Network Working Group T. Hansen
Request for Comments: 5585 AT&T Laboratories
Category: Informational D. Crocker
Brandenburg InternetWorking
P. Hallam-Baker
Default Deny Security, Inc.
July 2009
DomainKeys Identified Mail (DKIM) Service Overview
Abstract
抽象
This document provides an overview of the DomainKeys Identified Mail (DKIM) service and describes how it can fit into a messaging service. It also describes how DKIM relates to other IETF message signature technologies. It is intended for those who are adopting, developing, or deploying DKIM. DKIM allows an organization to take responsibility for transmitting a message, in a way that can be verified by a recipient. The organization can be the author's, the originating sending site, an intermediary, or one of their agents. A message can contain multiple signatures from the same or different organizations involved with the message. DKIM defines a domain-level digital signature authentication framework for email, using public-key cryptography, with the domain name service as its key server technology (RFC 4871). This permits verification of a responsible organization, as well as the integrity of the message contents. DKIM also enables a mechanism that permits potential email signers to publish information about their email signing practices; this will permit email receivers to make additional assessments about messages. DKIM's authentication of email identity can assist in the global control of "spam" and "phishing".
この文書では、ドメインキー・アイデンティファイド・メール（DKIM）サービスの概要と、それがメッセージングサービスに収まることができる方法を説明します。また、DKIMは、他のIETFメッセージの署名技術に関連する方法を説明します。これは、採用の開発、またはDKIMを展開している人のためのものです。 DKIMは、組織が受信者が検証できるように、メッセージを送信するための責任を取ることができます。組織は著者の、元の送信サイト、仲介者、またはその代理人のいずれかになります。メッセージは、メッセージに関与同一または異なる組織からの複数の署名を含むことができます。 DKIMは、その鍵サーバテクノロジ（RFC 4871）のように、ドメインネームサービスで、公開鍵暗号方式を使用して、電子メールのドメインレベルのデジタル署名の認証フレームワークを定義します。これは責任がある組織だけでなく、メッセージの内容の整合性の検証が可能になります。 DKIMはまた、自分の電子メールの署名の慣行についての情報を公開する可能性のある電子メールの署名者を許可するメカニズムを可能に。これは、メッセージに関する追加の評価を行うために、電子メールの受信者を許可します。電子メールのアイデンティティのDKIMの認証は、「スパム」と「フィッシング」のグローバル制御を支援することができます。
Status of This Memo
このメモのステータス
This memo provides information for the Internet community. It does not specify an Internet standard of any kind. Distribution of this memo is unlimited.
このメモはインターネットコミュニティのための情報を提供します。それはどんな種類のインターネット標準を指定しません。このメモの配布は無制限です。
Copyright Notice
著作権表示
Copyright (c) 2009 IETF Trust and the persons identified as the document authors. All rights reserved.
著作権（C）2009 IETF信託とドキュメントの作成者として特定の人物。全著作権所有。
This document is subject to BCP 78 and the IETF Trust's Legal Provisions Relating to IETF Documents in effect on the date of publication of this document (http://trustee.ietf.org/license-info). Please review these documents carefully, as they describe your rights and restrictions with respect to this document.
