ARC-Seal

ARC-Seal to nagłówek zawierający podpis potwierdzający integralność całego łańcucha ARC danej wiadomości.

ARC-Seal w łańcuchu uwierzytelniania wiadomości

ARC-Seal jest jednym z nagłówków zdefiniowanych w mechanizmie Authenticated Received Chain, opisanym w RFC 8617. Zawiera podpis kryptograficzny odnoszący się do określonego zestawu nagłówków ARC oraz do pozostałych informacji tworzących daną instancję łańcucha. Jego zadaniem jest umożliwienie kolejnemu serwerowi pocztowemu sprawdzenia, czy zapisana wcześniej informacja o uwierzytelnieniu wiadomości nie została zmieniona podczas dalszego przekazywania.

Wiadomość może otrzymać kilka kolejnych zestawów ARC, ponieważ kolejne serwery uczestniczące w dostarczeniu poczty mogą dołączać własne wyniki weryfikacji i własne podpisy. Każdy zestaw jest oznaczany numerem instancji, na przykład i=1 albo i=2. ARC-Seal wykorzystuje ten numer do wskazania konkretnej pozycji w łańcuchu, a nie do opisania całej historii wiadomości jednym, niezmiennym podpisem.

Jakie nagłówki obejmuje podpis ARC-Seal

Typowy zestaw ARC składa się z trzech nagłówków: ARC-Authentication-Results, ARC-Message-Signature oraz ARC-Seal. Pierwszy zapisuje wyniki kontroli uwierzytelnienia wykonanych przez węzeł pośredniczący. Drugi podpisuje wybrane nagłówki wiadomości i jej treść, podobnie jak podpis DKIM. ARC-Seal podpisuje natomiast informacje dotyczące łańcucha ARC, w tym odpowiednie nagłówki wcześniejszych instancji oraz bieżący ARC-Authentication-Results i ARC-Message-Signature.

W nagłówku znajdują się między innymi parametry i=, a=, b=, b=, c=, d=, s= i cv=, zależnie od zastosowanej składni i implementacji. Parametr a= określa algorytm podpisu, na przykład rsa-sha256. Parametry d= i s= wskazują domenę oraz selektor używane do odszukania klucza publicznego w DNS, a b= zawiera właściwy podpis w kodowaniu Base64. Parametr cv= określa wynik kontroli ciągłości wcześniejszej części łańcucha, na przykład none, pass albo fail.

Weryfikacja podpisu i znaczenie parametru cv

Odbiorca nie uznaje ARC-Seal za wiarygodny wyłącznie dlatego, że nagłówek jest obecny. Najpierw musi odczytać klucz publiczny z DNS, korzystając z domeny i selektora wskazanych w podpisie, a następnie odtworzyć podpisywaną reprezentację nagłówków zgodnie z regułami kanonikalizacji ARC. Weryfikowana jest również zgodność numerów instancji oraz kompletność wymaganych nagłówków. Zmiana podpisanego pola, usunięcie elementu łańcucha albo błędne uporządkowanie instancji może spowodować niepowodzenie kontroli.

Parametr cv= ma znaczenie dla oceny ciągłości. W pierwszym zestawie ARC wartość cv=none informuje, że nie istniała wcześniejsza instancja do sprawdzenia. W kolejnych zestawach wartość cv=pass oznacza, że wcześniejszy fragment łańcucha został zweryfikowany. Wartość cv=fail sygnalizuje przerwanie lub niespójność łańcucha. ARC nie nakazuje jednak automatycznego dostarczenia albo odrzucenia wiadomości. Serwer odbiorczy może uwzględnić wynik ARC razem z DKIM, SPF, DMARC, reputacją domeny i lokalną polityką antyspamową.

ARC-Seal nie jest podpisem nadawcy w takim sensie jak podpis DKIM. Podpisuje go podmiot przetwarzający wiadomość, który dodaje własną instancję ARC i publikuje klucz publiczny w swojej domenie. Odbiorca może dzięki temu ocenić, czy wcześniejszy serwer rzeczywiście przekazał określone wyniki uwierzytelnienia, ale nadal musi ufać domenie podpisującej oraz sprawdzić, czy jej działanie pasuje do lokalnej polityki.

ARC-Seal w praktycznej analizie nagłówków pocztowych

Podczas analizy wiadomości należy odczytywać nagłówki ARC w kolejności odpowiadającej numerom instancji, pamiętając, że nagłówki pocztowe są prezentowane w kolejności zależnej od sposobu ich dołączenia i parsowania. Warto porównać wszystkie wystąpienia ARC-Seal, ARC-Message-Signature i ARC-Authentication-Results, sprawdzić ich numery i=, domeny podpisujące, selektory oraz wartości cv=. Sam wpis arc=pass w końcowym raporcie nie zastępuje kontroli szczegółów poszczególnych nagłówków.

Na komputerze użytkownika taki nagłówek zwykle nie jest naprawiany przez zmianę ustawień laptopa ani przez ponowną instalację programu pocztowego. ARC-Seal powstaje i jest weryfikowany na serwerach obsługujących transport wiadomości, dlatego diagnostyka problemu polega przede wszystkim na pobraniu pełnych nagłówków, porównaniu wyników ARC z DKIM, SPF i DMARC oraz sprawdzeniu odpowiedzi DNS dla wskazanego selektora. Przydatne jest także ustalenie, który element łańcucha został dodany przez przekierowanie, listę dyskusyjną albo inny pośredni system modyfikujący wiadomość. Warszawskie Pogotowie Komputerowe zajmuje się profesjonalną naprawą laptopów, komputerów PC i ich podzespołów, natomiast interpretacja ARC-Seal wymaga dostępu do pełnych nagłówków wiadomości oraz konfiguracji systemu pocztowego uczestniczącego w jej dostarczeniu.