subject:"Re\: \[Exim\-users\] DKIM \+ transport

Re: [Exim-users] DKIM + transport_filter

2016-06-08 Пенетрантность Alexander Titaev

Здравствуйте, Vsevolod.

Вы писали 8 июня 2016 г., 3:12:27:


> Другое дело, что из-за хранения ключей в DNS и упорного нежелания
> переходить на тот же ed25519 приходится делать максимум RSA 1024 и
> ротировать селекторы с достаточной частотой, что очень сложно для
> рядового постмастера.

я  правильно  понимаю,  что  "ротировать селекторы" как метод борьбы с
подменой? А были прицеденты?


-- 
С уважением,
 Alexander  mailto:t...@irk.ru


___
Exim-users mailing list
Exim-users@mailground.net
http://mailground.net/mailman/listinfo/exim-users

Re: [Exim-users] DKIM + transport_filter

2016-06-07 Пенетрантность Vsevolod Stakhov

On 06/06/2016 13:58, Vladimir Sharun wrote:
> Всем привет :)
> 
>> ‎Не, ну хэш то подогнать наверняка можно, тут нет сомнений. Типа
>> получаем и сохраняем - расшифровываем - меняем тело - подгоняем хэш
>> - отправляем дальше. Переподписывать не надо.
> 
> При использовании sha2 это уже существенная энергетическая и
> временная проблема. Редукция входящих данных не позволит сделать это
> (подбор) быстрым.

К sha2 нет известных атак - это раз. К sha1 есть extending attack, но в
этом случае можно использовать `l=` у dkim (за который я бы поддал смолы
в тот котел, где будут сидеть авторы DKIM).

Relaxed encoding позволяет некоторые манипуляции с пробелами (еще пара
ведер смолы!).

Все остальное, включая попытки изменить сам dkim заголовок, заранее
обречено на провал - к RSA до квантового канпутера практических атак
пока не существует.

Другое дело, что из-за хранения ключей в DNS и упорного нежелания
переходить на тот же ed25519 приходится делать максимум RSA 1024 и
ротировать селекторы с достаточной частотой, что очень сложно для
рядового постмастера.

-- 
Vsevolod Stakhov

___
Exim-users mailing list
Exim-users@mailground.net
http://mailground.net/mailman/listinfo/exim-users

Re: [Exim-users] DKIM + transport_filter

2016-06-06 Пенетрантность Vladimir Sharun

Всем привет :)
 
> ‎Не, ну хэш то подогнать наверняка можно, тут нет сомнений. Типа получаем и 
> сохраняем - расшифровываем - меняем тело - подгоняем хэш - отправляем дальше. 
> Переподписывать не надо.

При использовании sha2 это уже существенная энергетическая и временная 
проблема. Редукция входящих данных не позволит сделать это (подбор) быстрым.
 
 

___
Exim-users mailing list
Exim-users@mailground.net
http://mailground.net/mailman/listinfo/exim-users

Re: [Exim-users] DKIM + transport_filter

2016-06-06 Пенетрантность Max Kostikov

‎Не, ну хэш то подогнать наверняка можно, тут нет сомнений. Типа получаем и 
сохраняем - расшифровываем - меняем тело - подгоняем хэш - отправляем дальше. 
Переподписывать не надо.

По мэйлинг-листам почитал. Там всё неоднозначно особенно в части применения 
политики DMARC.
‎
Отправлено с моего смартфона BlackBerry 10 по сети TELE2

  Исходное сообщение  
От: Vladimir Sharun
Отправлено: понедельник, 6 июня 2016 г., 13:09
Кому: Exim MTA на русском
Ответить: Exim MTA на русском
Копия: Exim MTA на русском
Тема: Re: [Exim-users] DKIM + transport_filter

Привет,

Я вообще встрял по вопросу взломостойкости хэша, что реально, но не то чтобы 
легко 

