DKIM-tietueen tarkistin

DKIM-tietueen rooli sähköpostin todennuksessa

DomainKeys Identified Mail (DKIM) on sähköpostin todennusmenetelmä, jonka avulla verkkotunnuksen omistaja voi allekirjoittaa sähköpostit kryptografisesti. Tämä allekirjoitus varmistaa vastaanottajalle, että sähköposti on todella lähetetty kyseisestä verkkotunnuksesta ja että viestin sisältöä ei ole muutettu kuljetuksen aikana.

DKIM-tietue on DNS-järjestelmään julkaistava TXT-tietue, joka sisältää sähköpostien allekirjoitusten todentamiseen tarvittavan julkisen avaimen ja siihen liittyvät parametrit. Sähköpostipalvelimet noutavat tämän tietueen lähettäjän DNS-tiedoista ja vertaavat siinä olevaa julkista avainta sähköpostin otsikkotiedoissa olevaan kryptografiseen allekirjoitukseen.

DKIM TXT-tietueen rakenne ja komponentit

DKIM-tietue koostuu puolipisteillä (;) erotetuista tunnisteista eli tageista ja niiden arvoista muodossa tagi=arvo. Tietueen rakennetta säätelevät tarkat säännöt, joiden noudattaminen on välttämätöntä todennuksen onnistumiselle.

Tietueen keskeisimmät komponentit ovat:

• Versio (v): Määrittää käytettävän DKIM-version. Jos versiotunniste on mukana, sen on oltava tietueen ensimmäinen tagi ja sen arvon on oltava täsmälleen DKIM1.
• Avaimen tyyppi (k): Määrittää käytettävän kryptografisen algoritmin. Tuetut avaintyypit ovat rsa ja ed25519.
• Julkinen avain (p): Base64-koodattu julkinen avain, jota vastaanottavat palvelimet käyttävät allekirjoituksen murtamiseen. Jos tämä arvo on tyhjä, kyseessä on peruutettu avain.
• Palvelut (s): Määrittää palvelut, joille DKIM-tietue on tarkoitettu. Sallitut arvot ovat joko email tai yleismerki *.
• Sallitut tiivistealgoritmit (h): Määrittää allekirjoituksessa sallitut hash-algoritmit. Nykyisissä DKIM-allekirjoituksissa tämän tunnisteen on sallittava sha256.

DNS TXT-tietueiden rajoitukset ja lohkojako

DNS-protokollassa on teknisiä rajoituksia, jotka vaikuttavat erityisesti pitkiin kryptografisiin avaimiin. Yksittäinen DNS TXT-tietueen merkkijono voi olla enintään 255 tavua pitkä. Jos DKIM-tietueen kokonaispituus ylittää tämän rajan – mikä on tavallista käytettäessä vahvoja 2048-bittisiä RSA-avaimia – tietue on jaettava useampaan lainausmerkeillä ympäröityyn osioon eli TXT-palaan.

Kun tietue jaetaan osiin, DNS-palvelin yhdistää nämä palat automaattisesti yhdeksi merkkijonoksi ilman välilyöntejä. Jos lainausmerkkien ulkopuolelle jää tekstiä tai jos osioiden esitysmuoto on virheellinen, vastaanottavat palvelimet eivät pysty tulkitsemaan tietuetta oikein.

Avaintyypit, avainten koot ja parhaat käytännöt

DKIM-tietueissa käytetään pääasiassa kahta kryptografista avaintyyppiä: RSA ja Ed25519. Avainten turvallisuustaso riippuu suoraan niiden pituudesta ja käytetyistä algoritmeista:

Kryptografisten tiivisteiden osalta vanhentunutta sha1-algoritmia ei saa enää käyttää DKIM-allekirjoituksissa sen tietoturva-aukkojen vuoksi. Nykyisten määritysten on aina tuettava vähintään sha256-algoritmia.

