DomainKeys Identified Mail

DomainKeys Identified Mail, kurz DKIM, verbindet eine Nachricht durch eine kryptografische Signatur mit einer signierenden Domain. Die empfangende Seite kann die Signatur mit dem öffentlichen Schlüssel dieser Domain prüfen. Die Domain steht im Feld d= der Signatur.

Eine Signatur im Versandweg betrachten

Im erfundenen Entwurf erstellt ein Portal die Nachricht D-455. Anschließend ergänzt ein nachgeschalteter Dienst einen Hinweistext. Für den Test hält das Team fest, wann signiert wird und ob der ergänzte Text signierte Bestandteile verändert. Die Prüfung erfolgt mit einer freigegebenen Testnachricht am Ende dieses Wegs.

Ein Fehler sollte zuerst diesem konkreten Ablauf zugeordnet werden. Den Signaturmechanismus pauschal abzuschalten, würde nicht erklären, an welcher Stelle der Versandweg vom geplanten Verhalten abweicht.

Das Ergebnis richtig einordnen

Eine gültige Prüfung bezieht sich auf die von der Signatur erfassten Bestandteile und die Signierdomain. DKIM verschlüsselt den Inhalt nicht. Die Signierdomain muss für sich genommen auch nicht dem sichtbaren Absender entsprechen; DMARC ergänzt die Domainzuordnung. Für das Portal bleiben Personenzuordnung und Berechtigung zur ausgelösten Aktion eigene Anwendungsfragen.

Quellen

• IETF: DKIM Signatures

• Microsoft: Email authentication