___
Exim-users mailing list
Exim-users@mailground.net
http://mailground.net/mailman/listinfo/exim-users

___
Exim-users mailing list
Exim-users@mailground.net
http://mailground.net/mailman/listinfo/exim-users

Re: [Exim-users] DKIM + transport_filter

2016-06-06 Пенетрантность Vladimir Sharun

Привет,

Я вообще встрял по вопросу взломостойкости хэша, что реально, но не то чтобы 
легко :)

Что раньше выполняется - для этого есть тестовые прогоны exim'а с включенным 
дебагом:
месседж не отправляется, но кто на ком стоял - сразу видно. 

> Теперь хотелось бы понять, что выполняется раньше шифрование через DKIM 
> или transport_filter?
 
 

___
Exim-users mailing list
Exim-users@mailground.net
http://mailground.net/mailman/listinfo/exim-users

Re: [Exim-users] DKIM + transport_filter

2016-06-06 Пенетрантность skele...@lissyara.su

06.06.2016 13:04, Vladimir Sharun пишет:

Всем привет,

3.7 Computing the Message Hashes

Both signing and verifying message signatures start with a step of computing
two cryptographic hashes over the message. Signers will choose the parameters
of the signature as described in Signer Actions (Section 5); verifiers will use
the parameters specified in the DKIM-Signature header field being verified. In
the following discussion, the names of the tags in the DKIM-Signature header
field that either exists (when verifying) or will be created (when signing) are
used. Note that canonicalization (Section 3.4) is only used to prepare the
email for signing or verifying; it does not affect the transmitted email in any
way.

The signer/verifier MUST compute two hashes, one over the body of the message
and one over the selected header fields of the message. Signers MUST compute
them in the order shown. Verifiers MAY compute them in any order convenient to
the verifier, provided that the result is semantically identical to the
semantics that would be the case had they been computed in this order.

In hash step 1, the signer/verifier MUST hash the message body, canonicalized using the body canonicalization
algorithm specified in the "c=" tag and then truncated to the length specified in the
"l=" tag. That hash value is then converted to base64 form and inserted into (signers) or compared
to (verifiers) the "bh=" tag of the DKIM-Signature header field.

http://dkim.org/specs/rfc4871-dkimbase.html#hashing

Спасибо.
Теперь хотелось бы понять, что выполняется раньше шифрование через DKIM
или transport_filter?

___
Exim-users mailing list
Exim-users@mailground.net
http://mailground.net/mailman/listinfo/exim-users

Re: [Exim-users] DKIM + transport_filter

2016-06-06 Пенетрантность Max Kostikov

Да-да, уже посмотрел. Спасибо.
Ушёл читать, короче.

Отправлено с моего смартфона BlackBerry 10 по сети TELE2
  Исходное сообщение  
От: Vladimir Sharun
Отправлено: понедельник, 6 июня 2016 г., 12:05
Кому: Exim MTA на русском
Ответить: Exim MTA на русском
Тема: Re: [Exim-users] DKIM + transport_filter

Всем привет,

3.7 Computing the Message Hashes

Both signing and verifying message signatures start with a step of computing 
two cryptographic hashes over the message. Signers will choose the parameters 
of the signature as described in Signer Actions (Section 5); verifiers will use 
the parameters specified in the DKIM-Signature header field being verified. In 
the following discussion, the names of the tags in the DKIM-Signature header 
field that either exists (when verifying) or will be created (when signing) are 
used. Note that canonicalization (Section 3.4) is only used to prepare the 
email for signing or verifying; it does not affect the transmitted email in any 
way.

The signer/verifier MUST compute two hashes, one over the body of the message 
and one over the selected header fields of the message. Signers MUST compute 
them in the order shown. Verifiers MAY compute them in any order convenient to 
the verifier, provided that the result is semantically identical to the 
semantics that would be the case had they been computed in this order.

