DKIM-Replay
Ein Missbrauch, bei dem jemand eine von einer angesehenen Domain gültig signierte Nachricht beschafft und sie an viele Empfänger erneut versendet, um die Reputation dieser Domain zu leihen.
Was es bedeutet
Eine DKIM-Signatur belegt, dass eine Nachricht von einer Domain signiert und nicht verändert wurde; sie bindet die Nachricht weder an die Empfänger noch an den Versandzeitpunkt. Ein Spammer kann eine Nachricht über ein Konto bei einem bekannten Provider versenden, sie signiert empfangen und unverändert an Tausende Adressen erneut abspielen. Empfänger sehen eine gültige Signatur einer vertrauenswürdigen Domain. RFC 6376 beschrieb dies 2011 als Replay-/Spam-Angriff.
Die Abwehr ist lückenhaft. Signierer können durch Oversigning von Headern und den Verzicht auf l= begrenzen, was sich aus einer wiederholten Kopie machen lässt, und einen missbrauchten Schlüssel widerrufen, obwohl ein Schlüssel oft für viele Nutzer signiert. RFC 6376 merkt an, dass große Empfänger ungewöhnliche Mengen derselben Signatur in kurzer Zeit erkennen können.
Die DKIM-Arbeitsgruppe der IETF beschrieb das Problem im Juli 2023 in einem Internet-Draft; er lief im Januar 2024 aus, ohne zum RFC zu werden.
Verwandte Begriffe
Quellen
Worauf diese Definition beruht. Die Formulierung stammt von uns, die Fakten von den Quellen.
- RFC 6376: DomainKeys Identified Mail (DKIM) Signatures, section 8.6rfc-editor.org
- IETF draft: DKIM replay problem statementdatatracker.ietf.org
Alle 432 Begriffe im GlossarDas Wiki: Blacklists und Bounce-Codes