Długość klucza (DKIM)

Czym jest długość klucza (DKIM)?

Długość klucza w DKIM (DomainKeys Identified Mail) odnosi się do rozmiaru klucza kryptograficznego używanego do podpisywania i weryfikacji wiadomości e-mail. Określa siłę podpisu cyfrowego nakładanego przez serwer pocztowy nadawcy oraz trudność sfałszowania go przez atakującego. W DKIM dłuższe klucze zapewniają silniejsze bezpieczeństwo, utrudniając złamanie lub sfałszowanie podpisu za pomocą ataku brute-force lub ataków kryptograficznych.

Każda para kluczy DKIM składa się z klucza prywatnego (używanego do podpisywania wiadomości) i klucza publicznego (opublikowanego w rekordzie DNS TXT domeny). Gdy wiadomość zostaje odebrana, serwer pocztowy pobiera klucz publiczny z DNS, weryfikuje podpis za pomocą tego klucza i potwierdza, że wiadomość nie została zmieniona podczas transmisji.

Jak długość klucza działa w DKIM

Długość klucza określa rozmiar klucza szyfrującego w bitach. DKIM obsługuje kilka długości kluczy w zależności od użytego algorytmu, ale większość domen stosuje RSA z kluczami 1024-bitowymi lub 2048-bitowymi. Rozmiar klucza wpływa bezpośrednio zarówno na wydajność, jak i bezpieczeństwo:

• Klucze 512-bitowe: Przestarzałe i niebezpieczne. Łatwe do złamania przy użyciu współczesnej mocy obliczeniowej.
• Klucze 1024-bitowe: Minimum akceptowalne dla wielu systemów pocztowych, ale według dzisiejszych standardów uznawane za słabe.
• Klucze 2048-bitowe: Zalecana najlepsza praktyka dla bezpiecznych i zgodnych ze standardami wdrożeń DKIM.
• Klucze 4096-bitowe: Zapewniają dodatkowe bezpieczeństwo, ale mogą zwiększać rozmiar rekordu DNS i czas wyszukiwania.

Przykład klucza publicznego DKIM opublikowanego w DNS:

Znacznik p= zawiera zakodowany w Base64 klucz publiczny, którego odbiorcy poczty używają do weryfikacji podpisu kryptograficznego w nagłówku DKIM-Signature każdej wiadomości.

Kwestie bezpieczeństwa i zgodności

Długość klucza ma bezpośredni wpływ na bezpieczeństwo DKIM. Krótsze klucze (1024-bitowe lub mniejsze) są bardziej podatne na ataki kryptograficzne, zwłaszcza w miarę wzrostu mocy obliczeniowej. Główni dostawcy skrzynek pocztowych oraz frameworki bezpieczeństwa, w tym DMARC, zalecają stosowanie kluczy RSA 2048-bitowych lub silniejszych, aby zapobiec fałszerstwom i chronić przed przejęciem.

Ważne najlepsze praktyki obejmują:

• Używaj co najmniej kluczy 2048-bitowych dla nowych rekordów DKIM.
• Regularnie rotuj klucze, aby ograniczyć ekspozycję w razie przejęcia.
• Monitoruj limity rozmiaru DNS - klucze 2048-bitowe mogą zwiększać długość rekordu, więc w razie potrzeby dziel długie ciągi na kilka segmentów w cudzysłowach.
• Unikaj używania tego samego selektora w różnych usługach lub strumieniach pocztowych.
• Okresowo audytuj wszystkie selektory DKIM, aby upewnić się, że spełniają współczesne standardy kryptograficzne.

Wiele korporacyjnych standardów bezpieczeństwa (takich jak ISO 27001 i NIST SP 800-177) podkreśla silne zarządzanie kluczami jako element bezpiecznych polityk uwierzytelniania poczty. Używanie przestarzałych lub słabych kluczy DKIM może prowadzić do odrzucenia wiadomości lub niepowodzenia kontroli wyrównania podczas oceny DMARC.

Jak długość klucza wpływa na dostarczalność

Dostawcy skrzynek, tacy jak Google, Yahoo i Microsoft, aktywnie sprawdzają siłę kluczy DKIM. Wiadomości podpisane słabymi kluczami (zwłaszcza kluczami RSA 512-bitowymi lub 1024-bitowymi) mogą zostać oznaczone jako niebezpieczne lub w ogóle nie przejść uwierzytelniania. Może to obniżyć reputację nadawcy i zwiększyć trafianie do folderu spam.

Przejście na klucze 2048-bitowe poprawia zarówno bezpieczeństwo, jak i wiarygodność. Konfigurację DNS trzeba jednak starannie przetestować, ponieważ dłuższe rekordy mogą przekroczyć limity rozmiaru lub powodować niepowodzenia wyszukiwania, jeśli nie zostaną prawidłowo sformatowane. Weryfikacja podpisu DKIM po opublikowaniu nowego klucza zapewnia płynne dostarczanie i dokładne raportowanie w analityce DMARC.

Długość klucza a DMARCeye

DMARCeye nieustannie monitoruje konfiguracje DKIM we wszystkich domenach i subdomenach, aby zapewnić stosowanie najlepszych praktyk kryptograficznych. Platforma analizuje długość klucza każdego selektora, oznacza przestarzałe lub niebezpieczne klucze i ostrzega administratorów, zanim wpłyną one na dostarczalność lub skuteczność uwierzytelniania.

Korelując dane o kluczach z wynikami uwierzytelniania wiadomości, DMARCeye zapewnia szczegółowy wgląd w to, które selektory są w użyciu, które wymagają rotacji i gdzie siła klucza może być poniżej standardów zgodności. Pomaga to organizacjom utrzymać bezpieczną, zgodną ze standardami konfigurację DKIM, która wspiera niezawodną ochronę domeny i silne egzekwowanie DMARC.

Sprawdź swoją konfigurację DKIM:

Wypróbuj DMARCeye za darmo i zabezpiecz swoją domenę e-mail.

Aby dowiedzieć się więcej o DMARC i powiązanych pojęciach, zajrzyj do Słownika pojęć DMARCeye.