Re: Exim, DKIM, mailing lists
Eugene Berdnikov <bd4@protva.ru> wrote:
> On Wed, Oct 04, 2017 at 05:25:26PM +0000, Ivan Shmakov wrote:
> > >>>>> Eugene Berdnikov <bd4@protva.ru> writes:
> > > По моему скромному мнению, для рассылок следует ограничиться
> > > подписью заголовков From, To, Cc, Date и Message-Id, плюс, возможно,
> > > Reply-To, In-Reply-To и References.
> >
> > Задача определения, идет ли письмо в рассылку или нет, не
> > кажется мне тривиальной.
> Ну и решать её незачем. Просто не нужно тянуть в подпись разный мусор,
> тогда везде будет меньше проблем, в том числе в рассылках.
Даа, далека криптография от народа, очень далека.
> > > При этом не следует подписывать тело (body).
> >
> > Прошу прощения? Другими словами, предоставить злоумышленнику
> > возможность отправить условный ??$$$ make money fast $$$?? с моим
> > заголовком и /действительной/ подписью моего MTA?
> Злоумышленник будет больше озадачен тем, как подделать обратный адрес
> на транспортном уровне, т.е. в envelope_from. Потому как MTA именно его
> обычно проверяют -- применяют SPF, грейлистинг и т.д. А те, кто ведётся
> на "make money fast", они не только про DKIM ничего не слышали, они
> вообще не догадываются, что в письме может быть какая-то ложь. :)
Да не вперся он никому тот envelope-from. Нужен только mailer-daemon'у чтоб
отлуп было отправить. А вот письмо, которое в предложенном тобой варианте
будет как-то подписано тобой, видоизмененнное до "слезных расказов дочери
старшего инструктора организации запрещенной в россии (тм)" может больно
стукнуть. И ведь не отмажешься - подписи твои и верные.
> > > Все остальные заголовки могут быть модифицированы: в Subject иногда
> > > префиксом [..] вставляется название списка, шлюз также может поменять
> > > Content-Transfer-Encoding и добавить в тело футер разными способами,
> > > в том числе изменив Content-type (некоторые шлюзы так делают, если
> > > тело содержит HTML).
> >
> > Если рассылка вносит сколь угодно существенные изменения,
> > я так думаю, ее администратор уже вполне может взять на себя
> > ответственность за распространение пересылаемых сообщений и
> > настроить их подписывание ключом своего узла.
> Достаточно просто снести нахрен все заголовки DKIM из входящего письма
> перед форвардом в рассылку. Но мы ведь сейчас обсуждаем что делать
> если админ шлюза даже этим не озаботился.
Достаточно поставить DKIM-aware софт, который бережно завернет всё письмо в
отдельный контенйнер и разошлет. Их таких есть, но в дебиане -
стааабииильность, даа!
Reply to: