DKIM para aumentar a segurança de e-mails

Todos os ser­vi­do­res de e-mail con­fiá­veis tentam bloquear e-mails com endereços de remetente falsos. Golpistas usam endereços de remetente falsos, que parecem vir de uma fonte legítima, para plantar um malware no dis­po­si­tivo do des­ti­na­tá­rio ou induzi-lo a revelar dados con­fi­den­ci­ais, prática que é chamada de phishing. É possível verificar a au­ten­ti­ci­dade de um remetente de e-mail usando o DKIM, um sistema de as­si­na­tu­ras de e-mails digital. DKIM significa Do­main­Keys Iden­ti­fied Mail.

Muito usado nos dias de hoje, o DKIM foi criado em 2004, fruto de um esforço coletivo entre empresas. Ele combina o antigo sistema de Do­main­Keys do Yahoo e o obsoleto Iden­ti­fied Internet Mail da Cisco. A fusão explica a abre­vi­a­ção. DKIM: DK = Do­main­Keys; IM = Iden­ti­fied Internet Mail.

Como o DKIM funciona?

O DKIM baseia-se na co­mu­ni­ca­ção entre o servidor de saída e o servidor de entrada — o usuário final não fica ciente desse processo. Ba­si­ca­mente, o servidor de saída adiciona uma as­si­na­tura digital ao e-mail a ser enviado. Essa as­si­na­tura é então ve­ri­fi­cada pelo servidor de entrada do des­ti­na­tá­rio. Para fazer isso, o servidor de entrada do des­ti­na­tá­rio procura a chave pública que cor­res­ponde à as­si­na­tura do servidor de saída do remetente.

A chave pública não cor­res­ponde à as­si­na­tura digital nos seguintes casos:

• O e-mail não foi enviado pelo servidor de e-mail es­pe­ci­fi­cado no cabeçalho do e-mail, e sim por outro servidor (servidor frau­du­lento).
• O e-mail foi fraudado quando em trânsito (entre a caixa de saída do remetente e a caixa de entrada do des­ti­na­tá­rio). Um hacker, por exemplo, consegue in­ter­cep­tar e-mails, alterá-los e reenviá-los.

Com­po­nen­tes técnicos do DKIM

É mais fácil entender o DKIM exa­mi­nando seus building blocks fun­da­men­tais.

Hashing

Um de­ter­mi­nado algoritmo calcula uma cadeia de ca­rac­te­res (string) a partir do conteúdo do e-mail. O resultado, chamado de hash value, é adi­ci­o­nado ao cabeçalho do e-mail.

Se o des­ti­na­tá­rio calcular o hash value do e-mail recebido usando o mesmo algoritmo, ele chegará ao exato resultado da cadeia de ca­rac­te­res adi­ci­o­nada ao cabeçalho. Se o hash value der um valor diferente, o des­ti­na­tá­rio saberá que o e-mail foi alterado.

Crip­to­gra­fia as­si­mé­trica

Para que o des­ti­na­tá­rio possa ter certeza que o hash value recebido realmente foi enviado pelo remetente, ele deve seguir mais uma etapa: a etapa da as­si­na­tura digital. Re­me­ten­tes são au­ten­ti­ca­dos por crip­to­gra­fia as­si­mé­trica, também chamada de crip­to­gra­fia de chave pública. É um mecanismo de par de chaves: o que foi crip­to­gra­fado com a chave A só pode ser des­crip­to­gra­fado pela chave B. Uma dessas chaves é mantida em segredo (chave privada) e outra é publicada (chave pública).

O processo é mais ou menos assim:

1. O remetente crip­to­grafa o hash value calculado com a chave privada.
2. O hash value crip­to­gra­fado é adi­ci­o­nado ao cabeçalho do e-mail (as­si­na­tura).
3. O des­ti­na­tá­rio procura a chave pública do remetente no sistema de nomes de domínio do remetente, des­crip­to­gra­fando a as­si­na­tura.
4. O hash value des­crip­to­gra­fado é ve­ri­fi­cado. Se o hash value calculado pelo des­ti­na­tá­rio cor­res­pon­der ao hash value des­crip­to­gra­fado, o e-mail é ver­da­deiro.

Registro TXT no nome do servidor

Para que os ser­vi­do­res de entrada recuperem a chave pública do remetente, essa deve ser publicada como TXT resource record na zona DNS do domínio.

O registro DKIM contém os seguintes elementos:

• A versão, ge­ral­mente co­di­fi­cada com v=DKIM1
• O algoritmo de crip­to­gra­fia, que é sempre RSA (k=rsa)
• A chave pública (p=), que é uma cadeia longa
• O seletor, que difere de acordo com o provedor. Exemplo: default._domainkey ou k1._domainkey

Close

Nor­mal­mente, o registro DKIM só pode ser re­cu­pe­rado usando o cabeçalho do e-mail. Tanto o nome de domínio quanto o seletor são ne­ces­sá­rios para a re­cu­pe­ra­ção. O seletor ge­ral­mente não é conhecido ou muito demorado para ser en­con­trado.

Como criar um registro DKIM

Para criar um registro DKIM você vai precisar criar também um par de chaves RSA e inseri-las no local correto do servidor. A maioria dos pro­ve­do­res de e-mail faz isso para você.

Para entender melhor como o DKIM funciona, você pode criar o registro ma­nu­al­mente. Use fer­ra­men­tas gratuitas dis­po­ní­veis na internet, como o DKIM Record Generator da EasyDMARC. Na parte superior da tela, insira o seletor de sua escolha (como k1) à esquerda, e um domínio à direita. O gerador exibirá uma chave privada e uma chave pública. A chave privada deve ser ar­ma­ze­nada no servidor de e-mail (isso só pode ser feito pelo seu provedor de e-mail). Já a chave pública é inserida no registro DKIM.

Close

Como verificar um registro DKIM

É possível verificar se o registro DKIM está realmente dis­po­ní­vel pu­bli­ca­mente usando um ve­ri­fi­ca­dor DKIM, como o DKIM Record Lookup da EasyDMARC. Contudo, a maneira mais fácil de fazer essa ve­ri­fi­ca­ção é enviando um e-mail para si mesmo e, em seguida, ob­ser­vando o cabeçalho, onde constar “DKIM-Signature:”.

Close