この文書では、BCP 78と、この文書（http://trustee.ietf.org/license-info）の発行日に有効なIETFドキュメントに関連IETFトラストの法律の規定に従うものとします。彼らは、この文書に関してあなたの権利と制限を説明するように、慎重にこれらの文書を確認してください。
Table of Contents
目次
1. Introduction ....................................................3
1.1. DKIM's Scope ...............................................4
1.2. Prior Work .................................................5
1.3. Internet Mail Background ...................................6
2. The DKIM Value Proposition ......................................6
2.1. Identity Verification ......................................7
2.2. Enabling Trust Assessments .................................7
2.3. Establishing Message Validity ..............................8
3. DKIM Goals ......................................................8
3.1. Functional Goals ...........................................9
3.2. Operational Goals .........................................10
4. DKIM Function ..................................................12
4.1. Basic Signing .............................................12
4.2. Characteristics of a DKIM Signature .......................12
4.3. The Selector Construct ....................................13
4.4. Verification ..............................................13
4.5. Sub-Domain Assessment .....................................13
5. Service Architecture ...........................................14
5.1. Administration and Maintenance ............................15
5.2. Signing ...................................................16
5.3. Verifying .................................................16
5.4. Unverified or Unsigned Mail ...............................16
5.5. Assessing .................................................17
5.6. DKIM Processing within an ADMD ............................17
6. Considerations .................................................17
6.1. Security Considerations ...................................17
6.2. Acknowledgements ..........................................17
7. Informative References .........................................18
Appendix A. Internet Mail Background .............................20
A.1. Core Model ................................................20
A.2. Trust Boundaries ..........................................20
Index .............................................................22
This document provides a description of the architecture and functionality for DomainKeys Identified Mail (DKIM), that is, the core mechanism for signing and verifying messages. It is intended for those who are adopting, developing, or deploying DKIM. It will also be helpful for those who are considering extending DKIM, either into other areas of use or to support additional features. This overview does not provide information on threats to DKIM or email or details on the protocol specifics, which can be found in [RFC4686] and [RFC4871], respectively. Because the scope of this overview is restricted to the technical details of signing and verifying using DKIM, it does not explore operational issues, the details of services that DKIM uses, or those that, in turn, use DKIM. Nor does it discuss services that build upon DKIM for enforcement of policies or assessments. The document assumes a background in basic email and network security technology and services.
この文書では、すなわち、署名および検証メッセージのコア機構をメール（DKIM）を同定DomainKeysのためのアーキテクチャ及び機能の説明を提供します。これは、採用の開発、またはDKIMを展開している人のためのものです。それはまた、使用の他の領域に、または追加の機能をサポートするか、DKIMの延長を検討している人のための参考になります。この概要は、それぞれ、プロトコル[RFC4686]で見つけることができる詳細、および[RFC4871]にDKIMまたは電子メールや細部への脅威に関する情報を提供していません。この概要の範囲が署名し、DKIMを使用して検証する技術的な詳細に限定されているので、それは運用上の問題、DKIMが使用するサービスの内容、または、順番に、DKIMを使用するものを探索しません。また、それは、政策や評価の実施のためにDKIMに基づいて構築サービスを話し合うん。文書は、基本的な電子メールやネットワークセキュリティ技術とサービスで背景を前提としています。
DKIM allows an organization to take responsibility for a message in a way that can be verified by a recipient. The organization can be a direct handler of the message, such as the author's, the originating sending site's, or an intermediary's along the transit path. However, it can also be an indirect handler, such as an independent service that is providing assistance to a direct handler. DKIM defines a domain-level digital signature authentication framework for email through the use of public-key cryptography and using the domain name service as its key server technology [RFC4871]. It permits verification of the signer of a message, as well as the integrity of its contents. DKIM will also provide a mechanism that permits potential email signers to publish information about their email signing practices; this will permit email receivers to make additional assessments of unsigned messages. DKIM's authentication of email identity can assist in the global control of "spam" and "phishing".
DKIMは、組織が受信者が検証できる方法で、メッセージの責任を取ることができます。組織は、そのような著者の、元の送信サイトの、またはトランジットパスに沿った仲介者としてのメッセージを直接ハンドラ、することができます。しかし、それはまた、このような直接的なハンドラへの支援を提供している独立したサービスとして、間接ハンドラ、することができます。 DKIMは、公開鍵暗号方式を使用して電子メールのためのドメインレベルのデジタル署名の認証フレームワークを定義し、そのキーサーバ技術[RFC4871]のように、ドメインネームサービスを使用して。これは、メッセージの署名者だけでなく、その内容の完全性の検証を可能にします。 DKIMはまた、自分の電子メールの署名の慣行についての情報を公開する可能性のある電子メールの署名者を許可するメカニズムを提供します。これは、符号なしのメッセージの追加の評価を行うために、電子メールの受信者を許可します。電子メールのアイデンティティのDKIMの認証は、「スパム」と「フィッシング」のグローバル制御を支援することができます。
Neither this document nor DKIM attempts to provide solutions to the world's problems with spam, phishing, viruses, worms, joe jobs, etc. DKIM provides one basic tool, in what needs to be a large arsenal, for improving basic trust in the Internet mail service. However, by itself, DKIM is not sufficient to that task and this overview does not pursue the issues of integrating DKIM into these larger efforts, beyond a simple reference within a system diagram. Rather, it is a basic introduction to the technology and its use.
このドキュメントでもDKIMどちらも、スパム、フィッシング、ウイルス、ワーム、ジョー・ジョブなどDKIMは、インターネットメールでの基本的な信頼性を向上させるため、大規模な工廠する必要があるもので、一つの基本ツールを提供して、世界の問題の解決策を提供しようとサービス。しかしながら、それ自体で、DKIMは、そのタスクに十分ではなく、この概要は、システムダイアグラム内の単純な基準を超えて、これらのより大きな努力にDKIMを統合の問題を追求しません。むしろ、それは技術とその利用に基本的な導入です。
A person or organization has an "identity" -- that is, a constellation of characteristics that distinguish them from any other identity. Associated with this abstraction can be a label used as a reference, or "identifier". This is the distinction between a thing and the name of the thing. DKIM uses a domain name as an identifier, to refer to the identity of a responsible person or organization. In DKIM, this identifier is called the Signing Domain IDentifier (SDID) and is contained in the DKIM-Signature header fields "d=" tag. Note that the same identity can have multiple identifiers.
、他のアイデンティティと区別特徴の星座である - 個人または組織は、「同一性」を持っています。この抽象化に関連付けられていると、基準として使用される標識、または「識別子」とすることができます。これは、ものとものの名前の区別です。 DKIMは、責任者または組織の身元を参照するために、識別子としてドメイン名を使用しています。 DKIMでは、この識別子は、署名ドメイン識別子（SDID）と呼ばれ、DKIM-Signatureヘッダーフィールド「D =」タグに含まれています。同じIDで複数の識別子を持つことができることに注意してください。
A DKIM signature can be created by a direct handler of a message, such as the message's author or by an intermediary. A signature also can be created by an independent service that is providing assistance to a handler of the message. Whoever does the signing chooses the SDID to be used as the basis for later assessments. Hence, the reputation associated with that domain name might be an additional basis for evaluating whether to trust the message for delivery. The owner of the SDID is declaring that they accept responsibility for the message and can thus be held accountable for it.
DKIM署名は、メッセージの作成者として、または仲介することによって、メッセージの直接ハンドラによって作成することができます。署名は、メッセージのハンドラへの支援を提供している独立したサービスによって作成することができます。誰でも署名を行うことは、後の評価のための基礎として使用するSDIDを選択します。したがって、そのドメイン名に関連付けられた評判は、配信のためのメッセージを信頼するかどうかを評価するための追加的な基礎であるかもしれません。 SDIDの所有者は、彼らがメッセージに対する責任を受け入れることを宣言しているので、それのための責任を負うことができます。
DKIM is intended as a value-added feature for email. Mail that is not signed by DKIM is handled in the same way as it was before DKIM was defined. The message will be evaluated by established analysis and filtering techniques. (A signing policy can provide additional information for that analysis and filtering.) Over time, widespread DKIM adoption could permit stricter handling of messages that are not signed. However, early benefits do not require this and probably do not warrant this.
DKIMは、電子メールの付加価値機能として意図されています。 DKIMによって署名されていないメールがDKIMが定義される前にそれがあったと同じように扱われます。メッセージは、確立された分析およびフィルタリング技術によって評価されます。 （署名ポリシーは、その分析およびフィルタリングのための追加的な情報を提供することができます。）時間が経つにつれて、署名されていないメッセージの厳格な取り扱いを許す可能性が広範DKIM採用。しかし、早期の利益はこれを必要とせず、おそらくこれを保証するものではありません。
DKIM has a narrow scope. It is an enabling technology, intended for use in the larger context of determining message legitimacy. This larger context is complex, so it is easy to assume that a component like DKIM, which actually provides only a limited service, instead satisfies the broader set of requirements.
DKIMは、狭い範囲を持っています。これは、メッセージの正当性を決定するための、より大きな文脈での使用を意図可能にする技術です。このより大きなコンテキストは複雑であるので、実際には限られたサービスを提供するDKIMのような成分が、代わりに要求の広いセットを満足すると仮定することは容易です。
By itself, a DKIM signature:
それ自体で、DKIM署名：
o Does not authenticate or verify the contents of the message header or body, such as the author From field, beyond certifying data integrity between the time of signing and the time of verifying.
Oは、署名の時間及び検証の時刻との間のデータの整合性を証明超えて、そのようなフィールドから作成者としてメッセージヘッダまたは本文の内容を認証または確認しません。
o Does not offer any assertions about the behaviors of the signer.
oは、署名者の行動についてのアサーションを提供していません。
o Does not prescribe any specific actions for receivers to take upon successful signature verification.
oは受信機が成功した署名検証時にするために、任意の特定のアクションを規定していません。
o Does not provide protection after signature verification.
oは署名検証の後に保護を提供しません。
o Does not protect against re-sending (replay of) a message that already has a verified signature; therefore, a transit intermediary or a recipient can re-post the message -- that is, post it as a new message -- with the original signature remaining verifiable, even though the new recipient(s) might be different from those who were originally specified by the author.
oは既に検証済み署名を有するメッセージ再送信（の再生）に対して保護しません。従って、トランジット仲介またはメッセージを再投稿することができ、受信者は - つまり、新しいメッセージとしてそれを投稿 - 元の署名が検証残りで、新しい受信者（単数または複数）は、もともとあった者とは異なるかもしれないにもかかわらず著者で指定されました。
Historically, the IP Address of the system that directly sent the message -- that is, the previous email "hop" -- has been treated as an identity to use for making assessments. For example, see [RFC4408], [RFC4406], and [RFC4407] for some current uses of the sending system's IP Address. The IP Address is obtained via underlying Internet information mechanisms and is therefore trusted to be accurate. Besides having some known security weaknesses, the use of addresses presents a number of functional and operational problems. Consequently, there is a widespread desire to use an identifier that has better correspondence to organizational boundaries. Domain names can satisfy this need.
歴史的に、直接メッセージを送ったシステムのIPアドレス - つまり、以前のメールは「ホップ」 - 評価を行うために使用するためのIDとして扱われてきました。例えば、送信側システムのIPアドレスのいくつかの現在の用途のために[RFC4408]、[RFC4406]、および[RFC4407]を参照してください。 IPアドレスは、基礎となるインターネット情報メカニズムを介して取得されるため、正確であると信頼されています。いくつかの既知のセキュリティ上の弱点を持つだけでなく、アドレスの使用は、機能や操作上の問題の数を示します。その結果、組織の境界をよりよく対応している識別子を使用する広範な要望があります。ドメイン名は、このニーズを満たすことができます。
There have been four previous IETF Internet Mail signature standards. Their goals have differed from those of DKIM. PEM and MOSS are only of historical interest.
4つの以前のIETFインターネットメールの署名規格がありました。彼らの目標は、DKIMのものとは異なっています。 PEMとMOSSは歴史的な関心があります。
o Privacy Enhanced Mail (PEM) was first published in 1987 [RFC0989].
Oプライバシー強化メール（PEM）は、最初の1987 [RFC0989]に掲載されました。
o Pretty Good Privacy (PGP) was developed by Phil Zimmermann and first released in 1991. A later version was standardized as OpenPGP [RFC1991] [RFC2440] [RFC3156] [RFC4880].
Oプリティグッドプライバシー（PGP）は、フィル・ジマーマンによって開発され、最初以降のバージョンがOpenPGPの[RFC1991] [RFC2440] [RFC3156] [RFC4880]として標準化された1991年にリリースされました。
o PEM eventually transformed into MIME Object Security Services (MOSS) in 1995 [RFC1848].
O PEMは最終的に1995 [RFC1848]でMIMEオブジェクトセキュリティサービス（MOSS）に形質転換しました。
o RSA Security independently developed Secure MIME (S/MIME) to transport a Public Key Cryptographic System (PKCS) #7 data object. It was standardized as [RFC3851].
O RSAセキュリティは、独立して、公開鍵暗号システム（PKCS）＃7データオブジェクトを転送するには、Secure MIME（S / MIME）を開発しました。それは、[RFC3851]として標準化されました。
Development of both S/MIME and OpenPGP has continued. While each has achieved a significant user base, neither one has achieved ubiquity in deployment or use.
