DKIM Kayıt Kontrolü

DKIM (DomainKeys Identified Mail), e-posta gönderenlerin iletileri kendi alan adları adına dijital olarak imzalamalarını sağlayarak e-posta sahteciliğini önleyen kritik bir e-posta kimlik doğrulama yöntemidir. Bu doğrulama, DNS üzerinde yayımlanan bir TXT kaydı aracılığıyla gerçekleştirilir. DKIM Kayıt Kontrolü aracı, alan adı yöneticilerinin hazırladıkları veya mevcut olarak kullandıkları DKIM TXT kayıtlarını yayımlamadan önce analiz etmelerine, biçimlendirme hatalarını tespit etmelerine ve güvenlik zayıflıklarını belirlemelerine olanak tanır.

DKIM TXT Kayıtlarının Yapısı ve Bileşenleri

Bir DKIM TXT kaydı, noktalı virgüllerle ayrılmış etiket-değer çiftlerinden (tag-value pairs) oluşan bir dizidir. Her etiket, e-posta sunucularının imzayı doğrulamak için ihtiyaç duyduğu belirli bir parametreyi tanımlar. Araç, yapıştırılan kayıt metnini ayrıştırarak her bir bileşeni ayrı ayrı inceler:

• Sürüm (v): DKIM protokolünün sürümünü belirtir. Mevcut standartlar gereği bu etiket mevcut olduğunda ilk etiket olmalıdır ve değeri tam olarak DKIM1 olmalıdır.
• Anahtar Türü (k): Şifreleme algoritmasını tanımlar. DKIM için desteklenen anahtar türleri rsa ve ed25519 algoritmalarıdır.
• Açık Anahtar (p): Alıcı sunucuların e-posta imzasını doğrulamak için kullandığı Base64 formatındaki kriptografik açık anahtardır. Bu etiket zorunludur; eksik olması durumunda doğrulama yapılamaz.
• Hizmetler (s): Bu anahtarın hangi hizmetler için geçerli olduğunu belirtir. Geçerli değerlerin email veya genel eşleşme anlamına gelen * karakterini içermesi gerekir.
• Kabul Edilen Özet Algoritmaları (h): İmzalamada izin verilen hash algoritmalarını sınırlar. Güvenlik standartları gereği bu etiket mevcutsa sha256 algoritmasına izin vermelidir.

DNS TXT Kayıt Sınırları ve Parça Birleştirme

DNS protokolü, TXT kayıtları içinde yer alan karakter dizilerine belirli sınırlamalar getirir. Bir DNS TXT kaydı birden fazla karakter dizisi (parça) içerebilir, ancak her bir bağımsız dizinin uzunluğu en fazla 255 bayt ile sınırlıdır.

Özellikle 2048 bit veya daha uzun RSA anahtarları kullanıldığında, Base64 kodlu açık anahtar tek bir 255 baytlık dizeye sığmaz. Bu durumda kayıt, bölge dosyalarında (zone file) parantezler kullanılarak veya tırnak işaretleri içinde birden fazla parça halinde sunulur. DNS sunucuları bu parçaları sırayla birleştirerek tek bir bütün kayıt haline getirir.

DKIM Kayıt Kontrolü, yapıştırılan değerdeki tırnaklı TXT parçalarını ve bölge dosyası parantezlerini otomatik olarak algılar, bunları birleştirir ve analiz işlemini bu birleşik değer üzerinden gerçekleştirir. Bu işlem sırasında her bir parçanın 255 baytlık DNS sınırını aşıp aşmadığı da denetlenir.

