Spam und UCE - Filter: DKIM

Andere Bezeichnungen: Identified Internet Mail, IIM, DomainKeys Identified Mail

Viele Spammer verstecken sich hinter falschen Absenderadresse, was letztlich den angeblichen Absender stört. Rückläufer, Unzustellbarkeitsmeldungen aber auch die Frage der Authentizität u.a. kosten Zeit und Bandbreite. Daher möchte der Absender sicherstellen, dass niemand mit seinem Namen etwas sendet. Hierzu gibt es mehrere Ansätze.

So nutzen SPF und RMX die IP-Adresse des einliefernden Gateways zur Validierung. Problem hierbei ist aber, dass eben ein Server und nicht die Mail selbst validiert werden kann. DKIM ist ein Ansatz, bei der die Mail digital signiert wird, so dass jede Station und sogar der letzte Mailserver prüfen kann, ob die Mail verändert wurde und die Domäne des Absender korrekt ist. Nebenbei wird so sichergestellt, dass die Mail wirklich vom Mailserver des Absenders signiert werden musste.

So funktioniert es

DKIM funktioniert über eine asymmetrische Verschlüsselung der kompletten Mail

> set q=any
> _domainkey.yahoo.com

_domainkey.yahoo.com text =

"t=y; o=~; n=http://antispam.yahoo.com/domainkeys"
_domainkey.yahoo.com internet address = 66.94.234.13
_domainkey.yahoo.com internet address = 216.109.112.135

Da im Header auch die "FROM"-Adresse des Absenders mit drin ist und der zum Public Key der Domäne passende Private Key sicher kein Spammer hat, kann niemand eine falsche FROM-Adresse verwenden. Und wenn schon einmal sicher ist, dass der Absender nicht gefälscht ist, dann lassen sich auch schnell Datenbanken mit "guten und schlechten" Absendern erstellen. Also eine Art Reputation für Absender.

Yahoo nutzt aktuell dieses Verfahren, bei dem ausgehende Mails mit einer Signatur gesendet werden.

Mit einer passenden Software könnten Sie dann prüfen, ob eine Mail, die angeblich von Yahoo kommt, auch wirklich von Yahoo ist. Das hilft, damit ein Spammer nicht mehr eine Yahoo Adresse fälscht.

Die Argumente

Was so einfach aussieht ist bei weitem nicht so einfach.

Vermutlich wird es noch lange dauern, bis dieses Verfahren effektiv zum Schutz beiträgt. Ich persönlich gebe da SPF oder CallerID bessere Chancen, auch wenn Yahoo solch ein Verfahren durchführt.

Persönliche Meinung

Nur weil Cisco und Yahoo einen Standard aus der Taufe heben, muss dies nicht besser oder schlechter als der Versuch von Microsoft und anderen sein, SPF/SenderID zu pushen. Das Problem bleibt, dass sowohl Absender als auch Empfänger diese Tests alle erst implementieren müssen. Dies wird sicherlich "Jahre" dauern und es ist nicht mal sicher, dass dies die Spamflut eindämmt. Es kann allerdings helfen, dass Firmen, die die Identität der Absender prüfen möchten und Absender, die DKIM implementieren, hier den Vorteil haben, gefälschte Mails (Phishing) zu erkennen bzw. korrekte Mails deutlich machen zu können.

Ich persönlich würde mich freuen, wenn alle Firmen einen DKIM-Key im DNS veröffentlichen und ihre Mail signieren,  aber ich befürchte, dass dies nur eine Minderheit letztlich tut und damit das Verfahren nur geringe Vorteile bringt. Interessanter wäre hier wirklich die digitale Signierung der Verbindungen TLS oder der Mails selbst (SMIME), auch wenn dazu offizielle Zertifikate erforderlich wären.

Allerdings geben ich SMIME oder TLS auf dem Gateway eher eine Chance, weil damit Mails mit einem sehr viel länger bekannten Standard digital signiert werden und die Signatur über ein von einer CA ausstellten CA erfolgt. Der empfangende Mailserver muss also nicht erst im DNS nach dem Public Key schauen, sondern hat ihn schon in der Signatur samt Aussteller. Und wenn der empfangende Mailserver dies noch nicht kann, dann kann immer noch der Client die Prüfung vornehmen. Es ist also sehr viel einfacher, über den Weg gefälschte Absender zu erkennen und abzulehnen.

Einsatz unter Exchange

Keine Version von Exchange unterstützt aktuell DKIM und es sind auch keine Anzeichen zu sehen, dass dies in naher Zukunft der Fall sein wird. das CERN hat jedoch einen SMTP-Sink entwickelt, um DKIM zumindest für Exchange 2000/2003 zu integrieren.

Die meisten Firmen werden aber meist sowieso ein Gateway zwischen Internet und Exchange betreiben, so dass die Funktion auch dort implementiert werden kann. Entsprechende Unterstützung bietet aktuell z.B. Sendmail, mdaemon, SpamAssasin, Postfix und andere

Weitere Links

Keywords:Spam Filter Domainkey