Paikallisen tarkistuksen ja DNS-kyselyn erot

Tämä työkalu suorittaa paikallisen tietueen tekstin tarkistuksen suoraan käyttäjän selaimessa. On tärkeää ymmärtää, miten tämä eroaa reaaliaikaisesta sähköpostin todennuksen testauksesta:

• Paikallinen tarkistus: Analysoi käyttäjän liittämän raakatekstin (enintään 20 000 merkkiä). Se tarkistaa syntaksin, tunnisteiden järjestyksen, avaimen pituuden ja mahdolliset kaksoistagit. Se ei tee DNS-kyselyitä verkkotunnukselle eikä tarkista, onko tietue todella julkaistu internetissä.
• DNS-kysely ja allekirjoituksen vahvistus: Prosessi, jossa sähköpostipalvelin hakee tietueen DNS-nimipalvelimelta tietyn valitsimen (selector) avulla ja vahvistaa saapuneen sähköpostiviestin allekirjoituksen. Paikallinen tarkistus ei voi todistaa, että sähköpostin vastaanottajat pystyvät noutamaan tietueen tai että sähköpostin välitys toimii.

Yksityisyys ja tietojen käsittely

Käyttäjän yksityisyyden suojaamiseksi kaikki syötetyt tiedot käsitellään paikallisesti. DKIM-tietueesi säilyy selaimessasi. BroBroGo ei lataa tai tallenna sitä. Koska kyseessä on paikallinen tietueen tekstin tarkistus, mitään tietoja ei lähetetä ulkoisille palvelimille analysoinnin aikana.

Yleiset virheet ja varoitukset DKIM-tietueissa

Tietueen syntaksivirheet voivat estää sähköpostien todennuksen kokonaan. Työkalu tunnistaa ja raportoi seuraavat virhetilanteet ja varoitukset:

• Puuttuvat tai virheelliset pakolliset tagit: Jos vaadittu julkisen avaimen p-tunniste puuttuu, tietue on käyttökelvoton. Samoin jos v-tunniste on mukana, sen on oltava ensimmäisenä ja sen arvon on oltava täsmällleen DKIM1.
• Syntaksivirheet: Jokaisessa kentässä on oltava yhtäläisyysmerkki (esimerkiksi virhe: Kentästä "‹tag›" puuttuu yhtäläisyysmerkki) ja tunnisteiden nimien on oltava oikeassa muodossa. Jos sama tagi esiintyy useasti, annetaan varoitus ‹tag›-tunniste näkyy useammin kuin kerran.
• Avaimen pituuteen liittyvät ongelmat: RSA-avaimille, jotka ovat alle 1024-bittisiä, näytetään virheilmoitus RSA-avain on ‹detail›-bittiä. DKIM vaatii vähintään 1024-bittejä.. Alle 2048-bittisille avaimille näytetään suositusvaroitus RSA-avain on ‹detail›-bittiä. 2048-bittejä tai enemmän suositellaan..
• Lohkojaon virheet: Jos jaetun tietueen lainausmerkit on asetettu väärin, työkalu ilmoittaa: Lainattu TXT-esitys on virheellinen. Laita kaikki palat lainausmerkkeihin ja poista teksti lainausmerkkien ulkopuolelta..

Usein kysytyt kysymykset (FAQ)

Miksi pitkät DKIM-tietueet jaetaan lainausmerkkijonoihin?

DNS TXT-tietue voi sisältää useita merkkijonoja, ja jokainen merkkijono on rajoitettu 255 tavuun. DNS yhdistää merkkijonot järjestyksessä, joten kaikkien palasten on pysyttävä yhden TXT-tietueen sisällä.

Mitkä DKIM-avaintyypit tämä tarkistus tunnistaa?

Se tunnistaa julkiset RSA- ja Ed25519-avaimet, tarkistaa niiden Base64-muodon ja raportoi RSA-avaimet 1024-bittien alapuolella virheellisiksi ja 2048-bittien alapuolella olevat avaimet suositeltua heikommiksi.

Osoittaako puhdas tulos, että DKIM toimii?

Ei. Tämä sivu tarkistaa vain liittämäsi tietuetekstin. Se ei kysy DNS, vahvista viestin allekirjoitusta, vahvista valitsimen nimeä tai todista, että sähköpostin vastaanottajat voivat noutaa tietueen.

Mitä tarkoittaa, jos p-arvo on tyhjä?

Tyhjä p-arvo tarkoittaa, että kyseinen DKIM-avain on peruutettu. Tätä käytetään tilanteissa, joissa aiemmin käytössä ollut avain halutaan poistaa käytöstä hallitusti ilman koko DNS-tietueen poistamista.