Robot de firma PGP Correo electrónico verificado de DKIM

Esta es una idea interesante, y tuve que considerar por unos momentos si habría fallas, pero las hay.

(sin formato) DNS no es seguro

Ya te diste cuenta de esto, pero puedes verificar las firmas de DNSSEC para evitar entradas falsas de DNS. El anclaje podría ser viable, pero ¿qué hacer en caso de que las claves se cambien en el propósito?

DKIM firma el dominio, no los usuarios

Quoating RFC 6376, Firmas de Dominios Identificados del Correo (DKIM) ,

  

DomainKeys Identified Mail (DKIM) permite a una persona, rol o      organización que posee el dominio de firma para reclamar algunos      responsabilidad de un mensaje asociando el dominio con el      mensaje.

Muchos servidores de correo solo verifican las credenciales del usuario cuando aceptan correos enviados y no la dirección del remitente. Esto significa que para el proveedor de correo example.net , puede iniciar sesión como [email protected] y enviar correos como [email protected] (lo que daría como resultado una firma DKIM correcta), a menudo también para otros dominios como [email protected] (lo que daría como resultado una firma DKIM rota o nula). Puede establecer el campo From: de manera arbitraria, y eso no es algo que se supone que los servidores de correo no deben permitir.

DKIM solo garantiza servidores de envío válidos, no permite el envío de usuarios. Está pensado para evitar que los servidores falsos envíen correos, que es la fuente más común de mensajes de spam.

Varios usuarios podrían enviar desde una dirección de correo dada

Hay casos de uso en los que varias personas pueden enviar desde una dirección determinada, pero no se les permite recibir mensajes. Los casos de uso podrían ser, por ejemplo:

• sistemas de soporte, donde se utiliza una dirección de remitente única, pero los tickets se enrutan internamente a los operadores específicos
• sistemas de boletines y modos de operación similares donde hay operadores permitidos para enviar correo (y tienen registros DKIM válidos para sus propios servidores), pero no deberían recibir comentarios
• listas de correo

Si DKIM verificara a los usuarios, el esquema propuesto permitiría a esos remitentes obtener claves firmadas, aunque no son destinatarios. Este podría ser un problema, y podría no ser , pero requeriría una definición adicional de lo que describe la certificación. El entendimiento común es más bien una validación de destinatarios .

DKIM solo hace la promesa de que un servidor de correo específico procesó el correo. Solo crea DMARC es una asociación entre el encabezado De en el correo y la firma DKIM. Pero esta asociación está restringida solo a la parte del dominio de la dirección, o incluso solo al dominio de la organización, dependiendo de las restricciones en el registro DMARC.

No hay pruebas de que la dirección de correo configurada en el encabezado Desde del correo electrónico se use realmente en la parte CORREO DEL cuadro de diálogo SMTP. Es decir. puede ser que el primero sea [email protected] mientras que el segundo sea [email protected] . Debido a que la parte del dominio de la dirección De aún se ajusta a la firma DKIM, todo se ve bien.

Es posible que el servidor de correo se asegure de que el remitente que se proporciona en el cuadro de diálogo SMTP y el encabezado Desde será el mismo. Pero no puedo encontrar nada sobre esto en las especificaciones DKIM o DMARC. Y mientras gmail y yahoo parecen reescribirse desde Si no coincide con el sobre SMTP, no hay garantía de que otros lo hagan también. Esto significa que no puede usar una firma DKIM para validar una dirección de correo electrónico mientras no sepa cómo un caso específico es manejado por un proveedor de correo específico ahora y también en el futuro.