Microsoft PowerPoint - s03-水越賢治-IW2011-S3DKIM-3 [互換モード]

Size: px

Start display at page:

Download "Microsoft PowerPoint - s03-水越賢治-IW2011-S3DKIM-3 [互換モード]"

こうきかんざとばる
5 years ago
Views:

1 送信ドメイン認証運用実践 DKIM 設定運用 IAjapan 迷惑メール対策委員会水越賢治

2 SPF と DKIM 送信ドメイン認証技術 DNSで送信側ポリシーを公開するのは同じ DKIMは送信メールごとに署名する送信メールサーバでの処理が必要

3 DKIM の特殊性送信メールサーバで署名が必要 SPFより面倒 PKI インフラを使うちょっと難しい? 負荷が増える複数ドメインを扱うサーバでは複雑複数の鍵管理メール送信毎に処理が必要 DKIM 普及が遅れている理由

4 OpenDKIM とはオープンソースのDKIMフィルタ受信メールのDKIM 確認送信メールの署名複数ドメインのサポート大規模化への対応 DNS Queryのキャッシュ鍵管理 DBの活用 LDAPなどに接続小規模サイトから ISP グレードまで対応

5 DKIM 運用システムの設計インストールの前に OpenDKIMは設定範囲が広い構築するメールサーバの機能規模に合わせる例 1 例 2 例 3 単一ドメインのメールサーバ企業の Dual Hme Mail Gateway xsp のメールサーバ

6 OpenDKIM の導入初級編まずは単一ドメインのシンプルなメールサーバ OpenDKIMのインストール OpenDKIMの設定 DNS 登録テスト

7 OpenDKIM のインストール Linux 系ならバイナリでの提供もあり rpm なら Debian, Ubuntu もありただしバイナリパッケージは後述するオプションはなし FreeBSDならPrtsでその他はコンパイルして cnfigure で構成コンパイル Sha256 サポートのため OpenSSL 以降が必要 milter サポートのため sendmail の libmilter が必要

8 rpm のインストール rpm の入手は以下から依存パッケージは EPELから以下のファイル libpendkim el6.i686.rpm libpendkim-devel el6.i686.rpm 標準リポジトリから sendmail-milter

9 インストールされるファイル設定ファイルは /etc/pendkim/ 以下にコマンド類は /usr/bin/pendkim-* 主な設定ファイルは /etc/pendkim/pendkim.cnf 鍵は /etc/pendkim/keys/ 以下に起動スクリプトは /etc/init.d/pendkim

10 Opendkim.cnf simple 最低限以下を修正 PidFile /var/run/pendkim/pendkim.pid Mde sv <- sは送信時の署名 vは受信時の確認 Syslg yes SyslgSuccess yes LgWhy yes UserID pendkim:pendkim Scket Umask 002 Cannicalizatin relaxed/simple Dmain example.cm <- 自分のドメイン名 Selectr default KeyFile /etc/pendkim/keys/default.private

11 MTA の設定 OpenDKIMはmilterなのでMTAの設定が必要 Pstfix ではmain.cfに以下の行を追加 smtpd_milters = inet: :8891 <- pendkim.cnfと合わせる nn_smtpd_milters = $smtpd_milters milter_default_actin = accept Sendmail では m4 に以下の行を追加 INPUT_MAIL_FILTER(`pendkim', `S=inet:8891@lcalhst') 複数のmilterがあるときは順番に注意受信はenmaを使った方がいい設定ができたらMTAをリスタート

12 pendkim を起動準備ができたら起動 # service pendkim start あれ鍵を作ってないけど? rpmに付属している起動スクリプトは自動で鍵を作る作成するドメイン名は fqdn から hstname を除いたもの作成するセレクタは default 勝手に作って欲しくないかも /etc/syscnfig/pendkimを編集 #AUTOCREATE_DKIM_KEYS=NO <- コメントアウトすれば作らない #DKIM_SELECTOR=default #DKIM_KEYDIR=/etc/pendkim/keys

13 鍵を作る鍵は自分で作ろう /etc/syscnfig/pendkim AUTOCREATE_DKIM_KEYS=NO を設定 /etc/pendkim.cnf Dmain example.cm Selectr default KeyFile /etc/pendkim/keys/example.cm/default.private 鍵を生成 mkdir /etc/pendkim/keys/example.cm /usr/bin/pendkim-genkey -D /etc/pendkim/keys/example.cm/ -d example.cm -s default chwn -R pendkim:pendkim /etc/pendkim/keys/example.cm chmd 600 /etc/pendkim/keys/example.cm/default.private chmd 644 /etc/pendkim/keys/example.cm/default.txt

