DKIM बस है

नमस्ते



मैं अपने डोमेन और मेल सर्वर को DKIM (DomainKeys आइडेंटिफाईड मेल) स्क्रू करने के अपने छोटे से अनुभव को साझा करना चाहता हूं।



हमारे पास है:

• प्लेटफ़ॉर्म: विंडोज वेबसर्वर 2008;
• DNS सर्वर: बाइंड 9.7 ;
• मेल सर्वर: hMailServer 5.3.3 ।

उद्देश्य:

• DKIM मैसेज साइनिंग सिस्टम को समझें ताकि gmail इसे मान्य मान ले और प्रतिष्ठित लोगों को जारी करे: dkim = pass।

शुरू से शुरू करते हैं। डीकेआईएम सामान्य रूप से क्या है और डीकेआईएम समर्थन के साथ मेल भेजने के लिए हमें अपने मेल सिस्टम की क्या आवश्यकता है।



विकी पर DKIM के विवरण से:

DomainKeys मेल ई-मेल प्रमाणीकरण विधि की पहचान की ।

DomainKeys की पहचान की गई मेल (DKIM) तकनीक वैध ईमेल के वर्गीकरण और पहचान को बेहतर बनाने के लिए कई मौजूदा एंटी-फ़िशिंग और एंटी-स्पैम तरीकों को जोड़ती है। संदेश के प्रेषक को निर्धारित करने के लिए पारंपरिक आईपी पते के बजाय, डीकेआईएम इसमें एक डिजिटल हस्ताक्षर जोड़ता है, जो संगठन के डोमेन नाम के साथ जुड़ा हुआ है। हस्ताक्षर को प्राप्तकर्ता के पक्ष में स्वचालित रूप से सत्यापित किया जाता है, जिसके बाद प्रेषक की प्रतिष्ठा निर्धारित करने के लिए "श्वेत सूचियाँ" और "काली सूचियाँ" लागू की जाती हैं।

DomainKeys तकनीक प्रेषकों को प्रमाणित करने के लिए डोमेन नामों का उपयोग करती है। DomainKeys सार्वजनिक एन्क्रिप्शन कुंजी को संचारित करने के लिए मौजूदा डोमेन नाम प्रणाली (DNS) का उपयोग करता है।

DKIM के साथ काम करने के लिए, हमें चाहिए:

1. भेजे गए मेल पर हस्ताक्षर करने के लिए मेल सर्वर द्वारा DKIM समर्थन;
2. निजी और सार्वजनिक कुंजी की एक जोड़ी प्राप्त करना;
3. डोमेन DNS में DKIM समर्थन की उपलब्धता के बारे में आवश्यक रिकॉर्ड दर्ज करना

DKIM मेल सर्वर समर्थन के साथ, सब कुछ स्पष्ट है। संस्करण 5.1 के बाद से, hMailServer एक कुंजी के साथ आउटगोइंग मेल पर हस्ताक्षर करने का समर्थन करता है।



अब आपको यह खोजने की आवश्यकता है कि गुप्त और सार्वजनिक कुंजी जोड़ी कैसे उत्पन्न करें। कई विकल्पों के माध्यम से छाँटने के बाद, मैंने port25.com सेवा की वेब-उपयोगिता पर समझौता किया, जो आवश्यक कुंजी उत्पन्न करने के अलावा, DNS रिकॉर्ड के लिए एक संकेत भी उत्पन्न करता है:

www.port25.com/support/support_dkwz.php



एक निश्चित क्षेत्र "डोमेन चयनकर्ता" के बारे में थोड़ा स्पष्टीकरण। यह फ़ील्ड आपको विभिन्न आवश्यकताओं (उदाहरण के लिए, विभिन्न मेल सर्वरों) के लिए एक डोमेन कई डीकेआईएम रिकॉर्ड के लिए बाध्य करने की अनुमति देती है। मेरे मामले में, मेरे पास केवल एक मेल सर्वर है और मुझे चयनकर्ता की आवश्यकता नहीं है, इसलिए मैंने सिर्फ चयनकर्ता के रूप में "मेल" चुना है।



