PGP Key Signing Robot DKIM Email verificate

Questa è un'idea interessante, e ho dovuto considerare per qualche istante se ci sarebbero stati dei difetti, ma ci sono.

(semplice) DNS non è sicuro

L'hai già capito, ma puoi verificare le firme DNSSEC per evitare voci DNS simulate. Il blocco potrebbe essere fattibile, ma cosa fare in caso di chiavi cambiate di proposito?

DKIM firma il dominio, non gli utenti

Definizione di RFC 6376, firme DKIM (Domain Identified Mail) (,

DomainKeys Identified Mail (DKIM) permits a person, role, or organization that owns the signing domain to claim some responsibility for a message by associating the domain with the message.

Molti server di posta controllano solo le credenziali dell'utente quando accettano i messaggi inviati e non l'indirizzo del mittente. Ciò significa che per il provider di posta elettronica example.net , puoi accedere come [email protected] e inviare mail come [email protected] (che risulterebbe in una firma DKIM corretta), spesso anche per altri domini come [email protected] (che risulterebbe in una firma DKIM rotta o nulla). Puoi impostare il campo From: piuttosto arbitrariamente, e non è nemmeno qualcosa che i server di posta dovrebbero impedire.

DKIM garantisce solo server di invio validi, non autorizzati a inviare utenti. Serve a impedire che i server falsi inviino messaggi, che è la fonte più comune di messaggi spam.

Più utenti potrebbero essere in grado di inviare da un determinato indirizzo mail

Ci sono casi d'uso in cui più persone possono inviare da un determinato indirizzo, ma non sono autorizzati a ricevere messaggi. I casi d'uso potrebbero essere ad esempio:

• sistemi di supporto, dove viene utilizzato un indirizzo di mittente univoco, ma internamente i ticket vengono instradati agli operatori specifici
• sistemi di newsletter e modalità operative simili in cui ci sono operatori autorizzati a inviare posta (e hanno record DKIM validi per i propri server), ma non dovrebbero ricevere feedback
• mailing lists

Se DKIM avrebbe verificato gli utenti, lo schema proposto consentirebbe a quei mittenti di ottenere le chiavi firmate, sebbene non siano destinatari. Questo potrebbe essere un problema, e potrebbe non essere, ma richiederebbe un'ulteriore definizione di ciò che descrive la certificazione. L'intesa comune è piuttosto una convalida di destinatari .

DKIM promette solo che un server di posta specifico ha elaborato la posta. Solo DMARC crea è un'associazione tra l'intestazione From nella posta e la firma DKIM. Ma questa associazione è limitata solo alla parte del dominio dell'indirizzo, o anche solo al dominio dell'organizzazione in base alle restrizioni nel record DMARC.

Non esiste alcuna prova che l'indirizzo di posta impostato nell'intestazione From della posta sia effettivamente utilizzato nella parte MAIL FROM della finestra di dialogo SMTP. Cioè potrebbe essere che il primo sia [email protected] mentre il secondo è [email protected] . Poiché la parte del dominio dell'indirizzo Da si adatta ancora alla firma DKIM, tutto sembra a posto.

Potrebbe essere che il server di posta si assicurerà che il mittente indicato nella finestra di dialogo SMTP e l'intestazione From siano gli stessi. Ma non riesco a trovare nulla a riguardo nelle specifiche DKIM o DMARC. E mentre gmail e yahoo sembrano riscrivere Da se non corrisponde alla busta SMTP, non c'è alcuna garanzia che anche altri lo facciano. Ciò significa che non è possibile utilizzare una firma DKIM per convalidare un indirizzo e-mail a condizione che non si sappia come questo caso sia gestito da uno specifico provider di posta elettronica ora e anche in futuro.