Kriptografik Anahtarlar ve Güvenlik Standartları

DKIM güvenliği, kullanılan kriptografik anahtarların türüne ve uzunluğuna doğrudan bağlıdır. Araç, modern e-posta altyapılarında kullanılan iki anahtar türünü analiz eder:

RSA Anahtarları

RSA, DKIM için en yaygın kullanılan algoritmadır. Ancak işlemci güçlerinin artmasıyla birlikte eski ve kısa anahtarlar artık güvenli kabul edilmemektedir:

• 1024 bit altı: Güvenlik açısından tamamen geçersiz kabul edilir ve DKIM standartları gereği en az 1024 bit anahtar boyutu zorunludur.
• 1024 bit ile 2048 bit arası: Çalışabilir durumdadır ancak günümüz standartlarında önerilenden daha zayıf olarak değerlendirilir. Güvenli bir yapılandırma için 2048 bit veya daha büyük anahtar boyutları önerilir.

Ed25519 Anahtarları

Ed25519, daha kısa anahtar boyutlarıyla yüksek güvenlik sunan modern bir eliptik eğri algoritmasıdır. Bu algoritma kullanıldığında, çözülen açık anahtar değerinin tam olarak 32 bayt uzunluğunda olması gerekir.

Hash Algoritmaları ve İptal Durumu

DKIM imzalarında sha1 kullanımı artık tamamen eskimiştir ve güvenlik açıklarından dolayı kullanılmamalıdır. Güncel imzalar için mutlaka sha256 desteği aranır. Ayrıca, p etiketinin değerinin boş bırakılması, ilgili DKIM anahtarının kalıcı olarak iptal edildiğini (revoked) duyurmak için kullanılan standart bir yöntemdir.

Yerel Analiz ve Gizlilik İlkeleri

Bu araç, girilen DKIM kayıtlarını tamamen kullanıcının web tarayıcısında yerel olarak işler. Analiz süreci şu prensiplere dayanır:

• Veri Gizliliği: DKIM kaydınız tarayıcınızda kalır. BroBroGo bunu yüklemez veya kaydetmez.
• Sorgusuz Analiz: Araç, alan adınızın canlı DNS kayıtlarını sorgulamaz veya internet üzerinden herhangi bir sunucuyla iletişim kurmaz.
• İmza Doğrulama Sınırı: Bu işlem yerel bir kayıt-metin kontrolüdür. Araç, gerçek bir e-posta iletisinin üzerindeki DKIM imzasını doğrulamaz, sadece DNS'e eklenecek TXT kaydının sözdizimini ve kriptografik parametrelerini inceler.

Sıkça Sorulan Sorular

Neden uzun DKIM kayıtları alıntı dizelerine bölünüyor?

Bir DNS TXT kaydı birkaç karakter dizisi içerebilir ve her dize 255 bayt ile sınırlıdır. DNS dizileri sıralı olarak birleştirir, bu yüzden tüm parçalar tek bir TXT kaydının içinde kalmalıdır.

Bu denetleyici hangi DKIM anahtar türlerini tanıyor?

RSA ve Ed25519 genel anahtarlarını tanır, Base64 biçimlerini kontrol eder ve 1024 bitten düşük olan RSA anahtarlarını geçersiz, 2048 bitten düşük olanları ise önerilenden zayıf olarak bildirir.

Temiz bir sonuç DKIM'nin çalıştığını kanıtlar mı?

Hayır. Bu sayfa yalnızca yapıştırdığınız kayıt metnini kontrol eder. DNS ile sorgulama yapmaz, bir mesaj imzasını doğrulamaz, seçici adını onaylamaz veya posta alıcılarının kaydı alabileceğini kanıtlamaz.

Boş bir "p" etiketi ne anlama gelir?

DKIM kaydındaki p etiketinin değerinin boş olması, o anahtarın iptal edildiğini gösterir. Bu yöntem, eski veya güvenliği ihlal edilmiş bir anahtarı devre dışı bırakmak için kullanılır.

"sha1, DKIM imzaları için artık geçerli değil ve kullanılmamalıdır" uyarısı neyi ifade eder?

SHA-1 algoritması kriptografik olarak zayıfladığı için DKIM standartlarında artık geçersiz kabul edilmektedir. Güvenli e-posta iletimi için kayıtta SHA-256 (sha256) algoritmasının desteklenmesi zorunludur.