Score:4

คีย์ 1024 หรือ 2048 บิตสำหรับ DKIM?

ธง vn

อ้างอิงสิ่งนี้: https://crypto.stackexchange.com/questions/72297/recommended-key-size-for-dkim

สิ่งที่ฉันได้รับจากสิ่งนี้คือ (ในขณะนั้น) ผู้ให้บริการ DNS (ปกติ) อนุญาตให้ใช้คีย์ได้สูงสุด 1024 บิต แต่ไม่ใช่ 2048 บิต ตอนนี้ ผู้ให้บริการของฉันอนุญาตให้ฉันใช้ 2048 และยืนยันสัญญาณ DKIM แน่นอนว่าโพสต์อ้างว่า 1024 ปลอดภัยอย่างสมบูรณ์ แต่ถ้าฉันมีตัวเลือกให้ใช้ 2048 ฉันก็อยากทำ

ฉันสบายดีไหม ตราบใดที่ผู้ให้บริการของฉันรองรับระเบียน TXT ขนาดใหญ่ขนาดนั้น หรืออาจยังมีปัญหาอยู่?

us flag
RFC ที่เกี่ยวข้องที่ต้องพิจารณาคือ [RFC 8301](https://www.rfc-editor.org/rfc/rfc8301#section-3.2)
vn flag
จริง; อย่างไรก็ตาม การค้นหาโดย Google อย่างรวดเร็วพบผู้ให้บริการ DNS จำนวนมากที่มีขีดจำกัด 255 อักขระ (ต้องมีการผูกบันทึก) ผู้ให้บริการของฉันมีตัวเลือกในการ "เพิ่มข้อมูล" (ไม่สามารถเพิ่มบันทึกที่ซ้ำกันได้) ขออภัย mxtoolbox ไม่สามารถยืนยันได้อีกต่อไป
Score:2
ธง cn

ขึ้นอยู่กับกรณีการใช้งานของคุณ วัตถุประสงค์ที่ระบุไว้ของ DKIM คือการตรวจสอบความถูกต้องของข้อความ หากเป็นกรณีนี้ โดยทั่วไปจะยอมรับให้ใช้คีย์ RSA แบบ 2048 บิต การพิจารณาเซิร์ฟเวอร์ DNS มีไว้สำหรับเนมเซิร์ฟเวอร์ที่เชื่อถือได้ของคุณ ดังนั้นหากยอมรับการป้อนบันทึกที่ยาวกว่า 255 อักขระ ข้อควรพิจารณาเพียงอย่างเดียวคือการรับเซิร์ฟเวอร์ที่สามารถยอมรับบันทึกหลายสตริงและรองรับ 2048 บิต

หากด้วยเหตุผลบางอย่าง มีเซิร์ฟเวอร์รับที่ไม่สามารถอ่านบันทึกหรือรองรับขนาดใหญ่กว่า 1024 บิตได้ คุณสามารถสร้างคีย์ DKIM ใหม่ด้วยตัวเลือกใหม่ที่เกี่ยวข้องได้บ่อยเท่าที่ต้องการ พูดทุกวัน ทำให้ความน่าจะเป็นของคีย์ ถูกบุกรุกต่ำมาก เนื่องจากข้อความมักจะได้รับการรับรองภายในไม่กี่วินาทีหลังจากได้รับ

นอกจากนี้ยังมีตัวเลือกของคีย์ Ed25519 แต่ยังไม่รองรับเซิร์ฟเวอร์รับข้อมูลในวงกว้าง

หากกรณีการใช้งานของคุณพิสูจน์ได้ว่าผ่านการทดสอบการป้องกันสแปมต่างๆ คุณอาจใช้ 1024 บิตได้หาก 2048 บิตทำให้เกิดปัญหา ยังมีบริษัทขนาดใหญ่ที่ใช้ 1024 บิต โดยเฉพาะ Substack และฉันรู้ว่าฉันเคยเห็นบริษัทอื่น

สุดท้าย แต่ไม่ท้ายสุด รองรับมาตรฐาน DKIM ส่วนหัวของลายเซ็นหลายรายการดังนั้น ขึ้นอยู่กับโอเวอร์เฮดของเซิร์ฟเวอร์ คุณสามารถเซ็นชื่อโดยใช้หลายลายเซ็น และเซิร์ฟเวอร์ที่รับสามารถเลือกลายเซ็นที่จะตรวจสอบความถูกต้อง

vn flag
กรณีการใช้งานคือการเซ็นข้อความบนเซิร์ฟเวอร์อีเมลของฉันและผ่านการทดสอบการป้องกันสแปม อย่างไรก็ตาม ฉันต้องการใช้รหัสที่ปลอดภัยกว่านี้ ฉันสันนิษฐานว่า "ข้อควรพิจารณาประการเดียวคือการรับเซิร์ฟเวอร์ที่สามารถรับบันทึกมัลติสตริงและรองรับ 2048 บิตได้ หากมีเซิร์ฟเวอร์รับที่ไม่สามารถอ่านบันทึกหรือรองรับขนาดใหญ่กว่า 1024 บิตได้ด้วยเหตุผลบางอย่าง..." ไม่น่าเป็นไปได้ที่เซิร์ฟเวอร์อีเมลใด ๆ จะเจอสิ่งนี้ (โดยเฉพาะอย่างยิ่งเมื่อบันทึกไม่ใช่หลายสตริง)
Paul avatar
cn flag
ฉันหมายถึงในด้าน DNS ของสิ่งต่าง ๆ บันทึก 2048 บิตต้องมีหลายสตริงเนื่องจากขีดจำกัด 255 octet ("ตัวอักษร") ที่สร้างขึ้นใน DNS หากเมลเซิร์ฟเวอร์ไม่สามารถอ่านบันทึกดังกล่าวได้ แสดงว่าลายเซ็น DKIM ไม่สามารถตรวจสอบสิทธิ์ได้
vn flag
อา ผู้ให้บริการของฉันอาจจะซ่อนสิ่งนั้นจากฉันและทำให้ดูเหมือนเป็นบันทึกเดียว ฉันคิดว่าฉันจะไปปี 2048 แล้วดูว่าข้อความตีกลับกี่ข้อความ
Paul avatar
cn flag
คุณสามารถดูลักษณะของระเบียนเมื่อเรียกข้อมูลด้วย `dig +short txt s1._domainkey.stackoverflow.com` ปัจจุบันมีเซิร์ฟเวอร์ไม่มากนักที่ไม่สามารถตรวจสอบสิทธิ์แบบ 2048 บิตได้ แต่เซิร์ฟเวอร์ที่คุณพบว่าไม่สามารถอ่านลายเซ็น DKIM ได้ ดังนั้นจึงไม่ควรเป็นความล้มเหลวในการตรวจสอบสิทธิ์

โพสต์คำตอบ

คนส่วนใหญ่ไม่เข้าใจว่าการถามคำถามมากมายจะปลดล็อกการเรียนรู้และปรับปรุงความสัมพันธ์ระหว่างบุคคล ตัวอย่างเช่น ในการศึกษาของ Alison แม้ว่าผู้คนจะจำได้อย่างแม่นยำว่ามีคำถามกี่ข้อที่ถูกถามในการสนทนา แต่พวกเขาไม่เข้าใจความเชื่อมโยงระหว่างคำถามและความชอบ จากการศึกษาทั้ง 4 เรื่องที่ผู้เข้าร่วมมีส่วนร่วมในการสนทนาด้วยตนเองหรืออ่านบันทึกการสนทนาของผู้อื่น ผู้คนมักไม่ตระหนักว่าการถามคำถามจะมีอิทธิพลหรือมีอิทธิพลต่อระดับมิตรภาพระหว่างผู้สนทนา