[ DNS和網域 ]

DNS檢查中的國際網域名稱和 punycode

在執行DNS和身分驗證檢查之前,先比較 Unicode 形式的國際化網域標籤和經過驗證的 ASCII 形式。

由EmailAuth研究團隊提供

[ 重點 ]

  • 保留 Unicode 輸入、經過驗證的 A 標籤輸出和準確的 IDNA 設定檔。
  • 在新增協定下劃線標籤之前轉換網域。
  • 有效的認證並不能確定相似品牌的所有權。
在此頁面上

可以透過 ASCII 相容的表示來查詢以 Unicode 顯示的網域。保留兩種形式和轉換規則,以便可以重現檢查器結果。視覺熟悉度並不能證明兩個名稱標識同一域或屬於同一組織。

將網域名稱與信箱分開

參考: RFC 5890 §2.3.2.1, RFC 5891 §5.

國際化網域標籤可以具有 U 標籤(其有效的 Unicode 形式)和 A 標籤(其經過驗證的 ASCII 相容形式以 xn-- 開頭)。 IDNA 處理在域標籤上進行。它不會將電子郵件本地部分轉換為 ASCII 郵箱,也不會建立 SMTPUTF8 支援。

身份驗證記錄在網域周圍新增協定標籤。使用適當的 IDNA 實現轉換國際化網域部分,然後建立所有者,例如 _dmarc. 加上 A 標籤域。不要透過協議下劃線標籤運行僅主機名的 IDNA 驗證程序並得出底層域無效的結論。

驗證而不僅僅是編碼

參考: RFC 5890 §2.3.2.1, RFC 5891 §4, RFC 5895 §2.

Punycode 是 A 標籤表示的一部分,但並非每個以 xn-- 開頭的字串都是有效的 A 標籤。驗證包括適用的 IDNA 規則、允許的字元和上下文限制。 RFC 5891定義了協定處理,而應用程式對應選擇可能會影響處理之前的使用者輸入。

記錄庫和版本、IDNA 設定檔、Unicode 輸入和產生的 ASCII 形式。工具預設值可能有所不同,特別是對於受映射或舊 IDNA 行為影響的字元。避免默默地標準化不明確的使用者條目並將結果呈現為唯一可能的預期領域。

重現往返賽程

使用已安裝的實作 IDNA2008 的 Python idna 函式庫,運行 idna.encode("bü cher.example ", uts46=False).decode("ascii")。預期輸出是 xn--bcher-kva.example。使用相同的庫對其進行解碼並驗證 Unicode 往返。這個範例是說明性的,並不是關於組織的即時領域的聲明。

構造 _dmarc.xn--bcher-kva.example 和 s1._domainkey.xn--bcher-kva.example 作為DNS擁有者字串。在實驗室或受控檢查器中,擷取工具是否接受 Unicode 輸入、轉換它、拒絕它或發送不同的問題。保留的歷史擷取僅記錄庫轉換,idna 版本為 3.18。本次評測中新的離線轉換檢查單獨記錄了自己安裝的版本; DNS或 SMTPUTF8 測試都不是。

加入帶有無效 xn-- 標籤的負夾具並保留實際的庫異常。將拒絕視為有用的證據,而不是刪除字符,直到輸入恰好通過。對於其他面向使用者的映射,請明確記錄替代配置文件,而不是假設 IDNA2008 嚴格結果與每個瀏覽器匹配。

比較郵件證明中的實際身份

參考: RFC 9989 §4.4, RFC 9989 §5.3.1.

