Как DKIM предотвращает олицетворение?

Question

Я понимаю, что DKIM можно использовать для предотвращения подмены заголовка «From:» в электронном письме. Приемники электронной почты могут проверять подпись DKIM для проверки заголовка «From:».

DKIM-Signature: v=1; a=rsa-sha1; c=relaxed; **d=example.com**; 
h=from:to:subject:content-type; **s=smtpapi**; 
bh=Qdu07jaeIipfZPkXZqzhD3HXzeo=; b=skdennE1MwDXUGfm/mox/OF8MJjaq 
jrE3ETrbeE4PdvokFigU5qTuf2LJ8M9MmxCm4ji6G+CG4u7eKeCdMgAFgEwZCVhp 
8UFYUwXkHFqgzKznGremWWHaXU9aIzUtWyFuOziZhqcP3Jn7/V8xyaCEIPP0dz6b 
aaaI87oazVBMp8= 
From: CEO <ceo@example.com> 

Например, в этом заголовке электронной почты, то DKIM-Signature говорит, чтобы проверить «smtpapi._domainkey.example.com» для открытого ключа, используемого для подписи заголовков сообщений электронной почты.

Но не может ли злоумышленник просто заменить весь контент DKIM-Signature, чтобы указать на другой домен, который они контролируют, и повторно сгенерировать DKIM-подпись с набором ключей, которыми они владеют? Это создало бы действительную подпись DKIM, но позволяло бы спуфинг электронной почты.

DKIM-Signature: v=1; a=rsa-sha1; c=relaxed; **d=attackerDomain.net**; 
h=from:to:subject:content-type; **s=attackerKey**; 
bh=Qdu07jaeIipfZPkXZqzhD3HXzeo=; b=skdennE1MwDXUGfm/mox/OF8MJjaq 
jrE3ETrbeE4PdvokFigU5qTuf2LJ8M9MmxCm4ji6G+CG4u7eKeCdMgAFgEwZCVhp 
8UFYUwXkHFqgzKznGremWWHaXU9aIzUtWyFuOziZhqcP3Jn7/V8xyaCEIPP0dz6b 
aaaI87oazVBMp8= 
From: CEO <ceo@example.com> 

Использование DKIM, будет по электронной почте получатель сможет определить, что первая электронная почта является действительным, в то время как вторая электронная почта подделать? Как почтовый приемник знает, какие серверы DKIM являются авторитетными для домена example.com? (example.com vs attackerDomain.net)

Answer 1

Если они создали новую пару ключей и указали ее на свой домен, они будут аутентифицироваться на указанном домене, а не в домене, который они пытаются обмануть.

Для того, чтобы подделать законный домен, им необходимо будет получить свой секретный ключ. Поэтому выйдите на свой почтовый сервер с помощью закрытого ключа.

Однако они не будут проходить проверку подлинности SPF, поскольку сервер, с которого они отправляют сообщения, не авторизован.

Когда ваш законный почтовый сервер отправляет почту, он будет подписывать почту с помощью криптографической подписи, используя ваш закрытый ключ. Получающие серверы электронной почты просматривают открытый ключ (помните, его публичный ключ, который вы публикуете самостоятельно) и проверяете его.