[ 运输安全 ]
发布和轮换 TLSA 记录而不中断SMTP传送
在删除旧关联之前，通过预发布、缓存感知重叠、队列验证和恢复边界来规划固定参数 TLSA 轮转。
由EmailAuth研究团队提供 · 8 分钟阅读
[ 要点 ]
- 确定更改是否替换密钥、证书、信任锚或 TLSA 参数。
- 对于固定参数翻转，请在部署之前预先发布新旧关联至少两个 TTL。
- 仅在了解活动服务和回滚依赖性后才停用旧关联。
[ 外卖 ]
围绕已验证的重叠协调DNS和SMTP操作员，然后分阶段部署和停用，而不会混淆已保存的证书与安全回滚。
[ 按角色 ]
这对您意味着什么
选择您的角色以执行后续实际步骤。
IT/邮件管理员
验证每个翻转阶段
成功的部署作业并不能证明每个SMTP实例都提供预期的密钥。
后续步骤
- 捕获安全基线和完整的 TLSA 元组。
- 预先发布扩展集并记录时间。
- 在淘汰旧数据之前验证每个活动实例。
CISO / SecOps
将公共证据与密钥保管分开
DNS计划需要关联，而不是私钥。
后续步骤
- 明确查看使用情况和参数更改。
- 维护每个已发布组合的当前匹配记录。
- 将DNSSEC验证视为一个独立的门。
创始人/非技术人员
协调维护依赖性
DNS缓存和交错服务器部署的寿命可能会超过维护窗口。
后续步骤
- 指定发布所有者和SMTP所有者。
- 批准合理的重叠和恢复计划。
- 在最终退休步骤之前需要证据。
[ 常见问题解答 ]
常见问题
[ 来源 ]
来源
- RFC 1035
部分 §3.2.1 格式 · §3.3.13 SOA RDATA 格式
- RFC 8460
部分 §3。报告政策 · §4.1 报告时间范围 · §4.3 结果类型 · §5.2 压缩 · §5.3 电子邮件传输 · §5.4 HTTPS 传输 · §5.5 传送重试 · §5.6 元数据差异 · §7.安全考虑
- RFC 7672
部分 §2.1 DNS注意事项 · §2.2 TLS发现 · §2.2.1 MX解析 · §2.2.3 TLSA 记录查找 · §3.1 TLSA 证书用法 · §3.2 证书匹配 · §4。服务器密钥管理
- RFC 7671
部分 §6。服务提供商和 TLSA 发布者同步 · §7。 TLSA 基本域和 CNAME · §8。 TLSA 发布商要求 · §8.1 具有固定 TLSA 参数的密钥轮转 · §8.3 切换到新的 TLSA 参数
- RFC 6698
部分 §2.1 TLSA RDATA 有线格式 · §3。 TLSA 证书协会的域名
[ 词汇表 ]
词汇表
- 回滚边界
- 在没有进一步协调的情况下，发布和缓存的仅新数据可能会使返回旧服务器密钥变得不安全。
企业出处
为什么顶级金融机构和政府 退役了他们的电子邮件安全仪表板。
传统的电子邮件身份验证平台会向您出售仪表板并要求您的工程师来完成这项工作。在高风险环境中，手动监督意味着延迟执行、配置漂移和不受监控的影子域。
EmailAuth是代理电子邮件来源平台。 我们的代理人强制执行 p=reject，保持第三方发件人一致并将您的域名移至完整状态 RFC 9989 合规性、新的DMARC标准，以及人机交互审核能力。
SaaS · 专用租赁 · 气隙本地部署 · BYOK 加密