DKIM non fornisce non ripudio o riservatezza come PGP/GPG o S / MIME . È principalmente un mezzo di autenticazione del mittente del messaggio ( molto probabilmente al dominio / azienda livello e non individuale ), e (a mia conoscenza) l'uso più pratico è principalmente per la prevenzione dello spam / phishing.
L'ambito della firma DKIM non necessariamente copre l'intero corpo del messaggio, ma principalmente le intestazioni e le parti del corpo.
"Solo i messaggi di testo normale scritti in us-ascii, a condizione che i campi dell'intestazione MIME non siano firmati, [13] godono della robustezza necessaria per l'integrità end-to-end." fonte
Nella maggior parte delle configurazioni tipiche, DKIM è basato su un dominio e tutti gli utenti condividono la stessa chiave pubblica per la firma dei messaggi. L'identità del firmatario non è necessariamente collegata a quella del mittente del messaggio . Ciò significa che chiunque abbia accesso ad inviare e-mail sul dominio può generare messaggi firmati DKIM. Ad esempio, se un malware risiede sul computer di un utente ed è in grado di inviare e-mail dalla propria casella di posta, e se la posta è firmata DKIM sul server di posta (che è abbastanza comune), l'e-mail avrà una firma DKIM valida .
Tuttavia, quando si parla di non ripudio, l'aspettativa è nella maggior parte dei casi che la persona (umana) reale è l'unica in possesso della chiave privata utilizzata per firmare il messaggio, e in tali casi può essere ricollegata a questa persona Il non ripudio è molto difficile a causa dei tanti fattori che circondano la "proprietà" della chiave privata e la capacità di qualcuno di sostenere che questo possesso è stato in qualche modo compromesso (è comunque una piccola digressione)
L'inoltro è un'altra possibilità che DKIM non protegge completamente (vedi la stessa voce di Wikipedia )
Puoi leggere ulteriori informazioni sulle limitazioni e il potenziale uso improprio di DKIM nella sezione sulla sicurezza , nonché sulle Domande frequenti : cosa non fa DKIM
Quindi per cercare in modo più specifico di rispondere alle tue domande (anche se potrebbe essere necessario qualche chiarimento, perché non sono completamente sicuro di quello che chiedi in modo specifico):
-
Verifica che sia originato dal tuo dominio - con un certo grado di certezza, sì. DKIM è destinato principalmente a fornire questo. C'è ancora la possibilità che qualcuno abbia violato il tuo DNS e abbia iniettato le proprie chiavi DKIM e forgiato un messaggio, naturalmente ...
-
Come comunicare questo al tuo utente? Non sono sicuro di cosa sia questo ... Spero che la mia risposta ti dia ancora più chiarezza su DKIM per essere in grado di rispondere da solo ora.
-
In relazione all'articolo - difficile sapere quale potrebbe essere la tua preoccupazione principale. Se le e-mail vengono rubate tramite l'hacking su un server, allora è più una questione di chi ti fidi: gli hacker che hanno fatto questo o le persone che sono state violate? Chi ha una motivazione più alta per mentirti o ingannarti su questo? Le e-mail potrebbero essere una versione legittima e inalterata, oppure potrebbero essere modificate. In quest'ultimo caso, è giusto presumere che gli hacker che hanno ricevuto le e-mail potrebbero essere in grado di falsificare anche la firma. La chiave di firma verrà probabilmente memorizzata sul server di posta stesso, dando agli hacker la possibilità di firmare qualsiasi messaggio che desiderano ...