A DKIM özel anahtar, eşleşen genel kayıtla doğrulanabilecek imzalar oluşturma yetkisidir. DNS kaydını korumak tek başına o yetkiyi korumaz. Anahtara karar vermeden önce imzalama sistemlerinin envanteri, bunları kullanabilecek hesaplar ve sırrın her operasyonel kopyası kontrol edilir.
Velayeti üstlenmek yerine tanımlayın
Gerçek sağlayıcı veya imzalama yazılımıyla başlayın. Yönetilen bir hizmet, anahtarları oluşturabilir ve saklayabilir; kendi kendine çalışan bir imzalayan, bir dosyayı, gizli depoyu veya desteklenen donanım destekli arayüzü okuyabilir. Bu modellerin farklı erişim ve kurtarma kontrolleri vardır. Seçilen ürün bunu belgeleyip uygulamadıkça, donanım koruması, ihraç edilemezlik veya müşteri tarafından yönetilen rotasyon sözü vermeyin.
RFC 6376 §8.3 özel anahtarın ele geçirilmesinin sonucunu açıklıyor: davetsiz misafir, ilgili genel anahtarı yayınlayan alan adı tarafından imzalanmış posta oluşturabilir. Ayrıca, gönderenlerin kimliğini doğrulayan ve gönderme kontrollerini uygulayan kontrollü bir giden posta sunucusunun değerini de açıklar. Aşağıdaki özel depolama ve inceleme adımları, evrensel DKIM protokolü gereksinimleri değil, operasyonel önerilerdir.
Gizli kopyaları açığa çıkaran bir saklama haritası oluşturun
Her biri için seçiciimzalama etki alanını, hizmet sahibini, anahtar saklayıcıyı, etkin imzalama düğümlerini, dağıtım yolunu ve desteklenen kurtarma mekanizmasını kaydedin. Gizli anahtarın kendisini değil, gizli anahtarın referansını veya tanımlayıcısını izleyin. Kuruluşun onaylı gizli işleme süreci aracılığıyla, istenmeyen kopyalar için yapılandırma havuzlarını, kapsayıcı oluşturma adımlarını, geçici dağıtım dosyalarını, yedeklemeleri ve tanılama paketlerini inceleyin.
Sentetik bir örnek, iki imzalama düğümüne ve bir dağıtım işine sahip bir faturalandırma kümesidir. DNS anahtarı herkese açıktır ve bekleniyor. Özel anahtarın yalnızca iki düğüme ulaşması amaçlanıyor, ancak eski bir yapı hattı da onu ilgisiz projelerin erişebileceği bir görüntüye yerleştiriyor. Mevcut düğüm dosyası izinlerinin güvence altına alınması, eski riskleri ortadan kaldırmayacaktır. Dağıtım yolunu araştırın ve potansiyel olarak açığa çıkan bir sırrı olay sürecine göre ele alın.
Özel anahtarı asla genel DNS alanına, bilete, sohbete veya genel DKIM denetleyicisine yapıştırmayın. Desteğin kanıta ihtiyacı olduğunda, kamu seçicisine bilgi ve uygun şekilde kontrol edilen teşhis sonuçlarını sağlayın. Ham mesajlar da hassas içerik içerebilir; Paylaşılanları en aza indirin ve onaylı kanalları kullanın.
Kimlerin imzalayabileceğini ve sırları kimlerin alabileceğini azaltın
Hem yönetim hem de çalışma zamanı erişimi için platformun desteklenen en az ayrıcalıklı kontrollerini kullanın. İmza talep edebilen bir hesap, anahtarı dışarı aktaramasa bile güçlü olabilir. İzin verilen gönderme kimliklerini kimlerin değiştirebileceğini, posta gönderebileceğini, anahtarları döndürebileceğini, imzalayan yapılandırmasını dağıtabileceğini ve yedekleri alabileceğini inceleyin.
