DKIM - История изменений

Sol: /* Для работы с DKIM нам нужно */

2016-01-26T23:45:35Z

Для работы с DKIM нам нужно

Sol в 23:45, 26 января 2016

2016-01-26T23:45:11Z

Sol: /* 1. EXIM */

2016-01-26T23:25:56Z

1. EXIM

Sol в 23:15, 26 января 2016

2016-01-26T23:15:43Z

Sol в 23:01, 26 января 2016

2016-01-26T23:01:19Z

Sol: Новая страница: «Хочу поделиться своим небольшим опытом прикручивания DKIM (DomainKeys Identified Mail) к своему домену…»

2015-04-19T17:36:58Z

Новая страница: «Хочу поделиться своим небольшим опытом прикручивания DKIM (DomainKeys Identified Mail) к своему домену…»

Новая страница

Хочу поделиться своим небольшим опытом прикручивания DKIM (DomainKeys Identified Mail) к своему домену и почтовому серверу.

Мы имеем:

Платформа: Windows WebServer 2008;
Сервер DNS: Bind 9.7;
Почтовый сервер: hMailServer 5.3.3.

Задача:

Разобраться в системе подписи сообщений DKIM, что бы gmail признал её валидной и выдал заветные: dkim=pass.

Начнем с начала. Что такое DKIM вообще и что нам нужно, что бы наша почтовая система отправляла почту с поддержкой DKIM.

Из описания DKIM в Wiki:

DomainKeys Identified Mail метод E-mail аутентификации.
Технология DomainKeys Identified Mail (DKIM) объединяет несколько существующих методов антифишинга и антиспама с целью повышения качества классификации и идентификации легитимной электронной почты. Вместо традиционного IP-адреса, для определения отправителя сообщения DKIM добавляет в него цифровую подпись, связанную с именем домена организации. Подпись автоматически проверяется на стороне получателя, после чего, для определения репутации отправителя, применяются «белые списки» и «чёрные списки».
В технологии DomainKeys для аутентификации отправителей используются доменные имена. DomainKeys использует существующую систему доменных имен (DNS) для передачи открытых ключей шифрования.

Для работы с DKIM нам нужно:

Поддержка DKIM почтовым сервером для подписывания отправляемой почты;
Получение пары приватного и публичного ключа;
Занесение в DNS домена необходимых записей о наличии поддержки DKIM.

С поддержкой DKIM почтовым серверов всё вполне понятно. hMailServer с версии 5.1 поддерживает подпись исходящей корреспонденции ключом.

Теперь необходимо найти, как сформировать пару секретного и публичного ключа. После перебора нескольких вариантов я остановился на web-утилите сервиса port25.com которая, кроме формирования необходимых ключей, так же генерирует и подсказку по DNS записям:
www.port25.com/support/support_dkwz.php

Небольшое пояснение по поводу некого поля «domain selector». Данное поле позволяет привязать к одному домену несколько DKIM записей для разных нужд (например для разных почтовых серверов). В моём случае у меня только один почтовый сервер и у меня нет необходимости в селекторе, так что в роли селектора я выбрал просто «mail».

Полученный приватный ключ сохраняем на сервер в папку, к которой имеет доступ почтовый сервер. Публичный ключ в принципе можно не сохранять в виде файла. Он нам пригодиться только для внесения необходимой записи в DNS. В конфигурации домена в hMailServer нам необходимо указать путь к приватному файлу ключа, а так же указать выбранный селектор (напомню, я в виде селектора взял «mail»).

В файле DNS-зоны нам необходимо указать записи вида:

_domainkey.example.com. TXT "t=s; o=~;"
mail._domainkey.example.com. TXT "k=rsa\; t=s\; p=MIGfMA0GCSqGSIb3DQEBAQUAA4GNADCBiQKBgQDQmO9AuWRbWPgl/jzDPQodrLfFLFqYYi6bCBnsTOCOJQrFbGgiR1C01j4zLw8XgG3rQ0WAaeg6Z /y39Ah7IONfs5gQuK6eGZMmYwIsZyz2dQoUDmDLCb1WygpkrqsCbyPw3SWGihM4iChOwo7Ovo2mTOWOf5ejeZcP2qqNb9nRMQIDAQAB"

Где «mail» перед _domainkey во второй записи — это не что иное, как наш выбранный селектор, а длинный набор символов в той же записи идущий после «p=» — это наш публичный ключ.

Вроде бы всё. Теперь попробуем отправить письмо с нашего почтового сервера на почту gmail, так как доподлинно известно, что gmail проверяет DKIM. Смотрим в полученное письмо в gmail и видим заветные строки:

Authentication-Results: mx.google.com; spf=pass (google.com: domain of example@example.com designates 123.123.123.123 as permitted sender) smtp.mail=example@example.com; dkim=pass header.i=@example.com

Поздравляем меня с успешным покорением DKIM ))), чего и вам желаю. Удачи.

UPD: Для получения пары ключей без использования внешних сервисов можно воспользоваться OpenSSL:

openssl.exe genrsa -out tstpriv.pem 1024 — генерим секретный ключ (1024 — длина ключа).
openssl.exe rsa -pubout -in tstpriv.pem -out tstpub.pem — получаем публичный ключ из секретного

Спасибо lorc за дополнение.

