La posta è sicura se è crittografata con PGP, ma non è firmata se inviata con DKIM?

In primo luogo, DKIM ti dà solo la certezza che:

a DNS administrator was involved in the process of signing this message.

La firma DKIM è pensata per creare una reputazione con un "selettore". Viene emesso un selettore (chiave di firma):

• per utente
• per gruppi di utenti
• per dominio.

La granularità di tale firma non è definita nella RFC e fino all'amministratore del DNS.

Se sei a posto con quella flessibilità, possibile garanzia di firma di tutti, allora sei OK, ma non sono sicuro di cosa ti darà.

Successivamente, DKIM ha tre modalità:

• Completo
• Solo intestazioni
• Firma parziale (con il parametro -L (lunghezza).)

Gli ultimi due indicano che il contenuto crittografato può essere sostituito nella sua interezza con un altro carico utile.

A meno che tu non abbia un'implementazione molto rigida di DKIM, non è un sostituto per l'autenticazione di un utente finale (a meno che tutto quello che ti interessa sia il nome DNS)

Ho trascorso del tempo nel gruppo di lavoro della RFC ma ho lasciato la fase di bozza finale, quindi sono sicuro al 99% che questa roba sia ancora vera.

PGP offre la crittografia end-to-end, il client e-mail firma il messaggio e il client e-mail del destinatario lo verifica. Con DKIM, il tuo server di posta firma il messaggio. La differenza è che il messaggio potrebbe essere modificato durante il transito mentre il client invia il messaggio al server. È possibile rimuovere tale rischio inviando il messaggio utilizzando SMTPS o SMTP con STARTTLS. Tuttavia, il ricevitore non ha la certezza che il messaggio sia arrivato direttamente da te, inalterato, perché non è una crittografia end-to-end.

Inoltre, con DKIM, è il server ricevente (MTA) a verificare la firma, non il client ricevente (MUA). Tutto ciò che il client vede in genere è un'intestazione aggiunta che afferma che il server ricevente era soddisfatto della firma. Un'intestazione aggiunta non è esattamente una garanzia di autenticità.

In breve, DKIM è progettato come mezzo per verificare che il messaggio sia passato attraverso un server legittimo. È principalmente una contromisura per lo spam. Non garantisce che il messaggio abbia avuto origine da te.