Mimarinin bağımsız anahtarları ve seçicileri desteklediği farklı sahiplere veya güven düzeylerine sahip ayrı hizmetler. Her uygulamaya bir anahtarın kopyalanması, bir olayın kapsamının belirlenmesini zorlaştırır ve kullanımdan kaldırılması daha yıkıcı hale gelir. Yüksek kullanılabilirlik, yasal olarak paylaşılan bir imzalama kimliği gerektirebilir, ancak bu, kopyalanan bir yapılandırma dosyasının tesadüfi bir sonucu olmaktan ziyade, kontrollü dağıtıma sahip açık bir tasarım olmalıdır.
Sırrı dağıtmadan kurtarmayı test edin
Korunan bir anahtarı geri yükleyerek, yeni bir anahtar oluşturarak veya sağlayıcının yönetilen kurtarma yolunu kullanarak bir kesintinin giderilip giderilmediğini sorun. Desteklenen yordamı kontrollü bir ortamda test edin. Kurtarma süresini, DNS bağımlılıklarını ve sıraya alınan postaların hâlâ eski seçiciyi kullanıp kullanmadığını kaydedin. Sadece detaylandırmayı kolaylaştırmak için korumasız ek yedek kopyalar oluşturmayın.
İmzalama platformu ve gizli yönetim sistemindeki günlükleri inceleyin ve etkinliklere erişin. Yararlı soru, belirli bir kontrol panelinin mevcut olup olmadığı değil, yetkisiz bir değişiklik veya kullanımın tespit edilip araştırılıp araştırılamayacağıdır. Bir denetim izi oluşturmak yerine kayıt boşluklarını belgeleyin.
Uygulanabilir bir yaşam döngüsü kaydıyla bitirin
Gözetim haritasını rotasyon ve uzlaşma prosedürlerinin yanında tutun. Personel veya satıcılar ayrıldığında eski erişimi kaldırın ve altyapı değişikliklerinden sonra dağıtımı yeniden kontrol edin. Şüphelenilen bir açığa çıkma durumunda, erişimin kontrol altına alınması, temiz bir değiştirme ve eski anahtarın kullanımdan kaldırılmasının doğrulama sonuçlarının koordine edilmesi. Korumalı bir geçerli dosya, kontrollü imzalama yaşam döngüsünün yalnızca bir parçasıdır.
Velayet kararı çalışma sayfasını kullanın
Her imzalayan kimlik için şu gizli olmayan alanları kaydedin:
- Kullanım: hangi hizmet hesaplarının imza gönderebileceğini veya talep edebileceğini ve hangi kimlikleri kullanabileceğini.
- Alma: özel anahtarı hangi rollerin dışa aktarabileceği veya geri yükleyebileceği ve onaylı kopyaların nerede bulunduğu.
- Değişiklik: İmzalayan yapılandırmasını, izin verilen kimlikleri veya dağıtım yapıtlarını kimin değiştirebileceği.
- Kurtarma: desteklenen yolun korumalı bir anahtarı geri yükleyip yüklemediği veya DNS ve kuyruğa alınmış posta bağımlılıkları ile bir yedek oluşturup oluşturmadığı.
- Kanıt: mevcut erişim/imzalama kayıtları, kapsam boşlukları ve incelemeden sorumlu sahip.
Eski yapı yapısı açıkta kalan bir anahtar içeriyorsa, yalnızca canlı düğümün güvenliğini sağlamak yeterli değildir: eski açığa çıkmanın kapsamını belirleyin ve olay prosedürleri kapsamında temiz değiştirmeye karar verin. Bu çalışma sayfası, editoryal güvenlik kılavuzudur, belirli bir platformun bu kontrolleri sağladığına dair bir iddia değildir.
İlgili okuma
DKIM anahtarını iptal edin ve iptali eksik DNS kaydından ayırt edin · DKIM anahtar uzunluğu ve algoritmalar: mevcut alıcı desteğini kontrol edin.