UPD 2: Небольшое дополнение от nshopik:
Так же можно у домена прописать ADSP запись (RFC5617) — это позволит принимающему серверу понять, должно ли ваше письмо быть подписано или нет.
Запись выгладит таким образом:

_adsp._domainkey.example.com. TXT "dkim=all"

Значений dkim= может быть три:

all — Все письма должны быть подписаны
discardable — Не подписанные письма не должны приниматься
unknown — Аналогично отсутствию записи
[[Категория:Mail]]

@@ Строка 13: / Строка 13: @@
 #Занесение в DNS домена необходимых записей о наличии поддержки DKIM.
-=== 1. EXIM ===
+=== EXIM ===
 Поддерживает DKIM, настроим его:
@@ Строка 36: / Строка 36: @@
   dkim_private_key = DKIM_PRIVATE_KEY
-=== 2. Генерация ключей ===
+=== Генерация ключей ===
   openssl genrsa -out /etc/mail/domains/$domain$/dkim.pem 3-1024 &>/dev/null
@@ Строка 42: / Строка 42: @@
   chown exim:mail /etc/mail/domains/$domain$/dkim.*
-=== 3. Занесение в DNS домена необходимых записей ===
+=== Занесение в DNS домена необходимых записей ===
 Добавляем txt записи в домен

@@ Строка 37: / Строка 37: @@
 === 2. Генерация ключей ===
-# Adding dkim keys
+ openssl genrsa -out /etc/mail/domains/$domain$/dkim.pem 3-1024 &>/dev/null
-if [[ "$MAIL_SYSTEM" =~ exim ]]; then
+ openssl rsa -pubout -in /etc/mail/domains/$domain$/dkim.pem -out/etc/mail/domains/$domain$/dkim.pub &>/dev/null
-    cp $USER_DATA/mail/$domain.pem $HOMEDIR/$user/conf/mail/$domain/dkim.pem
+ chown exim:mail /etc/mail/domains/$domain$/dkim.*
-    chown $MAIL_USER:mail $HOMEDIR/$user/conf/mail/$domain/dkim.pem
-    chmod 660 $HOMEDIR/$user/conf/mail/$domain/dkim.pem
+=== 3. Занесение в DNS домена необходимых записей ===
-fi
 [[Категория:Mail]]

@@ Строка 19: / Строка 19: @@
   Добавим следующие строчки ниже "begin transports":
   DKIM_DOMAIN = ${lc:${domain:$h_from:}}
-  DKIM_FILE = /etc/mail/domains//var/db/opendkim/mail.private #- важно!!!! Пишем путь к приватному ключу
+  DKIM_FILE = /etc/mail/domains/${lc:${domain:$h_from:}}/dkim.pem #- важно!!!! Пишем путь к приватному ключу
   DKIM_PRIVATE_KEY = ${if exists{DKIM_FILE}{DKIM_FILE}{0}}
-−
 Также заменяем:

← Предыдущая		Версия 23:15, 26 января 2016
Строка 13:		Строка 13:
	#Занесение в DNS домена необходимых записей о наличии поддержки DKIM.		#Занесение в DNS домена необходимых записей о наличии поддержки DKIM.

		+	=== 1. EXIM ===

		+	Поддерживает DKIM, настроим его:
		+	vim /etc/mail/exim.conf
		+
		+	Добавим следующие строчки ниже "begin transports":
		+	DKIM_DOMAIN = ${lc:${domain:$h_from:}}
		+	DKIM_FILE = /etc/mail/domains//var/db/opendkim/mail.private #- важно!!!! Пишем путь к приватному ключу
		+	DKIM_PRIVATE_KEY = ${if exists{DKIM_FILE}{DKIM_FILE}{0}}
		+
		+	Также заменяем:
		+
		+	remote_smtp:
		+	driver = smtp
		+
		+	На:
		+
		+	remote_smtp:
		+	driver = smtp
		+	dkim_domain = DKIM_DOMAIN
		+	dkim_selector = mail # - выбранный нами селектор.
		+	dkim_private_key = DKIM_PRIVATE_KEY
		+
		+	=== 2. Генерация ключей ===
		+	openssl genrsa -out /etc/mail/domains/domain.pem $dkim_size &>/dev/null
		+	openssl rsa -pubout -in $USER_DATA/mail/$domain.pem \
		+	-out $USER_DATA/mail/$domain.pub &>/dev/null
		+	chmod 660 $USER_DATA/mail/$domain.*
		+
		+	# Adding dkim keys
		+	if [[ "$MAIL_SYSTEM" =~ exim ]]; then
		+	cp $USER_DATA/mail/$domain.pem $HOMEDIR/$user/conf/mail/$domain/dkim.pem
		+	chown $MAIL_USER:mail $HOMEDIR/$user/conf/mail/$domain/dkim.pem
		+	chmod 660 $HOMEDIR/$user/conf/mail/$domain/dkim.pem
		+	fi

	[[Категория:Mail]]		[[Категория:Mail]]

@@ Строка 1: / Строка 1: @@
-Хочу поделиться своим небольшим опытом прикручивания DKIM (DomainKeys Identified Mail) к своему домену и почтовому серверу.
+== Из описания DKIM в Wiki ==
-Мы имеем:
+'''DomainKeys Identified Mail''' метод E-mail аутентификации.
-    Платформа: Windows WebServer 2008;
+Технология DomainKeys Identified Mail (DKIM) объединяет несколько существующих методов антифишинга и антиспама с целью повышения качества классификации и идентификации легитимной электронной почты. Вместо традиционного IP-адреса, для определения отправителя сообщения DKIM добавляет в него цифровую подпись, связанную с именем домена организации. Подпись автоматически проверяется на стороне получателя, после чего, для определения репутации отправителя, применяются «белые списки» и «чёрные списки».
-Задача:
+== Для работы с DKIM нам нужно ==
-    Разобраться в системе подписи сообщений DKIM, что бы gmail признал её валидной и выдал заветные: dkim=pass.
+#Поддержка DKIM почтовым сервером для подписывания отправляемой почты;
 [[Категория:Mail]]