Preverjevalnik zapisov DKIM

Varnost elektronske pošte sloni na preverjanju pristnosti pošiljatelja, pri čemer ima protokol DKIM (DomainKeys Identified Mail) ključno vlogo. DKIM omogoča organizacijam, da digitalno podpišejo e-poštna sporočila, prejemni strežniki pa s pomočjo javnega ključa, objavljenega v DNS zapisu domene, preverijo, ali je sporočilo med prenosom ostalo nespremenjeno. Orodje Preverjevalnik zapisov DKIM omogoča administratorjem e-poštnih domen natančen pregled strukture in komponent zapisa DKIM TXT neposredno v brskalniku.

Kako deluje lokalna analiza zapisa DKIM

Orodje deluje tako, da uporabnik v polje za vnos prilepi celoten zapis DKIM TXT, sistem pa nato razčleni posamezne komponente in preveri njihovo skladnost s tehničnimi standardi. Analiza poteka lokalno v uporabnikovem brskalniku. To pomeni, da orodje ne izvaja poizvedb DNS v realnem času in ne preverja dejanskih podpisov e-poštnih sporočil. Namesto tega se osredotoča na sintaktično pravilnost, strukturo javnega ključa in morebitne varnostne pomanjkljivosti v samem besedilu zapisa.

Vnos je omejen na največ 20.000 znakov. Orodje sprejema tudi navedene TXT enote (v narekovajih) in oklepaje datoteke cone, ki jih pred analizo samodejno združi v enotno besedilno zaporedje. Če je vnos ob zagonu preverjanja prazen, sistem vrne opozorilo: "Najprej prilepite zapis DKIM.".

Struktura in komponente zapisa DKIM TXT

Zapis DKIM TXT je sestavljen iz seznama oznak (angl. tags), ki so ločene s podpičji. Vsaka oznaka določa specifičen parameter kriptografskega ključa ali pravilnika za preverjanje. Med najpomembnejšimi komponentami, ki jih orodje razčleni in prikaže v razdelkih Povzetek DKIM in Razčlenjena polja, so:

• Različica (v): Določa različico protokola DKIM. Če je ta oznaka prisotna, mora biti vedno na prvem mestu v zapisu.
• Vrsta ključa (k): Določa uporabljen kriptografski algoritem. Orodje prepoznava ključe tipa RSA in Ed25519.
• Velikost ključa: Prikazuje dolžino kriptografskega ključa v bitih, kar neposredno vpliva na varnost podpisa.
• Storitve (s): Določa storitve, za katere velja ta zapis. Dovoljeni vrednosti sta email ali splošni znak *.
• Javni ključ (p): Vsebuje kodiran javni ključ Base64, ki se uporablja za dešifriranje podpisa.

Omejitve dolžine zapisov DNS TXT in deljenje na kose

Pri objavi zapisov DKIM v sistemu DNS se administratorji pogosto srečajo s tehnično omejitvijo dolžine posameznih nizov. Zapis DNS TXT lahko namreč vsebuje več znakovnih nizov, pri čemer je vsak posamezen niz omejen na največ 255 bajtov.

Če javni ključ (predvsem pri daljših ključih RSA) presega to omejitev, je treba zapis razdeliti na več delov, ki so znotraj zapisa navedeni v narekovajih. DNS strežniki te dele ob poizvedbi samodejno združijo. Preverjevalnik simulira ta proces in preveri, ali so posamezni deli pravilno oblikovani ter ali kateri izmed njih presega dovoljeno dolžino.

Pravila preverjanja in pogoste napake v zapisih

Orodje med analizo preverja vrsto sintaktičnih in varnostnih pravil ter ob morebitnih odstopanjih izpiše ustrezna opozorila ali napake:

Pravila za različico in oznake

• Oznaka v=DKIM1 mora biti prva oznaka, kadar je prisotna. V nasprotnem primeru se izpiše opozorilo: "Oznaka v=DKIM1 mora biti prva oznaka, kadar je prisotna.".
• Vrednost oznake v mora biti natančno DKIM1. Če je zaznana drugačna vrednost, sistem javi: "Označba v mora biti natančno DKIM1, ne »‹detail›«.".
• Vsaka oznaka se lahko pojavi le enkrat. Podvojene oznake sprožijo napako: "Oznaka ‹tag› se pojavi več kot enkrat.".
• Če polju manjka enačaj, se izpiše: "Polju “‹tag›” manjkajo znak enakosti.".

