canonicalization (DKIM)

Canonicalization (DKIM) to proces normalizacji treści wiadomości przed obliczeniem podpisu kryptograficznego, umożliwiający jego weryfikację mimo drobnych zmian w transporcie.

Canonicalization DKIM – na czym polega normalizacja wiadomości

Canonicalization w mechanizmie DKIM oznacza sposób przygotowania wiadomości e-mail przed wyliczeniem podpisu kryptograficznego. Podpis nie jest tworzony wyłącznie na podstawie widocznego tekstu, lecz obejmuje określone nagłówki oraz treść przesyłki. Ponieważ wiadomość podczas przekazywania między systemami pocztowymi może zostać nieznacznie zmieniona, stosuje się reguły normalizacji pozwalające rozróżnić modyfikacje istotne od technicznych różnic, które nie powinny unieważniać podpisu.

W praktyce normalizacja może obejmować między innymi sposób traktowania końcowych znaków nowej linii, pustych wierszy, nadmiarowych odstępów oraz zapisu nagłówków. Celem jest uzyskanie przewidywalnej postaci danych zarówno po stronie nadawcy, gdzie tworzony jest podpis, jak i po stronie odbiorcy, gdzie przeprowadzana jest jego weryfikacja. Jeżeli obie strony zastosują te same zasady, drobne zmiany formatowania powstałe w trakcie dostarczania wiadomości nie muszą prowadzić do odrzucenia podpisu.

DKIM wykorzystuje dwa podstawowe tryby canonicalization: simple oraz relaxed. Tryb simple pozostawia niewielki zakres tolerowanych zmian i jest bardziej wrażliwy na modyfikacje formatowania. Tryb relaxed upraszcza wybrane elementy nagłówków i treści, dzięki czemu lepiej znosi typowe różnice w zapisie białych znaków. Ustawienie tego parametru jest zapisywane w podpisie DKIM, dlatego system weryfikujący wie, według jakiej metody należy odtworzyć dane użyte do sprawdzenia.

Znaczenie canonicalization dla weryfikacji podpisu DKIM

Podpis DKIM nie potwierdza wyłącznie adresu widocznego w polu nadawcy. Potwierdza także, że wybrane fragmenty wiadomości odpowiadają danym podpisanym przez system nadawczy oraz że przesyłka została opatrzona podpisem przy użyciu klucza powiązanego z odpowiednią domeną. Canonicalization ma w tym procesie znaczenie praktyczne, ponieważ określa, jak należy przygotować dane do porównania z wartością zawartą w podpisie.

Ważne jest rozróżnienie normalizacji nagłówków i normalizacji treści. Nagłówki mogą być zapisywane z różnymi odstępami wokół dwukropka, a ich nazwy nie zawsze zachowują tę samą wielkość liter. Treść może natomiast zawierać dodatkowe puste wiersze albo różnice w końcowych odstępach. Tryb relaxed ogranicza wpływ takich zmian, ale nie oznacza pełnej odporności na edycję wiadomości. Zmiana słów, adresów, załączników, kolejności podpisywanych nagłówków lub innych danych objętych podpisem może nadal spowodować niepowodzenie weryfikacji.

W konfiguracji DKIM spotyka się zapis określający osobno metodę dla nagłówków i dla treści, na przykład połączenie trybu bardziej restrykcyjnego z trybem tolerującym drobne różnice formatowania. Nie należy oceniać poprawności ustawienia wyłącznie na podstawie samej obecności rekordu DKIM w DNS. Konieczne jest sprawdzenie, czy podpis jest generowany, czy klucz publiczny jest dostępny oraz czy wiadomość zachowuje zgodność po przejściu przez wszystkie elementy trasy dostarczenia.

Typowe problemy związane z canonicalization DKIM

Jednym z częstszych problemów jest niezgodność między sposobem tworzenia podpisu a sposobem ponownego obliczania wartości po stronie odbiorczej. Przyczyną może być nieprawidłowa implementacja, błędny wybór trybu normalizacji albo niejednoznaczne przetwarzanie końców linii. W efekcie podpis zostaje oznaczony jako niepoprawny, mimo że wiadomość wygląda dla odbiorcy na niezmienioną.

Problemy mogą pojawić się także po modyfikacji wiadomości przez pośredni system pocztowy. Dodanie stopki, zmiana tematu, przepisanie adresu nadawcy, korekta kodowania znaków lub przebudowanie struktury treści może naruszyć fragmenty uwzględnione w podpisie. Szczególnej uwagi wymagają wiadomości wieloczęściowe, zawierające format tekstowy i HTML, ponieważ różne części mogą być przetwarzane odmiennie. Nie każda zmiana wpływa na DKIM, lecz każda ingerencja w podpisywane dane powinna być traktowana jako możliwe źródło błędu.

W diagnostyce spotyka się również sytuację, w której problem przypisywany jest canonicalization, choć faktyczna przyczyna znajduje się w innym miejscu. Błąd może wynikać z braku rekordu klucza publicznego w DNS, niezgodności selektora, wygasłego lub niewłaściwego klucza, niepełnego podpisu albo nieprawidłowego wyboru nagłówków objętych podpisem. Z tego względu analizuje się pełny komunikat diagnostyczny, nagłówek DKIM-Signature, odpowiedź DNS oraz wynik kontroli po stronie odbiorcy, a nie tylko pojedynczy parametr.

Nie powinno się także utożsamiać udanego DKIM z gwarancją dostarczenia wiadomości do skrzynki odbiorczej. Canonicalization pomaga zachować spójność podpisu, natomiast reputacja domeny, polityka DMARC, wynik SPF, treść wiadomości i zasady stosowane przez odbiorcę wpływają na dalszą ocenę przesyłki.

Kiedy najlepiej umówić wizytę serwisową - canonicalization (DKIM)

Zgłoszenie problemu do serwisu jest uzasadnione, gdy wiadomości wysyłane z własnej domeny regularnie otrzymują wynik dkim=fail, podpis znika po przekazaniu przez określony system albo błędy występują tylko przy wiadomościach zawierających załączniki, stopki lub wersję HTML. Warto również skorzystać z pomocy, gdy nie ustalono, czy problem dotyczy normalizacji, rekordu DNS, klucza publicznego, konfiguracji programu pocztowego czy modyfikacji dokonywanej po drodze.

W Warszawskim Pogotowiu Komputerowym 24/7 wykonywana jest darmowa diagnoza laptopa, co pozwala rozpocząć sprawdzanie od zebrania objawów, odczytania pełnych nagłówków oraz ustalenia, na którym etapie podpis przestaje być zgodny. Przydatne jest dostarczenie przykładowej wiadomości wraz z kompletnymi nagłówkami, nazwą domeny, selektorem DKIM oraz informacją, czy błąd występuje u wszystkich odbiorców, czy tylko w wybranych skrzynkach.

Po zebraniu danych można oddzielić błąd konfiguracji od zmian wprowadzanych przez program pocztowy lub pośredni system dostarczania. Sprawdzeniu podlega między innymi obecność rekordu TXT dla właściwego selektora, zgodność domeny podpisującej, lista podpisywanych nagłówków, zastosowany tryb canonicalization oraz wynik kontroli po stronie odbiorczej. Takie uporządkowanie diagnostyki ułatwia dobranie właściwego rozwiązania i ogranicza ryzyko wprowadzania przypadkowych zmian w konfiguracji poczty.