In hash step 1, the signer/verifier MUST hash the message body, canonicalized 
using the body canonicalization algorithm specified in the "c=" tag and then 
truncated to the length specified in the "l=" tag. That hash value is then 
converted to base64 form and inserted into (signers) or compared to (verifiers) 
the "bh=" tag of the DKIM-Signature header field.


http://dkim.org/specs/rfc4871-dkimbase.html#hashing



> ‎Насколько я понимаю,  DKIM работает с заголовками. Т.е. что бы вам этот хэш 
> использовать, его нужно будет поместить в специальный заголовок и сообщить 
> DKIM что его также нужно использовать при подписи.
> Но даже если вы это сделаете, то что мешает изменить тело письма после? ‎
> 
> Отправлено с моего смартфона BlackBerry 10 по сети TELE2
> ‎
> Исходное сообщение  
> От: Vladimir Sharun
> Отправлено: понедельник, 6 июня 2016 г., 11:02
> Кому: Exim MTA на русском
> Ответить: Exim MTA на русском
> Тема: Re: [Exim-users] DKIM + transport_filter
> 
> Всем привет,
> 
> Тут непонятный момент есть: если ты взял хэш и от боди помимо хедеров, 
> поменял его (body) и есть иллюзия, что хэш верифицируется ?
> 
> --- Оригінальне повідомлення ---
> Від кого: "Max Kostikov" <m...@kostikov.co>
> Дата: 6 червня 2016, 11:30:05
> 
> 
> > 1. Да.
> > 2. Так и надо, всё верно.
> > 
> > skele...@lissyara.su писал 2016-06-06 10:11:
> > > 06.06.2016 10:43, Max Kostikov пишет:
> > >> Приветствую!
> > >> 
> > >> 1. Неправильно поняли. Используется определённый набор заголовков.
> > >> Список рекомендованных есть в 5.4.1. RFC 6376
> > >> 2. Делать это не в фильтре, а в самом транспорте.
> > >> 
> > > 
> > > 1. То есть изменённое тело письма позволяет пройти валидацию DKIM,
> > > если заголовки не менялись?
> > > 2. Так собственно это и планируется. Данная опция используется в 
> > > транспорте.
> > > 
> > > 
> > > ___
> > > Exim-users mailing list
> > > Exim-users@mailground.net
> > > http://mailground.net/mailman/listinfo/exim-users
> > 
> > -- 
> > Best regards,
> > Max Kostikov
> > 
> > BBM: 24CA5DF8 | https://kostikov.co
> > 
> > ___
> > Exim-users mailing list
> > Exim-users@mailground.net
> > http://mailground.net/mailman/listinfo/exim-users
> 
> 
> 
> ___
> Exim-users mailing list
> Exim-users@mailground.net
> http://mailground.net/mailman/listinfo/exim-users
> 
> ___
> Exim-users mailing list
> Exim-users@mailground.net
> http://mailground.net/mailman/listinfo/exim-users



___
Exim-users mailing list
Exim-users@mailground.net
http://mailground.net/mailman/listinfo/exim-users

___
Exim-users mailing list
Exim-users@mailground.net
http://mailground.net/mailman/listinfo/exim-users

Re: [Exim-users] DKIM + transport_filter

2016-06-06 Пенетрантность Max Kostikov

Хотя, стоп! Там же действительно и тело хэшируется. Тогда мне не совсем понятно 
как обстоят дела с листами рассылки которые часто меняют тело, например и с 
этим.

