Giden ağ geçidini değiştirmek, görünür amacı yalnızca postayı yönlendirmek olsa bile imzalı bir iletiyi değiştirebilir. Alt bilgiler, bağlantıların yeniden yazılması, MIME dönüşümü ve başlık düzenlemeleri mevcut bir bağlantıyı geçersiz kılabilir DKIM imzası. DNS değiştirmeden veya alıcı sağlayıcıyı suçlamadan önce tam değişiklik ve imzalama sınırlarını belirleyin.
Mesaj işleme sırasını çizin
Uygulama çıktısını, ilk imzalayanı, ağ geçidi dönüşümlerini, son imzalayanı ve alıcıyı belgeleyin. Mümkün olduğunda ağ geçidinden hemen önce ve sonra yetkili bir ham mesaj yakalayın. CRLF satır sonlarını ve tam baytları koruyun; Görüntülenen bir mesajın bir metin düzenleyiciye kopyalanması, aktarım sırasında hiç gerçekleşmemiş değişiklikler yaratabilir.
DKIM seçilen başlıkları ve standartlaştırılmış bir gövdeyi imzalar. İmzanın d, s, h, c'sini ve vücut uzunluğu sınırlamasını inceleyin. Rahat kanonikleştirme keyfi içerik değişikliklerini değil, belirli biçimlendirme farklılıklarını tolere eder. Tam vücut imzalamadan sonra eklenen bir altbilgi normalde metni değiştirir. vücut karması. RFC 6376, bölüm 3.4, 5 ve 6.
Kağıt üzerindeki imzalama sınırlarını karşılaştırın
alerts@example.test d=example.test ile geçerli bir orijinal imza olduğunu varsayalım ve seçici birincisi, rahat vücut kanonikleştirmesi ve l= vücut uzunluğu sınırının olmaması. Gerçek bir anahtar veya imzalı mesaj sağlanmaz.
- Ağ geçidi dönüşümünden önce: imza geçerliliği gözlemlenen bir şifreleme sonucu değil, bir öncüldür.
- Kanonikleştirilmiş tam gövdeyi değiştiren boş olmayan bir metin altbilgisi ekledikten sonra: orijinal gövde karması artık eşleşmez, böylece orijinal imza, belirtilen varsayımlar altında başarısız olur.
- Dönüştürülen baytların d=example.test ve seçici final ile son yetkili imzalanmasından sonra: doğru şekilde oluşturulmuş ve bağımsız olarak doğrulanmış yeni bir imza, hizalanmış bir DKIM yolu sağlayabilir. Gerçek yeni imza geçerliliği test edilmemiştir. Eski imza onarılmaz; tutmak veya kaldırmak ayrı bir işleme seçeneğidir.
Bu yazılı karşılaştırma için hiçbir anahtar oluşturma, imzalama, doğrulama veya ağ geçidi yürütmesi gerçekleşmedi. Üretimde gerçek önceki/sonraki baytları ve önemli verileri yakalayın ve ardından her sonucu varsaymak yerine ölçün.
Sonucu dar bir şekilde yorumlayın
Altbilgiden sonra gözlenen başarısız eski imza, bu dönüşümün söz konusu imzayı bozduğunu ortaya koyacaktır. Her ağ geçidi değişikliğinin her imzayı bozduğu anlamına gelmez. İmzasız bir başlık, imzalı başlık kümesini etkilemeden değişebilir. Kanonikleştirme aynı zamanda bazı boşluk değişikliklerinde geçerliliği de koruyabilir. Tek bir kısa mesajdan yola çıkarak tahmin yapmak yerine gerçek ağ geçidi özelliklerini, MIME yapılarını ve imza ayarlarını test edin.
Yazılı örnek aynı imzalamayı ve Kimden etki alanını varsayar ancak tam olarak yürütülmez DMARC keşif veya alıcı sağlayıcının politikası. DMARC uyumlu bir kimlik doğrulama yolu gerektirir ve alakasız bir ağ geçidi imzalama alanı bunu otomatik olarak sağlamaz hizalama. RFC 9989. Yeni ve geçerli bir imzanın yine de amaçlanan yazar kimliğine göre değerlendirilmesi gerekir.
Üretim imzalama sınırını seçin
Desteklendiği takdirde, imzalanan içeriği değiştirecek yasal dönüşümlerin ardından nihai yetkili imzalamayı yerleştirin. Yeni imzalayanı, kuruluşun onaylı yetkisi kapsamında geçerli bir alan adı ve seçiciyle yapılandırın. Üretim trafiğini yönlendirmeden önce genel anahtarını yayınlayın ve doğrulayın. Kasıtlı bir kullanımdan kaldırma planı kapsamında sıraya alınmış veya gecikmiş mesajlar için gerekli eski seçicileri koruyun.
Altbilgi sorununu, rahat kanonikleştirmenin her türlü yeniden yazmayı kabul edeceğine söz vererek çözmeyin. Rutin bir geçici çözüm olarak imzalı gövde kapsamını azaltmayın; bu imzanın koruduğu şeyi değiştirir. Yukarı akış imzasının hayatta kalması gerekiyorsa, son yeniden imzalamanın önceki imzayı onaracağını varsaymak yerine dönüşümleri veya yönlendirmeyi ayarlayın ve tam baytları doğrulayın.
Ağ geçidi geçişini doğrulama
Düz metni, HTML'yi, ekleri ve temsili iş şablonlarını gerçek yetkili rota üzerinden test edin. Ham başlıkları, güvenilir bir alıcıdan alınan kimlik doğrulama sonuçlarını ve mesaj işlemeyi karşılaştırın. Geri dönme yönetimini ve kuyruk davranışını dahil edin. Yerel imza geçişi, gelen kutusuna yerleştirme, kullanıcı güveni veya her şablonun teslimi yerine, sağlanan anahtar veriler altında kriptografik geçerlilik sağlar.
Geri alma kriterleri, hangi meşru akışların veya kimlik doğrulama yollarının başarısız olduğunu ve eski işlem sırasının nasıl geri yükleneceğini tanımlamalıdır. Ayarları tekrar değiştirmeden önce kanıtları saklayın. Yalnızca yeni rota ve planlanan kurtarma yolu anlaşıldıktan sonra kapatın.