S / MIMEとOpenPGPの両方の開発が続けています。それぞれが重要なユーザーベースを達成しているが、どちらも1は、展開や使用中のユビキタス性を実現しました。
To the extent that other message-signing services might have been adapted to do the job that DKIM is designed to perform, it was felt that repurposing any of those would be more problematic than creating a separate service. That said, DKIM only uses cryptographic components that have a long history, including use within some of those other messaging security services.
他のメッセージ署名サービスはDKIMを実行するように設計されて仕事をするようになってきたかもしれない限り、それはそれらのいずれかを再利用すると、個別のサービスを作成するよりも問題になるだろうと感じました。それは、言ったDKIMはのみ他のメッセージングセキュリティサービスの一部内での使用など、長い歴史を持っている暗号化コンポーネントを、使用しています。
DKIM is differentiated by its reliance on an identifier that is specific to DKIM use.
DKIMは、DKIMの使用に固有の識別子への依存によって区別されます。
DKIM also has a distinctive approach for distributing and vouching for keys. It uses a key-centric, public-key management scheme, rather than the more typical approaches based on a certificate in the styles of Kohnfelder (X.509) [Kohnfelder] or Zimmermann (web of trust) [WebofTrust]. For DKIM, the owner of the SDID asserts the validity of a key, rather than having the validity of the key attested to by a trusted third party, often including other assertions, such as a quality assessment of the key's owner. DKIM treats quality assessment as an independent, value-added service, beyond the initial work of deploying a signature verification service.
DKIMも配布し、キーのバウチングのための独特のアプローチがあります。これは、より一般的なアプローチがKohnfelder（X.509）[Kohnfelder]またはツィンマーマン（信頼のウェブ）[WebofTrust]のスタイルで、証明書に基づくのではなく、キー・セントリック、公開鍵管理方式を採用しています。 DKIMの場合は、SDIDの所有者ではなく、多くの場合、キーの所有者の品質評価などの他のアサーションを含む、信頼できるサードパーティによって証明キーの有効性を持つよりも、キーの有効性を主張します。 DKIMは、署名検証サービスを展開する最初の仕事を超えて、独立した、付加価値サービスとして品質評価を扱います。
Further, DKIM's key management is provided by adding information records to the existing Domain Name System (DNS) [RFC1034], rather than requiring deployment of a new query infrastructure. This approach has significant operational advantages. First, it avoids the considerable barrier of creating a new global infrastructure; hence, it leverages a global base of administrative experience and highly reliable distributed operation. Second, the technical aspect of the DNS is already known to be efficient. Any new service would have to undergo a period of gradual maturation, with potentially problematic early-stage behaviors. By (re-)using the DNS, DKIM avoids these growing pains.
さらに、DKIMの鍵の管理は、既存のドメインネームシステム（DNS）[RFC1034]に情報レコードを追加するのではなく、新しいクエリインフラの展開を必要とすることによって提供されます。このアプローチは、重要な操作上の利点を持っています。まず、それが新たなグローバルインフラストラクチャを作成するためのかなりの障壁を回避し、したがって、それは行政経験と信頼性の高い分散操作のグローバルな基盤を活用しています。第二に、DNSの技術的な側面は、すでに効率的であることが知られています。すべての新しいサービスは、潜在的に問題の早期行動で、漸進的な成熟の期間を経なければならないでしょう。 （再）DNSを使用することにより、DKIMは、これらの成長の痛みを回避することができます。
The basic Internet email service has evolved extensively over its several decades of continuous operation. Its modern architecture comprises a number of specialized components. A discussion about Mail User Agents (MUAs), Mail Handling Services (MHSs), Mail Transfer Agents (MTAs), Mail Submission Agents (MSAs), Mail Delivery Agents (MDAs), Mail Service Providers (MSPs), Administrative Management Domains (ADMDs), Mediators, and their relationships can be found in Appendix A.
基本的なインターネット電子メールサービスは、連続運転のその数十年にわたり広範囲に進化してきました。その近代建築は、特殊な部品の数を含みます。メールユーザエージェント（MUA）、メール処理サービス（MHSs）、メール転送エージェント（MTA）、メール発信エージェント（MSAは）、メール配送エージェント（のMDA）、メールサービスプロバイダ（MSPは）、行政管理ドメイン（ADMDsについての議論）、メディエーター、およびそれらの関係は、付録Aに記載されています
The nature and origins of a message often are falsely stated. Such misrepresentations may be employed for legitimate or nefarious reasons. DKIM provides a foundation for distinguishing legitimate mail, and thus a means of associating a verifiable identifier with a message. Given the presence of that identifier, a receiver can make decisions about further handling of the message, based upon assessments of the identity that is associated with the identifier.