Zahteve za kriptografske ključe in algoritme

• Podprta sta izključno tipa ključev rsa in ed25519. Nepodprti tipi sprožijo napako: "Tip ključa »‹detail›« ni podprt. Uporabite rsa ali ed25519.".
• Ključi RSA: Zahtevana je minimalna dolžina 1024 bitov. Če je ključ krajši, orodje javi: "Ključ RSA je dolg ‹detail› bitov. DKIM zahteva vsaj 1024 bitov.". Zaradi sodobnih varnostnih standardov se priporoča uporaba vsaj 2048-bitnih ključev. Če je ključ dolg med 1024 in 2047 biti, orodje izda opozorilo: "Ključ RSA je dolg ‹detail› bitov. Priporočena dolžina je 2048 bitov ali več.".
• Ključi Ed25519: Ta sodobnejši tip ključa mora imeti natančno določeno dolžino. Če se ključ ne dekodira pravilno, se izpiše: "Ključ Ed25519 se dekodira v ‹detail› bajtov namesto 32.".
• Preklic ključa: Če je vrednost oznake p prazna, to pomeni, da je ključ namerno preklican. Orodje to prepozna in označi z opozorilom: "Vrednost p je prazna, kar objavlja preklican ključ DKIM.".

Pravilnik o zgoščevanju in storitvah

• Uporaba algoritma sha1 je zastarela in nevarna. Če zapis vsebuje ta algoritem, orodje opozori: "sha1 je zastarel za podpise DKIM in ga ni smeti uporabljati.".
• Oznaka h mora obvezno dovoljevati uporabo algoritma sha256. Če temu ni tako, se izpiše: "Označba h mora dovoliti sha256 za trenutne podpise DKIM.".

Zasebnost podatkov pri preverjanju

Pri uporabi spletnih orodij za preverjanje varnostnih zapisov je ključnega pomena zaščita občutljivih podatkov, kot so kriptografski ključi. Vaš zapis DKIM ostane v vašem brskalniku. BroBroGo ga ne naloži niti ne shrani. Celotna obdelava in razčlenjevanje podatkov potekata lokalno na strani odjemalca, kar preprečuje izpostavljenost vaših javnih ključev zunanjim strežnikom med postopkom analize.

---

Pogosta vprašanja (FAQ)

Zakaj so dolgi zapisi DKIM razdeljeni v navedene nize?

Zapis DNS TXT lahko vsebuje več znakovnih nizov, pri čemer je vsak niz omejen na 255 bajtov. DNS združi nize po vrsti, zato morajo vsi deli ostati znotraj enega zapisa TXT.

Katerih tipov ključev DKIM ta preverjevalnik prepozna?

Prepozna javne ključe RSA in Ed25519, preveri njihovo obliko Base64 ter poroča, da so ključi RSA z manj kot 1024 biti neveljavni, ključi z manj kot 2048 biti pa šibkejši od priporočene moči.

Ali čist rezultat dokazuje, da DKIM deluje?

Ne. Ta stran preverja samo besedilo zapisa, ki ga prilepite. Ne poizveduje DNS, ne preverja podpisa sporočila, ne potrjuje imena izbirnika in ne dokazuje, da lahko prejemniki pošte pridobijo zapis.

Kaj pomeni opozorilo o zastarelem algoritmu sha1?

Algoritem sha1 se zaradi kriptografskih ranljivosti ne smatra več za varnega. Sodobni sistemi za preverjanje e-pošte zahtevajo uporabo močnejših algoritmov, predvsem sha256, zato je uporaba sha1 v podpisih DKIM opuščena in je ni več dovoljeno uporabljati.