DomainKey-Signature

DomainKey-Signature to starszy nagłówek kryptograficznego podpisywania wiadomości, poprzedzający dzisiejszy standard DKIM.

DomainKey-Signature jako historyczny nagłówek wiadomości

DomainKey-Signature był nagłówkiem używanym przez wcześniejszy system DomainKeys, opracowany przez firmę Yahoo do kryptograficznego podpisywania poczty elektronicznej. Jego zadaniem było powiązanie wiadomości z domeną nadawcy oraz umożliwienie serwerowi odbiorcy sprawdzenia, czy treść i wybrane nagłówki nie zostały zmienione po podpisaniu. Mechanizm wykorzystywał kryptografię asymetryczną: nadawca podpisywał dane kluczem prywatnym, a odbiorca weryfikował podpis przy użyciu odpowiadającego mu klucza publicznego.

DomainKey-Signature nie jest tym samym nagłówkiem co współczesny DKIM-Signature. Oba rozwiązania mają podobny cel i podobną ogólną koncepcję, ale różnią się formatem, nazewnictwem oraz szczegółami procesu podpisywania i weryfikacji. DomainKeys poprzedzał standaryzację DKIM, dlatego obecność starego nagłówka w zapisanej wiadomości zwykle wskazuje na starszą infrastrukturę pocztową, archiwalny eksport albo historyczny ślad działania dawnego oprogramowania.

Jak odczytywano podpis DomainKeys

Wartość DomainKey-Signature składała się z parametrów zapisanych w formie pól oddzielonych średnikami. Do najważniejszych należały d, określające domenę odpowiedzialną za podpis, s, wskazujące selektor używany do wyboru klucza publicznego, oraz b, zawierające właściwy podpis kryptograficzny. Parametr h opisywał nagłówki uwzględnione przy tworzeniu podpisu, natomiast c określał sposób kanonikalizacji, czyli normalizacji danych przed obliczeniem podpisu.

Serwer odbiorcy odczytywał domenę i selektor z nagłówka, a następnie szukał klucza publicznego w systemie DNS. W DomainKeys rekord klucza był publikowany pod nazwą zależną od selektora i domeny, w rekordzie TXT. Po pobraniu klucza odbiorca odtwarzał dane objęte podpisem, uwzględniając wskazane nagłówki oraz treść wiadomości, po czym sprawdzał podpis kluczem publicznym. Zgodność oznaczała, że podpis pasuje do dostępnego klucza i że sprawdzane dane nie zostały zmienione w sposób wykrywalny przez ten mechanizm.

Weryfikacja nie była jednak równoznaczna z całkowitym potwierdzeniem tożsamości nadawcy. Wynik zależał między innymi od poprawności konfiguracji DNS, dostępności rekordu TXT, zgodności algorytmu oraz tego, jakie elementy wiadomości faktycznie objęto podpisem. Przekazywanie poczty przez kolejne serwery mogło zmieniać nagłówki lub treść, przez co podpis stawał się nieważny.

Różnice między DomainKey-Signature a DKIM-Signature

Najważniejsza różnica polega na tym, że DomainKey-Signature należy do systemu DomainKeys, a DKIM-Signature do późniejszego standardu DKIM. DKIM został opisany między innymi w dokumentach RFC 4871 i RFC 6376, podczas gdy DomainKeys opisano w RFC 4870. DKIM przejął ideę podpisywania wiadomości, ale uporządkował format nagłówka, sposób publikowania kluczy oraz reguły obsługi podpisywanych danych. Współczesne serwery pocztowe oczekują przede wszystkim nagłówka DKIM-Signature.

Nie należy zastępować nazwy DomainKey-Signature nazwą DKIM-Signature podczas analizy starego logu lub archiwalnej wiadomości. Taka zamiana może prowadzić do błędnej interpretacji parametrów, ponieważ podobieństwo celu nie oznacza pełnej zgodności implementacyjnej. Wiadomość może zawierać kilka podpisów różnych systemów, a każdy z nich powinien być oceniany według własnych reguł. Sam fakt obecności DomainKey-Signature nie dowodzi, że wiadomość przeszła poprawną weryfikację ani że aktualna konfiguracja domeny nadal obsługuje DomainKeys.

Znaczenie starego nagłówka podczas analizy poczty

W praktycznej diagnostyce DomainKey-Signature warto sprawdzić pełne, surowe nagłówki wiadomości, a nie tylko widok prezentowany przez program pocztowy. Istotne są wartości pól d, s, h i b, kolejność nagłówków Received oraz informacje o wyniku weryfikacji dodane przez serwery pośredniczące. Należy również porównać domenę wskazaną w podpisie z rekordem DNS, jeżeli analiza dotyczy środowiska, które nadal może obsługiwać stary mechanizm. Zmiana treści wiadomości, kodowania, separatorów wierszy albo podpisywanych nagłówków może powodować niezgodność.

Jeżeli współczesny klient pocztowy pokazuje ostrzeżenie dotyczące DomainKey-Signature, nie musi to oznaczać awarii laptopa ani uszkodzenia programu. Przyczyną może być wiadomość pochodząca ze starego systemu, nieaktualny rekord DNS, przekazanie poczty przez usługę pośrednią albo błędnie obsługiwany podpis. Na komputerze można sprawdzić nagłówki, źródło wiadomości, wersję używanego klienta pocztowego i powtarzalność problemu. Warszawskie Pogotowie Komputerowe wykonuje profesjonalną diagnostykę laptopów, komputerów PC oraz ich oprogramowania, gdy problem z wyświetlaniem lub analizą poczty wymaga sprawdzenia lokalnego środowiska.