a= değerler farklılık göstermektedir. Bunlar örnek adlardır, konuşlandırılabilir anahtar kayıtları değildir. Desteklenen imzalama sistemi aracılığıyla gerçek anahtar materyali oluşturun ve yayınlayın.
Yararlı bir test, her imzayı bağımsız olarak kaydeder. Alıcı A her ikisini de doğrulayabilir; alıcı B yalnızca RSA'yı doğrulayabilir. Her bir sonucu hangi algoritmanın ürettiğini korumadan “çift imzalama çalışmalarını” raporlamayın. Altında RFC 9989 bölüm 4.4.1başarılı bir şekilde hizalanmış bir RSA imzası şunları sağlayabilir: DMARC Geçerli DMARC değerlendirme koşullarının karşılanması koşuluyla, diğer imza doğrulamasa bile kimlik doğrulama yolunu kullanın.
Kesimi tersine çevrilebilir hale getirin
Üretimi değiştirmeden önce önceki imzalama yapılandırmasını geri yüklemek için desteklenen bir yöntem oluşturun. Normal mesajları ve ağ geçitleri veya posta listeleri gibi gerçek yönlendirme özelliklerini test edin. Algoritma desteği, imzayı, imzalandıktan sonra keyfi içerik değişikliklerinden korumaz.
Gözlem süresi boyunca seçici envanterini ve alıcı kanıtlarını zaman damgalarına bağlı tutun. Ed25519 kaydının başarılı bir DNS araması, gönderenin imza attığını veya alıcının bunu kullandığını değil, yayınlandığını kanıtlar. Tüm alıcıların yükselttiği iddiasına değil, ölçülen uyumluluk ve organizasyonel gereksinimlere dayalı olarak her iki algoritmayı mı koruyacağınıza veya yapılandırmayı mı değiştireceğinize karar verin.
Güvenlik ve operasyon kararını birlikte kapatın
Seçilen tasarımı, algoritmaya özgü sonuçları, çözülmemiş alıcı sınırlamalarını ve uyumluluk yolunun kullanımdan kaldırılmasına ilişkin kriterleri kaydedin. Her iki imzalayan da etkin durumdayken, her iki özel anahtarı da korumaya devam edin. Çift imzalama, başka bir anahtar yönetimi bağımlılığı ekler; velayet, rotasyon veya olaylara müdahale ihtiyacını ortadan kaldırmaz.
Sentetik çift imza sonucunu okuyun
Bir iletinin Yazar Etki Alanı example.com ve d=example.com. Güvenilir alıcı, bir imza için rsa-sha256, s=rsa2026, geçtiğini ve diğer imza için ed25519-sha256, s=ed2026, başarısız olduğunu bildirir. RSA imzası tam olarak hizalanmış bir geçiş olduğundan DMARC DKIM yolunu karşılayabilir. Başarısız olan Ed25519 imzası onu iptal etmez. Bu, bir alıcının Ed25519 desteğinden yoksun olduğunun kanıtı değil, oluşturulmuş bir örnektir: başarısızlık bunun yerine alıcının anahtarı, sözdizimi veya imzalı içeriğiyle ilgili olabilir. Uyumluluğu teşhis etmeden önce imza başına nedeni koruyun.
Kompakt bir araştırma kaydı tutun
İncelenmekte olan rota için önerilen bu çalışma sayfasını kullanın. Bu bir planlama yardımcısıdır, yürütülen bir testin kanıtı değildir.
- İmzalayan: yazılım veya hizmet, sürüm ve desteklenen algoritma kontrolleri.
- İmza başına: a, d, s, sonuç ve sonucu üreten alıcı.
- DMARC : Yazar Etki Alanı, hizalama modu ve varsa geçen hizalanmış imza.
- Karar: Her iki algoritmayı da koruyun veya geri alma adımlarıyla ve çözülmemiş alıcı sınırlamalarıyla birini kullanımdan kaldırın.
İlgili okuma
DKIM anahtar uzunluğu ve algoritmalar: mevcut alıcı desteğini kontrol edin · Çoklu DKIM imzaları: hizalanmış geçiş imzasını bulun.