Отправлено с моего смартфона BlackBerry 10 по сети TELE2
  Исходное сообщение  
От: Max Kostikov
Отправлено: понедельник, 6 июня 2016 г., 11:33
Кому: Vladimir Sharun
Ответить: Exim MTA на русском
Тема: Re: [Exim-users] DKIM + transport_filter

‎Насколько я понимаю,  DKIM работает с заголовками. Т.е. что бы вам этот хэш 
использовать, его нужно будет поместить в специальный заголовок и сообщить DKIM 
что его также нужно использовать при подписи.
Но даже если вы это сделаете, то что мешает изменить тело письма после? ‎

Отправлено с моего смартфона BlackBerry 10 по сети TELE2
‎
  Исходное сообщение  
От: Vladimir Sharun
Отправлено: понедельник, 6 июня 2016 г., 11:02
Кому: Exim MTA на русском
Ответить: Exim MTA на русском
Тема: Re: [Exim-users] DKIM + transport_filter

Всем привет,

Тут непонятный момент есть: если ты взял хэш и от боди помимо хедеров, 
поменял его (body) и есть иллюзия, что хэш верифицируется ?

--- Оригінальне повідомлення ---
Від кого: "Max Kostikov" <m...@kostikov.co>
Дата: 6 червня 2016, 11:30:05


> 1. Да.
> 2. Так и надо, всё верно.
> 
> skele...@lissyara.su писал 2016-06-06 10:11:
> > 06.06.2016 10:43, Max Kostikov пишет:
> >> Приветствую!
> >> 
> >> 1. Неправильно поняли. Используется определённый набор заголовков.
> >> Список рекомендованных есть в 5.4.1. RFC 6376
> >> 2. Делать это не в фильтре, а в самом транспорте.
> >> 
> > 
> > 1. То есть изменённое тело письма позволяет пройти валидацию DKIM,
> > если заголовки не менялись?
> > 2. Так собственно это и планируется. Данная опция используется в 
> > транспорте.
> > 
> > 
> > ___
> > Exim-users mailing list
> > Exim-users@mailground.net
> > http://mailground.net/mailman/listinfo/exim-users
> 
> -- 
> Best regards,
> Max Kostikov
> 
> BBM: 24CA5DF8 | https://kostikov.co
> 
> ___
> Exim-users mailing list
> Exim-users@mailground.net
> http://mailground.net/mailman/listinfo/exim-users



___
Exim-users mailing list
Exim-users@mailground.net
http://mailground.net/mailman/listinfo/exim-users

___
Exim-users mailing list
Exim-users@mailground.net
http://mailground.net/mailman/listinfo/exim-users

___
Exim-users mailing list
Exim-users@mailground.net
http://mailground.net/mailman/listinfo/exim-users

Re: [Exim-users] DKIM + transport_filter

2016-06-06 Пенетрантность Vladimir Sharun

Всем привет,

3.7 Computing the Message Hashes

Both signing and verifying message signatures start with a step of computing 
two cryptographic hashes over the message. Signers will choose the parameters 
of the signature as described in Signer Actions (Section 5); verifiers will use 
the parameters specified in the DKIM-Signature header field being verified. In 
the following discussion, the names of the tags in the DKIM-Signature header 
field that either exists (when verifying) or will be created (when signing) are 
used. Note that canonicalization (Section 3.4) is only used to prepare the 
email for signing or verifying; it does not affect the transmitted email in any 
way.

The signer/verifier MUST compute two hashes, one over the body of the message 
and one over the selected header fields of the message. Signers MUST compute 
them in the order shown. Verifiers MAY compute them in any order convenient to 
the verifier, provided that the result is semantically identical to the 
semantics that would be the case had they been computed in this order.

In hash step 1, the signer/verifier MUST hash the message body, canonicalized 
using the body canonicalization algorithm specified in the "c=" tag and then 
truncated to the length specified in the "l=" tag. That hash value is then 
converted to base64 form and inserted into (signers) or compared to (verifiers) 
the "bh=" tag of the DKIM-Signature header field.