保留原件 來自標題 以及使用的域表示 SPF, DKIM 和 DMARC 分析。對於DMARC , RFC 9989 §5.3.1 要求將提取的 U 標籤作者領域轉換為 A 標籤形式以進行進一步處理。使用協議的 結盟 規則而不是顯示名稱的視覺比較。如果工具不支援訊息語法或國際化行為,請報告限制,而不是默默地選擇一個方便的標識。

使用已知的所有權情境來調查相似者。網域可以透過自己的身份驗證,並且在視覺上仍然類似於另一個組織的名稱。 IDNA 轉換提高了重現性;它不證明品牌所有權,刪除 網路釣魚 冒險或證明電子郵件已獲得預期方的授權。

[ 外帶 ]

有效的認證並不能確定相似品牌的所有權。

[ 按角色 ]

這對您意味著什麼

選擇您的角色以執行後續實際步驟。

IT/郵件管理員

記錄規範化行為

檢查器必須揭示其實際使用的DNS名稱。

後續步驟

  1. 捕獲 Unicode 和 ASCII 形式。
  2. 固定 IDNA 設定檔和版本。
  3. 測試拒絕和往返。

CISO / SecOps

評論相似者,但不要誇大其詞

有效的國際化本身並不值得懷疑或值得信賴。

後續步驟

  1. 比較實際標籤。
  2. 保留原始訊息身分。
  3. 保持網路釣魚和協議結果的區別。

創辦人/非技術人員

將身份與外表分開

看起來熟悉的網域可能屬於其他人。

後續步驟

  1. 驗證實際的網域所有權上下文。
  2. 避免僅透過認證來進行品牌宣傳。
  3. 升級不明確的客戶報告。

[ 常見問題解答 ]

常見問題

什麼是A標籤?

國際化域標籤的有效 ASCII 相容表示,使用 xn-- 形式。

RFC 5890 §2.3.2.1

每個 xn-- 字串都有效嗎?

不可以。它必須滿足 IDNA 驗證,而不僅僅是類似於 Punycode。

RFC 5890 §2.3.2.1

IDNA 是否會轉換郵箱本地部分?

不會。網域轉換與國際化電子郵件地址支援是分開的。

我應該將_dmarc轉換為 IDNA 主機名稱標籤嗎?

轉換域部分並單獨建構協定擁有者;下劃線服務標籤還有另一個作用。

RFC 5891 §5

為什麼兩種工具的歸一化方式不同?

他們可以使用不同的 IDNA 版本或映射配置檔。明確記錄兩者。

RFC 5895 §2

往返測試該保留什麼?

指定設定檔下預期的有效 Unicode 標籤及其相符的 ASCII 形式。

RFC 5890 §2.3.2.1

經過驗證的相似者是否屬於該品牌?

不會。該網域的身份驗證不會建立另一個品牌的所有權。

該範例是透過電子郵件發送的嗎?

否。證據僅限於離線庫轉換和輸入驗證; DNS 、訊息傳遞和 SMTPUTF8 未測試。

[ 來源 ]

來源

  1. RFC 5890

    部分 §2.3.2.1

  2. RFC 5891

    部分 §4 · §5

  3. RFC 5895

    部分 §2

  4. RFC 9989

    部分 §4.4 · §5.3.1

[ 詞彙表 ]

詞彙表

U-標籤
國際化網域標籤的有效 Unicode 形式。

RFC 5890 §2.3.2.1

A標籤
經過驗證的 ASCII 相容 IDNA 標籤。

RFC 5890 §2.3.2.1

普尼碼
國際化標籤的 ASCII 表示中使用的編碼。

RFC 5890 §2.3.2.1

企業出處

為什麼頂級金融機構和政府 退役了他們的電子郵件安全儀表板。

傳統的電子郵件驗證平台會向您出售儀表板並要求您的工程師來完成這項工作。在高風險環境中,手動監督意味著延遲執行、配置漂移和不受監控的影子域。

EmailAuth是代理電子郵件來源平台。 我們的代理人強制執行 p=reject,保持第三方寄件者一致並將您的網域移至完整狀態 RFC 9989 合規性、新的DMARC標準,以及人機互動審核能力。

政府 大型企業 一級金融機構

SaaS · 專用租賃 · 氣隙本地部署 · BYOK 加密

知識庫