DKIM

DKIM to mechanizm kryptograficznego podpisywania wiadomości, umożliwiający weryfikację ich integralności i pochodzenia.

Jak działa podpis DKIM w wiadomości e-mail

DKIM, czyli DomainKeys Identified Mail, jest mechanizmem uwierzytelniania poczty elektronicznej opartym na kryptografii asymetrycznej. Serwer wysyłający wiadomość oblicza skrót wybranych elementów e-maila, a następnie podpisuje go kluczem prywatnym przypisanym do domeny nadawcy. Wynik jest umieszczany w nagłówku DKIM-Signature. Odbiorca nie musi znać klucza prywatnego, ponieważ może pobrać odpowiadający mu klucz publiczny z systemu DNS.

W podpisie DKIM znajdują się między innymi domena podpisująca, identyfikator selektora, algorytm użyty do podpisu, lista nagłówków objętych ochroną oraz wartość podpisu. Domena jest wskazywana parametrem d=, a selektor parametrem s=. Razem tworzą adres rekordu DNS w postaci selector._domainkey.example.com. Rekord TXT umieszczony pod takim adresem zawiera klucz publiczny, zwykle oznaczony parametrem p=.

Integralność nagłówków i treści wiadomości

Weryfikacja DKIM sprawdza, czy wiadomość po podpisaniu nie została zmieniona w zakresie objętym podpisem. Nadawca określa w parametrze h=, które nagłówki są podpisywane, na przykład From, To, Subject i Date. Treść wiadomości jest zabezpieczana osobnym skrótem zapisanym w parametrze bh=. Odbiorca ponownie oblicza skrót treści i porównuje go z wartością z nagłówka.

Podpis DKIM nie szyfruje wiadomości. Treść e-maila nadal może być odczytana przez systemy uczestniczące w jego dostarczeniu, a sam mechanizm nie potwierdza automatycznie, że osoba wysyłająca wiadomość jest właścicielem konkretnej skrzynki. DKIM potwierdza przede wszystkim, że wiadomość została podpisana kluczem powiązanym z określoną domeną i że chronione elementy nie zostały zmienione po podpisaniu. Podpis może przestać być poprawny, gdy po drodze zmodyfikuje go bramka pocztowa, system dopisujący stopkę albo narzędzie zmieniające format wiadomości.

Rekord DNS, selektor i typowe wyniki kontroli

Konfiguracja DKIM wymaga wygenerowania pary kluczy oraz opublikowania klucza publicznego w DNS. Klucz prywatny pozostaje po stronie systemu podpisującego pocztę i nie powinien być umieszczany w rekordach DNS ani przekazywany odbiorcom. Selektor pozwala używać więcej niż jednego klucza dla tej samej domeny, na przykład podczas zmiany dostawcy poczty lub rotacji kluczy. Po opublikowaniu nowego klucza można stopniowo kierować podpisywanie na nowy selektor, a następnie usunąć stary rekord, gdy nie jest już potrzebny.

Wynik kontroli odbiorcy jest zapisywany w nagłówku Authentication-Results. Wartość dkim=pass oznacza, że podpis został zweryfikowany przy użyciu klucza publicznego znalezionego w DNS. dkim=fail wskazuje na niezgodność podpisu, zmianę chronionych danych albo problem z kluczem. dkim=none oznacza brak podpisu, natomiast dkim=temperror lub dkim=permerror sygnalizuje odpowiednio przejściowy albo trwały problem z weryfikacją. Sam wynik DKIM nie musi jeszcze decydować o dostarczeniu wiadomości, ponieważ odbiorca może uwzględniać także SPF, DMARC, reputację nadawcy i własne reguły filtrowania.

Sprawdzanie DKIM na komputerze użytkownika

Na laptopie lub komputerze PC poprawność DKIM można sprawdzić przez wyświetlenie pełnych nagłówków odebranej wiadomości. W zależności od programu pocztowego funkcja ta może nazywać się „pokaż źródło”, „oryginał wiadomości” albo „pełne nagłówki”. Należy odszukać pola DKIM-Signature i Authentication-Results, a następnie porównać domenę d=, selektor s= oraz wynik weryfikacji. Brak nagłówka DKIM może oznaczać, że wiadomość nie została podpisana, ale nie jest sam w sobie dowodem awarii komputera.

Warszawskie Pogotowie Komputerowe zajmuje się profesjonalną naprawą laptopów, komputerów PC i ich podzespołów, dlatego może sprawdzić stanowisko, na którym występują problemy z programem pocztowym, wyświetlaniem pełnych nagłówków albo lokalną konfiguracją aplikacji. W przypadku błędów zależnych od rekordu DNS, podpisującego systemu pocztowego lub polityki domeny konieczne jest jednak analizowanie konfiguracji po stronie odpowiedzialnego dostawcy poczty. Warto rozróżnić problem z odczytem wiadomości na komputerze od nieprawidłowego podpisu generowanego jeszcze przed dostarczeniem e-maila.