14 DNS への登録公開鍵をDNSに登録してDKIM 運用開始宣言公開鍵といくつかのタグをTXTレコードに記載 pendkim-genkeyで鍵を生成すると作ってくれるセレクタ名.txtというファイル /etc/pendkim/keys/example.cm/default.txt このファイルの内容をそのままzneファイルに登録タグの例 v=dkim1 DKIM versin1 r=pstmaster replay mail address k=rsa 鍵アルゴリズム p=.. 公開鍵

15 ADSP の登録 Authr Dmain Signing Practices 送信側でのDKIMの扱いを宣言する dkim=< タグ > unknwn このドメインでは扱いを規定しない -> dkimするかもしれないししないかも all このドメインではかならずdkimをつける discardable このドメインではかならずdkimをつけるない場合は破棄していいない場合はunknwnと見なされるがつけた方がいい現状ではdiscardableは推奨されない例 _adsp._dmainkey.example.cm. IN TXT dkim=unknwn

16 OpenDKIM 運用編運用の基本はログ監視 Milterが正しく起動しているか受信時には確認結果が記録送信時には署名結果が残る DNS の運用重要性が増えるこれまでよりDNS queryが増える DNS query 失敗はdkim failの原因になる

17 OpenDKIM 導入中級編初級編のモデルはかなり単純現実的には以下の機能が必要になることが多いマルチドメイン署名マルチホーム xsp はもちろん企業でも複数ドメインのメール運用 DKIMでは送信時の署名が問題に OpenDKIMではマルチドメインと複数鍵の管理が可能マルチホームしたメールゲートウェイプライベートアドレスでの運用例外ポリシーメール転送

18 マルチドメイン対応鍵とセレクタの管理を外部ファイルにして複数ドメイン対応 pendkim.cnfの以下の行を変更 KeyFile /etc/pendkim/keys/default.private -> 削除 KeyTable refile:/etc/pendkim/keytable -> 追加 SigningTable refile:/etc/pendkim/signingtable -> 追加 KeyTable ファイルにはセレクタと鍵のファイルパスを記述 sel1._dmainkey.dm1.cm dm1.cm:sel1:/etc/pendkim/keys/dm1.cm/sel1.private sel2._dmainkey.dm2.cm dm2.cm:sel2:/etc/pendkim/keys/dm2.cm/sel2.private SignTable ファイルには認証するメールアドレスとセレクタを記述する sel1._dmainkey.dm1.cm sel2._dmainkey.dm2.cm

19 メールゲートウェイメールゲートウェイではリレーされたメールを扱う転送されたメールを認証受信したメールを確認して転送プライベートアドレスを使う内部ネットワークドメイン名管理が公開系と異なる内部ドメイン名を隠したい DKIMチェックは必要ない例外ファイル受信時にチェックしない ExternalIgnreList refile:/etc/pendkim/ignrehsts 内部ホスト送信時にかならず認証する InternalHsts refile:/etc/pendkim/internalhsts FQDN, IP アドレスで記述も

20 OpenDKIM 導入上級編より大きな規模での運用では大量のメールの署名大量のメールの確認多数の鍵の管理 OpenDKIM では大規模化対応のオプションがある DNS query cache LDAPサーバでの鍵管理 DBMSによる鍵管理

21 コンパイルオプション高度な機能を実現するにはコンパイルオプションをセット DNS query cache --enable-query_cache --with-libmemcached --with-db LDAP 対応 --with-penldap --with-sasl --enable-ldap_caching SQL 対応 --with-dbx 標準はMySQL ODBCやSqlite にも対応

22 DATA SETS pendkim.cnfのパラメータとして以下が指定できる file: または / 単純ファイル refile: 正規表現を含むデータのファイル db: BDBデータ形式 dsn: OpenDBXのDSN mysql://user:pass@3306+hst/db/table=macrs?keycl=hst?datacl=v1,v2 ldap: LDAP データメールドメインがDNにマップ鍵などはptin 属性として登録

23 OpenDKIM 参考 dkim.jp - DKIM 導入リコメンド Iajapan DKIM 技術解説

ENMA とは送信ドメイン認証の ( 受信側 ) 検証をおこなう milter Sendmail Postfix と連携動作認証結果をヘッダとして挿入認証結果ヘッダの例 Authentication-Results: mx.example.jp; spf=pass smtp.mailfrom=

ENMA とは送信ドメイン認証の ( 受信側 ) 検証をおこなう milter Sendmail Postfix と連携動作認証結果をヘッダとして挿入認証結果ヘッダの例 Authentication-Results: mx.example.jp; spf=pass smtp.mailfrom= IAjapan 第 7 回迷惑メール対策カンファレンス ENMA による送信ドメイン認証導入実践 2009/5/19 株式会社インターネットイニシアティブメッセージングサービス部開発運用課鈴木高彦 ENMA とは送信ドメイン認証の ( 受信側 ) 検証をおこなう milter Sendmail Postfix と連携動作認証結果をヘッダとして挿入認証結果ヘッダの例 Authentication-Results: