21 Jan
2015
21 Jan
'15
11:20 a.m.
Cau,
kdyz uz je to tady posledni dobou tak krasne aktivni, napadla me jeste
jedna vec - e-mail s DKIM poslanej do mailinglistu prijde s doplnenou
patickou, coz samozrejme poskodi body hash v DKIM, takze jsou problemy s
dorucenim. Myslim si ze by mailserver mel pri preposilani zpravy do
mailinglistu odstranit starou DKIM hlavicku a pripadne pridat novou,
obsahujici podpis domeny lists.vpsfree.cz a s odpovidajicim body hash po
doplneni paticky mailinglistu. Nebo mate nekdo jinej napad jak to resit?
--
Stanislav Petr
glux(a)glux.org
stanislav(a)petr.email
+420 602 620 026
21 Jan
21 Jan
11:50 a.m.
On 01/21/2015 12:20 PM, Stanislav Petr wrote:
kdyz uz je to tady posledni dobou tak krasne aktivni,
napadla me jeste
jedna vec - e-mail s DKIM poslanej do mailinglistu prijde s doplnenou
patickou, coz samozrejme poskodi body hash v DKIM, takze jsou problemy s
dorucenim. Myslim si ze by mailserver mel pri preposilani zpravy do
mailinglistu odstranit starou DKIM hlavicku a pripadne pridat novou,
obsahujici podpis domeny lists.vpsfree.cz a s odpovidajicim body hash po
doplneni paticky mailinglistu. Nebo mate nekdo jinej napad jak to resit?
A je to opravdu problem? Nejake maily ti skutecne neprisly?
Narazil jsem na https://bugs.launchpad.net/mailman/+bug/557493
Z toho to vypada, ze kdyz ten podpis neodpovida obsahu, dojde
k normalnimu doruceni.
Jakub
12:07 p.m.
Ano, na Gmailu nektere zpravy z lists.vpsfree konci ve slozce Spam
(napriklad ta od Stanislava Petra). V tomto pripade to alespon napise
proc:
Proč je tato zpráva ve spamu? Adresa odesílatele je z domény glux.org,
ale zpráva neprošla kontrolou autentičnosti domény glux.org. Další
informace
Dne 21. ledna 2015 12:50 Jakub Skokan <jakub.skokan(a)vpsfree.cz> napsal(a):
On 01/21/2015 12:20 PM, Stanislav Petr wrote:
kdyz uz je to tady posledni dobou tak krasne
aktivni, napadla me jeste
jedna vec - e-mail s DKIM poslanej do mailinglistu prijde s doplnenou
patickou, coz samozrejme poskodi body hash v DKIM, takze jsou problemy s
dorucenim. Myslim si ze by mailserver mel pri preposilani zpravy do
mailinglistu odstranit starou DKIM hlavicku a pripadne pridat novou,
obsahujici podpis domeny lists.vpsfree.cz a s odpovidajicim body hash po
doplneni paticky mailinglistu. Nebo mate nekdo jinej napad jak to resit?
A je to opravdu problem? Nejake maily ti skutecne neprisly?
Narazil jsem na https://bugs.launchpad.net/mailman/+bug/557493
Z toho to vypada, ze kdyz ten podpis neodpovida obsahu, dojde
k normalnimu doruceni.
Jakub
_______________________________________________
Community-list mailing list
Community-list(a)lists.vpsfree.cz
http://lists.vpsfree.cz/listinfo/community-list
12:08 p.m.
Obavam se ze v tomto pripade:
;; ANSWER SECTION:
_dmarc.glux.org. 1800 IN TXT "v=DMARC1\; p=reject\;
rua=mailto:glux@glux.org\; adkim=r\; sp=reject"
to problem je...
Napr. zpravy ktery posilam prez mailinglist na gmailu konci ve spamu.
Kdyz to na gmail posilam primo, samozrejme to bez problemu dorazi.
--
Stanislav Petr
glux(a)glux.org
stanislav(a)petr.email
+420 602 620 026
On 21.1.2015 12:50, Jakub Skokan wrote:
On 01/21/2015 12:20 PM, Stanislav Petr wrote:
kdyz uz je to tady posledni dobou tak krasne
aktivni, napadla me jeste
jedna vec - e-mail s DKIM poslanej do mailinglistu prijde s doplnenou
patickou, coz samozrejme poskodi body hash v DKIM, takze jsou problemy s
dorucenim. Myslim si ze by mailserver mel pri preposilani zpravy do
mailinglistu odstranit starou DKIM hlavicku a pripadne pridat novou,
obsahujici podpis domeny lists.vpsfree.cz a s odpovidajicim body hash po
doplneni paticky mailinglistu. Nebo mate nekdo jinej napad jak to resit?
A je to opravdu problem? Nejake maily ti skutecne neprisly?
Narazil jsem na https://bugs.launchpad.net/mailman/+bug/557493
Z toho to vypada, ze kdyz ten podpis neodpovida obsahu, dojde
k normalnimu doruceni.
Jakub
_______________________________________________
Community-list mailing list
Community-list(a)lists.vpsfree.cz
http://lists.vpsfree.cz/listinfo/community-list
12:43 p.m.
Dne 21.1.2015 v 13:08 Stanislav Petr napsal(a):
Obavam se ze v tomto pripade:
;; ANSWER SECTION:
_dmarc.glux.org. 1800 IN TXT "v=DMARC1\; p=reject\;
rua=mailto:glux@glux.org\; adkim=r\; sp=reject"
to problem je...
Napr. zpravy ktery posilam prez mailinglist na gmailu konci ve spamu.
Kdyz to na gmail posilam primo, samozrejme to bez problemu dorazi.
O tomhle je celé RFC 6377:
https://tools.ietf.org/html/rfc6377
V podstatě jediné, co by mohl mailing list udělat, je DKIM validovat,
odstranit původní podpisy a podepsat sám, včetně hlavičky s výsledkem
validace. Ale nejsem si jist, že by něco takového třeba Mailman uměl.
Taky se tam rozebírá ADSP politika: Mailing list by měl odmítnout
zaregistrovat odesilatele z domény, jejíž ADSP politika je nastavena na
Discardable (protože e-maily od takového přispěvatele by po
přechroustání konferencí byly nutně určené k zahození).
DMARC, pokud tomu dobře rozumím, je takové ADSP na steroidech, takže by
pro něj měla platit podobná pravidla. Explicitně zmíněno není, protože
je evidentně mladší než September 2011.
FAQ k DMARCu ale uvádí několik řešení:
http://www.dmarc.org/faq.html#s_3
1. Chovat se jen jako forwarder, neměnit obsah… To asi nechceme, navíc
stejně selže případné SPF.
2. Přepodepisovat, přidávat Original Authentication Results… Což dodnes
evidentně není zcela domyšlené :(
3. Přivlastnit si e-mail přepisováním hlavičky odesílatele a podobně…
Tomu bych se taky asi radši vyhnul.
Shrnuto: Řešení neexistuje. Nechť si Glux pořídí speciální doménu pro
mailing listy, která nebude mít tak striktní DMARC politiku :P
--
Ondra
12:59 p.m.
1. Chovat se jen jako forwarder, neměnit obsah… To asi nechceme, navíc
stejně selže případné SPF.
Proč nechceme? V tom jenom obsah zprávy forwardovat dál přece není
problém. Aspoň co vím, tak tenhle postup použily ostatní mailové
konference - postfix-users a dovecot třeba - když u Yahoo a Gmailu
začali označovat zprávy z konferencí jako spam nebo je zrovnou
zahazovat. Do zpráv se nehrabe a příjemcům přijdou. Ano, SPF musí být
nastavené rozumně.
Rozbít DKIM podpis a tu zprávu pak s klidem poslat dál bych se docela
bál. Provozovatelé poštovních systémů sledujících "reputaci" odesílacích
serverů se samozřejmě nepochlubí, co přesně sledují a jak, ale hádám, že
posílat špatně podepsané maily nikomu body nepřidá.
U jakmile se třeba Google rozhodne, že zprávy z nějaké IP adresy (nebo
rozsahu IP adres) jsou spam, tak není cesty, jak jim to rozmluvit.
1:20 p.m.
Dne 21.1.2015 v 13:59 Jirka Bourek napsal(a):
Jsem přihlášen v asi 30 různých konferencích a teď jsem nenašel jedinou,
která by zprávy nemodifikovala. Pravda, zrovna ve dvou zmíněných nejsem.
Nejčastější modifikace jsou:
1. přidávání patičky
2. přidávání tagu do předmětu
3. Reply-To na adresu konference
Osobně bych se dokázal obejít bez všech tří, ale obávám se, že spousta
lidí podle Subject tagu filtruje a ještě větší spousta lidí spoléhá na
to, že po stisku tlačítka odpovědět píšou do konference a ne odesílateli.
Je sice pravda, že úpravu ad 3 je možné udělat bez vlivu na DKIM, to ale
neplatí pro e-maily, které už do konference s hlavičkou Reply-To přijdou.
1. Chovat se jen jako forwarder, neměnit obsah… To asi nechceme, navíc
stejně selže případné SPF.
Proč nechceme? V tom jenom obsah zprávy forwardovat dál přece není
problém. Aspoň co vím, tak tenhle postup použily ostatní mailové
konference - postfix-users a dovecot třeba - když u Yahoo a Gmailu
začali označovat zprávy z konferencí jako spam nebo je zrovnou
zahazovat. Do zpráv se nehrabe a příjemcům přijdou. Ano, SPF musí být
nastavené rozumně.
Rozbít DKIM podpis a tu zprávu pak s klidem poslat dál bych se docela
bál. Provozovatelé poštovních systémů sledujících "reputaci" odesílacích
serverů se samozřejmě nepochlubí, co přesně sledují a jak, ale hádám, že
posílat špatně podepsané maily nikomu body nepřidá.
Vzhledem k ohromnému množství mailing listů věřím tomu, že reputační
systémy odečítají trestné body, pokud e-mail vypadá jako přišlý z
konference. Jinak by byla už dávno většina mailing listů nefunkčních.
--
Ondra
1:49 p.m.
Ondřej Caletka wrote:
U velkých hráčů - pro ČR Seznam, globálně Google - o tom docela
pochybuju - těm je jedno, když k nim maily z konferencí chodit nebudou.
Navíc se mi nezdá, že by maily z konferencí potřebovaly nějakou výjimku
- bývají na ně aplikovány docela přísná pravidla na velikost (žádné
přílohy), často i na obsah (např. žádné HTML zprávy), takže přijímací
servery si kromě objemu zpráv nemají na co stěžovat.
Je taky potřeba brát v úvahu, že DKIM podpis je u jednotlivých zpráv
zatím spíš výjimka, takže na celkovou reputaci mailserveru mají takové
zprávy minimální vliv. Zatím, budou přibývat...
Dne 21.1.2015 v 13:59 Jirka Bourek napsal(a):
Jsem přihlášen v asi 30 různých konferencích a teď jsem nenašel jedinou,
která by zprávy nemodifikovala. Pravda, zrovna ve dvou zmíněných nejsem.
Teď jsem ještě nakoukl na mailing list eximu a tam tagy do předmětu
přidávali taky a už to nedělají. Všechny tři jsou mailing listy nějakého
software pro práci s elektronickou poštou, takže hádám, že jejich
správci by měli vědět nejvíc.
1. Chovat se jen jako forwarder, neměnit obsah… To asi nechceme, navíc
stejně selže případné SPF.
Proč nechceme? V tom jenom obsah zprávy forwardovat dál přece není
problém. Aspoň co vím, tak tenhle postup použily ostatní mailové
konference - postfix-users a dovecot třeba - když u Yahoo a Gmailu
začali označovat zprávy z konferencí jako spam nebo je zrovnou
zahazovat. Do zpráv se nehrabe a příjemcům přijdou. Ano, SPF musí být
nastavené rozumně. Nejčastější modifikace jsou:
1. přidávání patičky
2. přidávání tagu do předmětu
3. Reply-To na adresu konference
Osobně bych se dokázal obejít bez všech tří, ale obávám se, že spousta
lidí podle Subject tagu filtruje a ještě větší spousta lidí spoléhá na
to, že po stisku tlačítka odpovědět píšou do konference a ne odesílateli.
Je sice pravda, že úpravu ad 3 je možné udělat bez vlivu na DKIM, to ale
neplatí pro e-maily, které už do konference s hlavičkou Reply-To přijdou.
Tak když mail přijde s hlavičkou Reply-To, tak ji není potřeba přidávat
(teda za předpokladu, že ten mail neposílá někdo, kdo chce škodit, a dá
tam něco jiného, než v ní má být.)
Filtrovat podle tagu v Subjectu je špatný postup(TM), od toho je
List-Id. Ostatně slušný e-mailový klient by měl umět "Reply to list",
který se řídí podle List-Post, takže není potřeba ani Reply-To
Rozbít DKIM podpis a tu zprávu pak s klidem poslat dál bych se docela
bál. Provozovatelé poštovních systémů sledujících "reputaci" odesílacích
serverů se samozřejmě nepochlubí, co přesně sledují a jak, ale hádám, že
posílat špatně podepsané maily nikomu body nepřidá.
Vzhledem k ohromnému množství mailing listů věřím tomu, že reputační
systémy odečítají trestné body, pokud e-mail vypadá jako přišlý z
konference. Jinak by byla už dávno většina mailing listů nefunkčních.
2:37 p.m.
Řešením by podle mne bylo na serveru určitě po zmodifikovani zprávy odebrat DKIM hlavičku,
o tom asi není třeba diskutovat... email bez DKIM je určitě lepší než s chybným DKIM.
SPF taky není potřeba řešit, protože to by se mělo jestli se nepletu aplikovat jen na
obalkovou adresu. Ta je v případě mailinglistu adresou serveru.
A co se týká nového podpisu DKIM, tak to je jediná otázka k diskusi. Protože tady je
potřeba vyřešit konflikt s případným striktně nastaveným DMARC.
Odesláno z iPhonu
21. 1. 2015 v 14:49, Jirka Bourek <trekker.dk(a)abclinuxu.cz>cz>:
Ondřej Caletka wrote:
U velkých hráčů - pro ČR Seznam, globálně Google - o tom docela pochybuju - těm je jedno,
když k nim maily z konferencí chodit nebudou.
Navíc se mi nezdá, že by maily z konferencí potřebovaly nějakou výjimku - bývají na ně
aplikovány docela přísná pravidla na velikost (žádné přílohy), často i na obsah (např.
žádné HTML zprávy), takže přijímací servery si kromě objemu zpráv nemají na co stěžovat.
Je taky potřeba brát v úvahu, že DKIM podpis je u jednotlivých zpráv zatím spíš výjimka,
takže na celkovou reputaci mailserveru mají takové zprávy minimální vliv. Zatím, budou
přibývat...
_______________________________________________
Community-list mailing list
Community-list(a)lists.vpsfree.cz
http://lists.vpsfree.cz/listinfo/community-list
Dne 21.1.2015 v 13:59 Jirka Bourek napsal(a):
Jsem přihlášen v asi 30 různých konferencích a teď jsem nenašel jedinou,
která by zprávy nemodifikovala. Pravda, zrovna ve dvou zmíněných nejsem.
Teď jsem ještě nakoukl na mailing list eximu a tam tagy do předmětu přidávali taky a už
to nedělají. Všechny tři jsou mailing listy nějakého software pro práci s elektronickou
poštou, takže hádám, že jejich správci by měli vědět nejvíc.
1. Chovat se jen jako forwarder, neměnit obsah… To asi nechceme, navíc
stejně selže případné SPF.
Proč nechceme? V tom jenom obsah zprávy forwardovat dál přece není
problém. Aspoň co vím, tak tenhle postup použily ostatní mailové
konference - postfix-users a dovecot třeba - když u Yahoo a Gmailu
začali označovat zprávy z konferencí jako spam nebo je zrovnou
zahazovat. Do zpráv se nehrabe a příjemcům přijdou. Ano, SPF musí být
nastavené rozumně. Nejčastější modifikace jsou:
1. přidávání patičky
2. přidávání tagu do předmětu
3. Reply-To na adresu konference
Osobně bych se dokázal obejít bez všech tří, ale obávám se, že spousta
lidí podle Subject tagu filtruje a ještě větší spousta lidí spoléhá na
to, že po stisku tlačítka odpovědět píšou do konference a ne odesílateli.
Je sice pravda, že úpravu ad 3 je možné udělat bez vlivu na DKIM, to ale
neplatí pro e-maily, které už do konference s hlavičkou Reply-To přijdou.
Tak když mail přijde s hlavičkou Reply-To, tak ji není potřeba přidávat (teda za
předpokladu, že ten mail neposílá někdo, kdo chce škodit, a dá tam něco jiného, než v ní
má být.)
Filtrovat podle tagu v Subjectu je špatný postup(TM), od toho je List-Id. Ostatně slušný
e-mailový klient by měl umět "Reply to list", který se řídí podle List-Post,
takže není potřeba ani Reply-To
Rozbít DKIM podpis a tu zprávu pak s klidem poslat dál bych se docela
bál. Provozovatelé poštovních systémů sledujících "reputaci" odesílacích
serverů se samozřejmě nepochlubí, co přesně sledují a jak, ale hádám, že
posílat špatně podepsané maily nikomu body nepřidá.
Vzhledem k ohromnému množství
mailing listů věřím tomu, že reputační
systémy odečítají trestné body, pokud e-mail vypadá jako přišlý z
konference. Jinak by byla už dávno většina mailing listů nefunkčních. 
1:29 p.m.
Ahoj, od prvniho dubna nebudou chodit emaily na seznam
http://seznam.seznamblog.cz/post/108069343301/seznam-cz-email-zprisnuje-svo…
coz je tedy hodne spatny, prozatim je to tedy seznam, ale casem to muze zacit vyzadovat
google a tak dale, takze se nejake reseni najit musi.
Diky
Martin Kukal
Dne 21.1.2015 v 13:43 Ondřej Caletka napsal(a):
Dne 21.1.2015 v 13:08 Stanislav Petr napsal(a):
Obavam se ze v tomto pripade:
;; ANSWER SECTION:
_dmarc.glux.org. 1800 IN TXT "v=DMARC1\; p=reject\;
rua=mailto:glux@glux.org\; adkim=r\; sp=reject"
to problem je...
Napr. zpravy ktery posilam prez mailinglist na gmailu konci ve spamu.
Kdyz to na gmail posilam primo, samozrejme to bez problemu dorazi.
O tomhle je celé RFC 6377:
https://tools.ietf.org/html/rfc6377
V podstatě jediné, co by mohl mailing list udělat, je DKIM validovat,
odstranit původní podpisy a podepsat sám, včetně hlavičky s výsledkem
validace. Ale nejsem si jist, že by něco takového třeba Mailman uměl.
Taky se tam rozebírá ADSP politika: Mailing list by měl odmítnout
zaregistrovat odesilatele z domény, jejíž ADSP politika je nastavena na
Discardable (protože e-maily od takového přispěvatele by po
přechroustání konferencí byly nutně určené k zahození).
DMARC, pokud tomu dobře rozumím, je takové ADSP na steroidech, takže by
pro něj měla platit podobná pravidla. Explicitně zmíněno není, protože
je evidentně mladší než September 2011.
FAQ k DMARCu ale uvádí několik řešení:
http://www.dmarc.org/faq.html#s_3
1. Chovat se jen jako forwarder, neměnit obsah… To asi nechceme, navíc
stejně selže případné SPF.
2. Přepodepisovat, přidávat Original Authentication Results… Což dodnes
evidentně není zcela domyšlené :(
3. Přivlastnit si e-mail přepisováním hlavičky odesílatele a podobně…
Tomu bych se taky asi radši vyhnul.
Shrnuto: Řešení neexistuje. Nechť si Glux pořídí speciální doménu pro
mailing listy, která nebude mít tak striktní DMARC politiku :P
--
Ondra
_______________________________________________
Community-list mailing list
Community-list(a)lists.vpsfree.cz
http://lists.vpsfree.cz/listinfo/community-list
3:14 p.m.
Dne 21.1.2015 v 14:29 Martin Kukal napsal(a):
Ahoj, od prvniho dubna nebudou chodit emaily na
seznam
http://seznam.seznamblog.cz/post/108069343301/seznam-cz-email-zprisnuje-svo…
coz je tedy hodne spatny, prozatim je to tedy seznam, ale casem to muze
zacit vyzadovat google a tak dale, takze se nejake reseni najit musi.
Nemyslím si, že opatření, které Seznam anoncuje míří na e-mailové
konference. Řekl bych, že se jedná jen o hromadnou obchodní korespondenci.
Obdobně nastavených mailing listů, jako jsou ty od VPSfree, je až příliš
mnoho, než aby si někdo jen tak mohl dovolit zprávy z nich zahazovat.
Mimo jiné se stejné chovájí mailing listy IETF a RIPE NCC, kde je navíc
celkem dost respondentů se schránkami na Gmailu.
--
Ondra
3:18 p.m.
Pokud schází definice pojmu
hromadná obchodní korespondence
tak se musíme připravovat na nejhorší možné varianty
Dne 21.1.2015 v 16:14 Ondřej Caletka napsal(a):
Dne 21.1.2015 v 14:29 Martin Kukal napsal(a):
Ahoj, od prvniho dubna nebudou chodit emaily na
seznam
http://seznam.seznamblog.cz/post/108069343301/seznam-cz-email-zprisnuje-svo…
coz je tedy hodne spatny, prozatim je to tedy seznam, ale casem to muze
zacit vyzadovat google a tak dale, takze se nejake reseni najit musi.
Nemyslím si, že opatření, které Seznam anoncuje míří na e-mailové
konference. Řekl bych, že se jedná jen o hromadnou obchodní korespondenci.
Obdobně nastavených mailing listů, jako jsou ty od VPSfree, je až příliš
mnoho, než aby si někdo jen tak mohl dovolit zprávy z nich zahazovat.
Mimo jiné se stejné chovájí mailing listy IETF a RIPE NCC, kde je navíc
celkem dost respondentů se schránkami na Gmailu.
18 Aug
18 Aug
8:14 p.m.
Dne 21.1.2015 v 13:43 Ondřej Caletka napsal(a):
3. Přivlastnit si e-mail přepisováním hlavičky
odesílatele a podobně…
Tomu bych se taky asi radši vyhnul.
Shrnuto: Řešení neexistuje. Nechť si Glux pořídí speciální doménu pro
mailing listy, která nebude mít tak striktní DMARC politiku :P
Ahoj,
drobný update k nedávné diskuzi:
Mailman od verze 2.1.18 podporuje novou volbu dmarc_moderation_action.
Pokud se nastaví na Munge From, pak list přepisuje adresu odesílatele v
hlavičce From na svoji vlastní se jménem např. „Ondřej Caletka via
community-list“ a původní adresu odesílatele vkládá do Reply-To.
http://wiki.list.org/DEV/DMARC
Tím vcelku eliminuje problém s rozbitím SPF/DKIM/DMARC při průchodu
konferencí. Má to jen jeden nepříjemný vedlejší efekt: S/MIME a PGP
podpisy přestanou validovat, protože jsou podepsány jinou adresou než
adresou odesílatele. Stále je však možné validovat je ručně.
Zdraví
Ondřej Caletka
19 Aug
19 Aug
2:20 p.m.
-----BEGIN PGP SIGNED MESSAGE-----
Hash: SHA256
On 08/18/2015 10:14 PM, Ondřej Caletka wrote:
Dne 21.1.2015 v 13:43 Ondřej Caletka napsal(a):
Diky za info, za nedlouho budeme prekopavat cele mailovani, bo je to
uz zanesene takovym historickym svincikem, ze se to neda :)
Cili se to bude hodit a udelame to, jak rikas.
/snajpa
3. Přivlastnit si e-mail přepisováním hlavičky
odesílatele a
podobně… Tomu bych se taky asi radši vyhnul.
Shrnuto: Řešení neexistuje. Nechť si Glux pořídí speciální doménu
pro mailing listy, která nebude mít tak striktní DMARC politiku
:P
Ahoj,
drobný update k nedávné diskuzi: Mailman od verze 2.1.18 podporuje
novou volbu dmarc_moderation_action. Pokud se nastaví na Munge
From, pak list přepisuje adresu odesílatele v hlavičce From na
svoji vlastní se jménem např. „Ondřej Caletka via community-list“ a
původní adresu odesílatele vkládá do Reply-To.
http://wiki.list.org/DEV/DMARC
Tím vcelku eliminuje problém s rozbitím SPF/DKIM/DMARC při
průchodu konferencí. Má to jen jeden nepříjemný vedlejší efekt:
S/MIME a PGP podpisy přestanou validovat, protože jsou podepsány
jinou adresou než adresou odesílatele. Stále je však možné
validovat je ručně.
Zdraví Ondřej Caletka
_______________________________________________ Community-list
mailing list Community-list(a)lists.vpsfree.cz
http://lists.vpsfree.cz/listinfo/community-list
-----BEGIN PGP SIGNATURE-----
Version: GnuPG v2
iF4EAREIAAYFAlXUkJ4ACgkQgRwOVqYrsFXs2wD8CsVvpdFieXYp+oc9Dl9sHVUu
o6nCjc5U1iPNCP8p70EA/0RBqF+m0zSkfhTPjiKwE+cNC/uIgKVliUjHw+uYN7ip
=k4Dc
-----END PGP SIGNATURE-----
21 Jan
21 Jan
12:42 p.m.
Jenom pro doplnění - totéž platí pro Subject, ten se taky měnit nesmí. A
mám za to (ale na 100% si tím jistý nejsem), že aby šlo zprávu podepsat
doménou lists.vpsfree.cz, musela by se naopak změnit hlavička From,
protože veřejný klíč se bere podle domény v ní.
Stanislav Petr wrote:
Cau,
kdyz uz je to tady posledni dobou tak krasne aktivni, napadla me jeste
jedna vec - e-mail s DKIM poslanej do mailinglistu prijde s doplnenou
patickou, coz samozrejme poskodi body hash v DKIM, takze jsou problemy s
dorucenim. Myslim si ze by mailserver mel pri preposilani zpravy do
mailinglistu odstranit starou DKIM hlavicku a pripadne pridat novou,
obsahujici podpis domeny lists.vpsfree.cz a s odpovidajicim body hash po
doplneni paticky mailinglistu. Nebo mate nekdo jinej napad jak to resit?
12:47 p.m.
Nemusela, je možné podepisovat i třetí stranou, stačí se podívat na
libovolný e-mail marketingové kampaně, například:
Datum: Wed, 14 Jan 2015 19:05:35 +0100
Od: Michal Koch (Supraphonline) <supraphonline(a)supraphonline.cz>
Komu: ondrej.caletka(a)gmail.com
DKIM: Valid (Signed by smartcluster.net)
Problém je, že pokud vím zatím není způsob, jak určit, která doména je
oprávněna podepisovat kterou 8)
--
Ondra
Dne 21.1.2015 v 13:42 Jirka Bourek napsal(a):
Jenom pro doplnění - totéž platí pro Subject, ten se
taky měnit nesmí. A
mám za to (ale na 100% si tím jistý nejsem), že aby šlo zprávu podepsat
doménou lists.vpsfree.cz, musela by se naopak změnit hlavička From,
protože veřejný klíč se bere podle domény v ní.
Stanislav Petr wrote:
Cau,
kdyz uz je to tady posledni dobou tak krasne aktivni, napadla me jeste
jedna vec - e-mail s DKIM poslanej do mailinglistu prijde s doplnenou
patickou, coz samozrejme poskodi body hash v DKIM, takze jsou problemy s
dorucenim. Myslim si ze by mailserver mel pri preposilani zpravy do
mailinglistu odstranit starou DKIM hlavicku a pripadne pridat novou,
obsahujici podpis domeny lists.vpsfree.cz a s odpovidajicim body hash po
doplneni paticky mailinglistu. Nebo mate nekdo jinej napad jak to resit?
_______________________________________________
Community-list mailing list
Community-list(a)lists.vpsfree.cz
http://lists.vpsfree.cz/listinfo/community-list
3175
days inactive
3385
days old
community-list@lists.vpsfree.cz
15 comments
8 participants
participants (8)
-
Jakub Skokan -
Jirka Bourek -
Martin Kukal -
Ondřej Caletka -
Pavel Snajdr -
Stanislav Petr -
Tomáš Valoušek -
Vaclav Dusek