http://dkim.org/specs/rfc4871-dkimbase.html#hashing


 
> ‎Насколько я понимаю,  DKIM работает с заголовками. Т.е. что бы вам этот хэш 
> использовать, его нужно будет поместить в специальный заголовок и сообщить 
> DKIM что его также нужно использовать при подписи.
> Но даже если вы это сделаете, то что мешает изменить тело письма после? ‎
> 
> Отправлено с моего смартфона BlackBerry 10 по сети TELE2
> ‎
> Исходное сообщение  
> От: Vladimir Sharun
> Отправлено: понедельник, 6 июня 2016 г., 11:02
> Кому: Exim MTA на русском
> Ответить: Exim MTA на русском
> Тема: Re: [Exim-users] DKIM + transport_filter
> 
> Всем привет,
> 
> Тут непонятный момент есть: если ты взял хэш и от боди помимо хедеров, 
> поменял его (body) и есть иллюзия, что хэш верифицируется ?
> 
> --- Оригінальне повідомлення ---
> Від кого: "Max Kostikov" <m...@kostikov.co>
> Дата: 6 червня 2016, 11:30:05
> 
> 
> > 1. Да.
> > 2. Так и надо, всё верно.
> > 
> > skele...@lissyara.su писал 2016-06-06 10:11:
> > > 06.06.2016 10:43, Max Kostikov пишет:
> > >> Приветствую!
> > >> 
> > >> 1. Неправильно поняли. Используется определённый набор заголовков.
> > >> Список рекомендованных есть в 5.4.1. RFC 6376
> > >> 2. Делать это не в фильтре, а в самом транспорте.
> > >> 
> > > 
> > > 1. То есть изменённое тело письма позволяет пройти валидацию DKIM,
> > > если заголовки не менялись?
> > > 2. Так собственно это и планируется. Данная опция используется в 
> > > транспорте.
> > > 
> > > 
> > > ___
> > > Exim-users mailing list
> > > Exim-users@mailground.net
> > > http://mailground.net/mailman/listinfo/exim-users
> > 
> > -- 
> > Best regards,
> > Max Kostikov
> > 
> > BBM: 24CA5DF8 | https://kostikov.co
> > 
> > ___
> > Exim-users mailing list
> > Exim-users@mailground.net
> > http://mailground.net/mailman/listinfo/exim-users
> 
> 
> 
> ___
> Exim-users mailing list
> Exim-users@mailground.net
> http://mailground.net/mailman/listinfo/exim-users
> 
> ___
> Exim-users mailing list
> Exim-users@mailground.net
> http://mailground.net/mailman/listinfo/exim-users
 
 

___
Exim-users mailing list
Exim-users@mailground.net
http://mailground.net/mailman/listinfo/exim-users

Re: [Exim-users] DKIM + transport_filter

2016-06-06 Пенетрантность Max Kostikov

‎Насколько я понимаю,  DKIM работает с заголовками. Т.е. что бы вам этот хэш 
использовать, его нужно будет поместить в специальный заголовок и сообщить DKIM 
что его также нужно использовать при подписи.
Но даже если вы это сделаете, то что мешает изменить тело письма после? ‎

Отправлено с моего смартфона BlackBerry 10 по сети TELE2
‎
  Исходное сообщение  
От: Vladimir Sharun
Отправлено: понедельник, 6 июня 2016 г., 11:02
Кому: Exim MTA на русском
Ответить: Exim MTA на русском
Тема: Re: [Exim-users] DKIM + transport_filter

Всем привет,

Тут непонятный момент есть: если ты взял хэш и от боди помимо хедеров, 
поменял его (body) и есть иллюзия, что хэш верифицируется ?

--- Оригінальне повідомлення ---
Від кого: "Max Kostikov" <m...@kostikov.co>
Дата: 6 червня 2016, 11:30:05