メッセージの性質と起源は、しばしば誤って記載されています。そのような不実表示が正当または不正な理由のために用いることができます。 DKIMは、正当なメールを区別するための基盤を提供し、従ってメッセージで検証識別子を関連付ける手段。その識別子の存在を考えると、受信機は、識別子に関連付けられているアイデンティティの評価に基づいて、メッセージのさらなる取り扱いについて決定を下すことができます。
Receivers who successfully verify a signature can use information about the signer as part of a program to limit spam, spoofing, phishing, or other undesirable behaviors. DKIM does not, itself, prescribe any specific actions by the recipient; rather, it is an enabling technology for services that do.
成功した署名を検証するレシーバは、スパム、なりすまし、フィッシング、または他の望ましくない行動を制限するためのプログラムの一環として、署名者に関する情報を使用することができます。 DKIMは、それ自体は、受信者が任意の特定のアクションを規定していません。むしろ、それが行うサービスのために可能にする技術です。
These services will typically:
これらのサービスは、一般的に以下となります。
1. Determine a verified identity as taking responsibility for the message, if possible.
1.可能な場合は、メッセージのための責任を取るとして検証アイデンティティを決定します。
The role of DKIM is to perform the first of these; DKIM is an enabler for the second.
DKIMの役割は、これらの最初を実行することです。 DKIMは、第二のためのイネーブラです。
Consider an attack made against an organization or against customers of an organization. The name of the organization is linked to particular Internet domain names (identifiers). Attackers can leverage using either a legitimate domain name, one without authorization, or a "cousin" name that is similar to one that is legitimate, but is not controlled by the target organization. An assessment service that uses DKIM can differentiate between a domain (SDID) used by a known organization and a domain used by others. As such, DKIM performs the positive step of identifying messages associated with verifiable identities, rather than the negative step of identifying messages with problematic use of identities. Whether a verified identity belongs to a Good Actor or a Bad Actor is a question for later stages of assessment.
組織に対して、または組織の顧客に対して行わ攻撃を考えてみましょう。組織の名前は、特定のインターネットドメイン名（識別子）にリンクされています。攻撃者は、正当なドメイン名、許可のないもの、または正当である1に似ていますが、対象組織によって制御されていない「いとこ」の名前のいずれかを使用して活用することができます。 DKIMを使用するアセスメントサービスが知られている組織などで使用されるドメインが使用するドメイン（SDID）を区別することができます。このように、DKIMは検証アイデンティティではなく、アイデンティティの問題使用してメッセージを特定の負のステップに関連するメッセージを識別する肯定ステップを実行します。検証アイデンティティが良い俳優か悪い俳優に属しているかどうかは評価の後の段階のための質問です。
Email receiving services are faced with a basic decision: whether to accept and deliver a newly arrived message to the indicated recipient? That is, does the receiving service trust that the message is sufficiently "safe" to be viewed? For the modern Internet, most receiving services have an elaborate engine that formulates this quality assessment. These engines take a variety of information as input to the decision, such as from reputation lists and accreditation services. As the engine processes information, it raises or lowers its trust assessment for the message.
受け入れ、示された受信者に新たに到着したメッセージを配信するかどうか：メール受信のサービスは、基本的な意思決定に直面していますか？つまり、メッセージが表示されるのに十分に「安全」である受信サービスの信頼していますか？現代のインターネットの場合は、ほとんどの受信サービスは、この品質評価を策定精巧なエンジンを持っています。これらのエンジンは、そのような評判のリストや認定サービスなどから、意思決定への入力などの様々な情報を取ります。エンジンが情報を処理すると、そのメッセージのためにその信頼性評価を上げるか下げます。
In order to formulate reputation information, an accurate, stable identifier is needed. Otherwise, the information might not pertain to the identified organization's own actions. When using an IP Address, accuracy is based on the belief that the underlying Internet infrastructure supplies an accurate address. When using domain-based reputation data, some other form of verification is needed, since it is not supplied independently by the infrastructure.
