DKIM replay
Un abuso en el que alguien obtiene un mensaje firmado de forma válida por un dominio con buena reputación y lo reenvía a muchos destinatarios, aprovechando la reputación de ese dominio.
Qué significa
Una firma DKIM prueba que un dominio firmó un mensaje y que no fue alterado; no ata el mensaje a los destinatarios ni al momento en que se envió. Un spammer puede enviar un mensaje desde una cuenta en un proveedor conocido, recibirlo firmado y reenviarlo sin cambios a miles de direcciones. Los receptores ven una firma válida de un dominio confiable. El RFC 6376 describió esto en 2011 como el ataque de replay/spam.
Las defensas son parciales. Los firmantes pueden limitar en qué se puede convertir una copia reenviada haciendo oversigning de encabezados y evitando l=, y pueden revocar una clave usada para el abuso, aunque una sola clave suele firmar por muchos usuarios. El RFC 6376 señala que los grandes receptores pueden detectar volúmenes inusuales de una misma firma en poco tiempo.
El grupo de trabajo DKIM del IETF describió el problema en un Internet-Draft en julio de 2023; venció en enero de 2024 sin convertirse en RFC.
Términos relacionados
Fuentes
En qué se basa esta definición. La redacción es nuestra; los hechos son de las fuentes.
- RFC 6376: DomainKeys Identified Mail (DKIM) Signatures, section 8.6rfc-editor.org
- IETF draft: DKIM replay problem statementdatatracker.ietf.org
Los 432 términos del glosarioLa wiki: blacklists y códigos de rebote