> 1. Да.
> 2. Так и надо, всё верно.
> 
> skele...@lissyara.su писал 2016-06-06 10:11:
> > 06.06.2016 10:43, Max Kostikov пишет:
> >> Приветствую!
> >> 
> >> 1. Неправильно поняли. Используется определённый набор заголовков.
> >> Список рекомендованных есть в 5.4.1. RFC 6376
> >> 2. Делать это не в фильтре, а в самом транспорте.
> >> 
> > 
> > 1. То есть изменённое тело письма позволяет пройти валидацию DKIM,
> > если заголовки не менялись?
> > 2. Так собственно это и планируется. Данная опция используется в 
> > транспорте.
> > 
> > 
> > ___
> > Exim-users mailing list
> > Exim-users@mailground.net
> > http://mailground.net/mailman/listinfo/exim-users
> 
> -- 
> Best regards,
> Max Kostikov
> 
> BBM: 24CA5DF8 | https://kostikov.co
> 
> ___
> Exim-users mailing list
> Exim-users@mailground.net
> http://mailground.net/mailman/listinfo/exim-users



___
Exim-users mailing list
Exim-users@mailground.net
http://mailground.net/mailman/listinfo/exim-users

___
Exim-users mailing list
Exim-users@mailground.net
http://mailground.net/mailman/listinfo/exim-users

Re: [Exim-users] DKIM + transport_filter

2016-06-06 Пенетрантность Vladimir Sharun

Всем привет,

Тут непонятный момент есть: если ты взял хэш и от боди помимо хедеров, 
поменял его (body) и есть иллюзия, что хэш верифицируется ?

 --- Оригінальне повідомлення ---
Від кого: "Max Kostikov" 
Дата: 6 червня 2016, 11:30:05

 
> 1. Да.
> 2. Так и надо, всё верно.
> 
> skele...@lissyara.su писал 2016-06-06 10:11:
> > 06.06.2016 10:43, Max Kostikov пишет:
> >> Приветствую!
> >> 
> >> 1. Неправильно поняли. Используется определённый набор заголовков.
> >> Список рекомендованных есть в 5.4.1. RFC 6376
> >> 2. Делать это не в фильтре, а в самом транспорте.
> >> 
> > 
> > 1. То есть изменённое тело письма позволяет пройти валидацию DKIM,
> > если заголовки не менялись?
> > 2. Так собственно это и планируется. Данная опция используется в 
> > транспорте.
> > 
> > 
> > ___
> > Exim-users mailing list
> > Exim-users@mailground.net
> > http://mailground.net/mailman/listinfo/exim-users
> 
> -- 
> Best regards,
> Max Kostikov
> 
> BBM: 24CA5DF8 | https://kostikov.co
> 
> ___
> Exim-users mailing list
> Exim-users@mailground.net
> http://mailground.net/mailman/listinfo/exim-users
 
 

___
Exim-users mailing list
Exim-users@mailground.net
http://mailground.net/mailman/listinfo/exim-users

Re: [Exim-users] DKIM + transport_filter

2016-06-06 Пенетрантность skele...@lissyara.su


06.06.2016 10:43, Max Kostikov пишет:

Приветствую!

1. Неправильно поняли. Используется определённый набор заголовков.
Список рекомендованных есть в 5.4.1. RFC 6376
2. Делать это не в фильтре, а в самом транспорте.



1. То есть изменённое тело письма позволяет пройти валидацию DKIM, если 
заголовки не менялись?

2. Так собственно это и планируется. Данная опция используется в транспорте.


___
Exim-users mailing list
Exim-users@mailground.net
http://mailground.net/mailman/listinfo/exim-users

Re: [Exim-users] DKIM + transport_filter

Re: [Exim-users] DKIM + transport_filter

Re: [Exim-users] DKIM + transport_filter

Re: [Exim-users] DKIM + transport_filter

Re: [Exim-users] DKIM + transport_filter

Re: [Exim-users] DKIM + transport_filter

Re: [Exim-users] DKIM + transport_filter

Re: [Exim-users] DKIM + transport_filter

Re: [Exim-users] DKIM + transport_filter

Re: [Exim-users] DKIM + transport_filter

Re: [Exim-users] DKIM + transport_filter

Re: [Exim-users] DKIM + transport_filter

12 matches

Site Navigation

Mail list logo

Footer information