प्राप्त निजी कुंजी सर्वर पर एक फ़ोल्डर में संग्रहीत होती है जिसमें मेल सर्वर तक पहुंच होती है। सिद्धांत रूप में, सार्वजनिक कुंजी को फ़ाइल के रूप में सहेजा नहीं जा सकता है। यह केवल DNS में आवश्यक प्रविष्टियाँ बनाने के लिए हमारे लिए उपयोगी है। HMailServer में डोमेन कॉन्फ़िगरेशन में, हमें निजी कुंजी फ़ाइल के लिए पथ निर्दिष्ट करने की आवश्यकता है, साथ ही चयनित चयनकर्ता (याद रखें, मैंने चयनकर्ता के रूप में "मेल" लिया) को इंगित करें।



DNS ज़ोन फ़ाइल में, हमें फ़ॉर्म के रिकॉर्ड निर्दिष्ट करने की आवश्यकता है:

_domainkey.example.com। TXT "t = s; o = ~;"

mail._domainkey.example.com। TXT "k = आरएसए \; टी = s \; पी = MIGfMA0GCSqGSIb3DQEBAQUAA4GNADCBiQKBgQDQmO9AuWRbWPgl / jzDPQodrLfFLFqYYi6bCBnsTOCOJQrFbGgiR1C01j4zLw8XgG3rQ0WAaeg6Z / y39Ah7IONfs5gQuK6eGZMmYwIsZyz2dQoUDmDLCb1WygpkrqsCbyPw3SWGihM4iChOwo7Ovo2mTOWOf5ejeZcP2qqNb9nRMQIDAQAB"

जहां दूसरे रिकॉर्ड में _domainkey से पहले "मेल" हमारे चयनित चयनकर्ता के अलावा कुछ भी नहीं है, और "p =" के बाद उसी रिकॉर्ड में सेट किया गया लंबा चरित्र हमारी सार्वजनिक कुंजी है।



लगता तो सब है। अब अपने मेल सर्वर से जीमेल पर ईमेल भेजने की कोशिश करते हैं, क्योंकि यह निश्चित है कि जीमेल डीकेआईएम चेक करता है। हम प्राप्त पत्र को gmail में देखते हैं और पोषित लाइनों को देखते हैं:

प्रमाणीकरण-परिणाम: mx.google.com; spf = पास (google.com: example@example.com का डोमेन अनुमति प्राप्त प्रेषक के रूप में 123.123.123.123 को निर्दिष्ट करता है) smtp.mail=example@example.com; dkim = पास शीर्षलेख ।i=@example.com

डीकेआईएम के सफल विजय के लिए बधाई))), जो मैं भी आपको शुभकामना देता हूं। सौभाग्य है।



UPD: बाहरी सेवाओं का उपयोग किए बिना एक महत्वपूर्ण जोड़ी प्राप्त करने के लिए, आप OpenSSL का उपयोग कर सकते हैं:

opensl.exe genrsa -out tstpriv.pem 1024 - एक गुप्त कुंजी (1024 - कुंजी लंबाई) उत्पन्न करता है।

Opensl.exe rsa -pubout -in tstpriv.pem -out tstpub.pem - गुप्त से सार्वजनिक कुंजी प्राप्त करें

धन्यवाद lorc जोड़ के लिए।



UPD 2: nshopik से एक छोटा सा जोड़:

आप डोमेन पर ADSP रिकॉर्ड ( RFC5617 ) भी दर्ज कर सकते हैं - यह प्राप्त करने वाले सर्वर को यह समझने की अनुमति देगा कि आपके पत्र पर हस्ताक्षर किए जाने चाहिए या नहीं।

रिकॉर्ड इस तरह दिखता है:

_adsp._domainkey.example.com। TXT "dkim = all"

तीन dkim = मान हो सकते हैं:

• सभी - सभी पत्रों पर हस्ताक्षर किए जाने चाहिए
• त्याग करने योग्य - अनसाइन किए गए पत्रों को स्वीकार नहीं किया जाना चाहिए
• अज्ञात - गुम प्रविष्टि के समान

UPD 3: tolik89u से अद्यतन जानकारी:

RFC5617 में ADSP को पहले से ही HISTORIC का लेबल दिया गया है क्योंकि तकनीक ने "बंद" नहीं किया है। इसके बजाय, वे अब DMARC का उपयोग करते हैं, जो अब व्यापक रूप से वितरित किया जाता है: tools.ietf.org/html/rfc7489।