Scopri come funziona DKIM: il sistema di autenticazione delle email

I principali componenti del sistema DKIM

DKIM si basa sull’uso della crittografia a chiave pubblica e privata per firmare digitalmente gli header delle email inviate attraverso un dominio specifico. La firma DKIM viene verificata dai server di posta in arrivo, al fine di determinare l’autenticità del mittente e garantire che il messaggio non sia stato alterato durante il trasporto.

Vediamo i due elementi chiave del processo di autenticazione DKIM:

1. Selectors: questi elementi sono usati per individuare quale coppia di chiavi (pubblica e privata) è stata impiegata per firmare il messaggio. Essi permettono di gestire più chiavi contemporaneamente e migliorano la sicurezza delle transazioni.
2. Record DNS: contengono la chiave pubblica usata per la verifica da parte dei server in ricezione. Il record DKIM è inserito come un sottodominio TXT nel DNS del mittente, con il nome “_domainkey”.

Il processo di configurazione DKIM

Per implementare la firma digitale DKIM nel proprio dominio, occorre seguire alcune fasi fondamentali. Di seguito riassumiamo i passaggi più importanti:

1. Generare una coppia di chiavi (pubblica e privata) per il dominio in questione. Esistono vari software gratuiti e a pagamento che permettono di farlo.
2. Inserire la chiave pubblica come un record DNS TXT nel dominio mittente. Nel campo del record si inserisce la stringa “v=DKIM1; k=rsa; p=(chiave pubblica)”, eventualmente preceduta da altri valori che specificano ulteriori opzioni e parametri.
3. Configurare il server di posta (MTA) o il software di invio delle email in modo che utilizzi la chiave privata per firmare digitalmente gli header dei messaggi inviati dal dominio.

Scegliere i criteri di verifica e comportamento DKIM

Nel definire gli standard di autenticità DKIM, è possibile personalizzare diversi criteri e modelli di verifica, in funzione delle proprie esigenze e preferenze di sicurezza. Tra questi, menzioniamo:

• c= indica l’algoritmo di normalizzazione dell’header e del corpo del messaggio;
• s= permette di specificare un “selector” per individuare la coppia di chiavi corretta;
• a= indica l’algoritmo di firma usato (solitamente RSA-SHA256);
• bh= rappresenta il valore hash del corpo del messaggio;
• h= elenca gli header firmati digitalmente dal protocollo.

Inoltre, DKIM supporta due opzioni di comportamento per i server in ricezione, nel caso in cui la verifica della firma dovesse fallire:

• rappresentare: il server può comunque mostrare il messaggio all’utente finale, magari con un’avvertenza sulla sua autenticità;
• rifiutare o rimuovere: il server può intercettare e bloccare il messaggio prima che l’utente lo veda, evitando così potenziali rischi di sicurezza.

Come funziona la verifica DKIM sui server di posta in arrivo

Una volta configurato il sistema DKIM sul dominio mittente, vediamo quali sono le operazioni eseguite dai server di posta in arrivo per controllare l’autenticità di un messaggio firmato digitalmente. Il processo si compone di tre fasi principali:

1. Estrazione degli elementi DKIM dell’header del messaggio (firma, “selector”, chiave pubblica).
2. Calcolo dell’hash del messaggio e confronto con il valore hash fornito dalla firma DKIM.
3. Verifica del certificato mediante la chiave pubblica e applicazione dei criteri di sicurezza stabiliti dal protocollo e dal server in ricezione.

Se la verifica dei dati si conclude con successo, il messaggio viene considerato autentico e consegnato all’utente finale. In caso contrario, il server adotta le opportune misure preventive, come segnalare l’email come sospetta o eliminarla direttamente dalla casella di posta.

I vantaggi dell’utilizzo di DKIM

L’adozione del sistema DKIM offre numerosi benefici, sia per i mittenti che per i destinatari delle email:

1. Protezione contro lo spam e il phishing: DKIM aiuta a distinguere i messaggi legittimi da quelli provenienti da fonti fraudolente, aumentando la sicurezza delle comunicazioni;
2. Riduzione dei falsi positivi: grazie all’autenticazione DKIM, è meno probabile che un server di posta blocca erroneamente un’email valida, garantendo una maggiore affidabilità nella consegna dei messaggi;
3. Miglior reputazione del dominio: un elevato livello di autenticazione contribuisce ad accrescere la fiducia da parte degli utenti e dei provider di servizi email nei confronti del proprio dominio.