評判情報を策定するためには、正確で、安定した識別子が必要とされています。そうしないと、情報が特定され、組織の自身の行動に関係しない場合があります。 IPアドレスを使用する場合は、精度は、基礎となるインターネットインフラが正確なアドレスを提供することを信念に基づいています。ドメインベースのレピュテーションデータを使用する場合は、インフラストラクチャによって独立して供給されないため、検証の他のいくつかの形式は、必要とされています。
DKIM satisfies this requirement by declaring a valid "responsible" identity -- referenced through the SDID -- about which the engine can make quality assessments and by using a digital signature to ensure that use of the identifier is authorized. However, by itself, a valid DKIM signature neither lowers nor raises the level of trust associated with the message, but it enables other mechanisms to be used for doing so.
SDIDを介して参照 - - エンジンが品質評価を行うことができますどの識別子の使用が許可されていることを確認するために、デジタル署名を使用することにより、DKIMは、有効な「責任」のアイデンティティを宣言することによって、この要件を満たします。しかし、それ自体で、有効なDKIM署名が低下することも、メッセージに関連付けられた信頼のレベルを上げるが、それはそうするために使用される他のメカニズムを可能にどちらも。
An organization might build upon its use of DKIM by publishing information about its Signing Practices (SP). This could permit detecting some messages that purport to be associated with a domain, but which are not. As such, an SP can cause the trust assessment to be reduced, or leave it unchanged.
組織は、その署名プラクティス（SP）についての情報を公開することにより、DKIMの使用上に構築することがあります。これは、ドメインに関連付けられていることを主張するいくつかのメッセージを検出許すことができますが、これはそうではありません。そのため、SPは、信頼性評価を低減することが原因となり、または変わらず、それを残すことができます。
Though man-in-the-middle attacks are historically rare in email, it is nevertheless theoretically possible for a message to be modified during transit. An interesting side effect of the cryptographic method used by DKIM is that it is possible to be certain that a signed message (or, if l= is used, the signed portion of a message) has not been modified between the time of signing and the time of verifying. If it has been changed in any way, then the message will not be verified successfully with DKIM.
man-in-the-middle攻撃が電子メールで歴史的にまれですが、それは輸送中に変更されるメッセージのためにもかかわらず、理論的には可能です。 DKIMによって使用される暗号方式の興味深い副作用は、（L =使用される場合、または、メッセージの署名された部分）が署名されたメッセージは、署名の時間との間で変更されていないことを特定することが可能であるということです検証の時間。それが何らかの方法で変更されている場合は、メッセージがDKIMで正常に確認されることはありません。
As described above, this validity neither lowers nor raises the level of trust associated with the message. If it was an untrustworthy message when initially sent, the verifier can be certain that the message will be equally untrustworthy upon receipt and successful verification.
上述したように、この有効性が低下することも、メッセージに関連付けられた信頼のレベルを上昇させるどちら。それが最初に送られた信頼できないメッセージであった場合、検証者は、メッセージが領収書と検証が成功した時にも同様に信用できないだろうことを確信することができます。
DKIM adds an end-to-end authentication capability to the existing email transfer infrastructure. That is, there can be multiple email relaying hops between signing and verifying. Hence, it defines a mechanism that only needs to be supported by the signer and the verifier, rather than any of the functional components along the handling path. This motivates functional goals about the authentication itself and operational goals about its integration with the rest of the Internet email service.
DKIMは、既存の電子メールの転送インフラストラクチャへのエンドツーエンドの認証機能を追加します。これは、署名と検証の間のホップを中継する複数の電子メールがあることが可能です。したがって、それだけでなく取扱い経路に沿って機能性成分のいずれよりも、署名者と検証者によってサポートされる必要があるメカニズムを定義します。これは、認証自体とインターネット電子メールサービスの残りの部分との統合について運用目標について機能的な目標に動機を与えます。
DKIM provides accountability at the coarse granularity of an organization or, perhaps, a department. An existing construct that enables this granularity is the Domain Name [RFC1034]. DKIM binds a signing key record to a Domain Name as the SDID. Further benefits of using domain names include simplifying key management, enabling signing by the infrastructure as opposed to the MUA, and reducing privacy concerns.
DKIMは、組織または、おそらく、部門の粗い粒度でアカウンタビリティを提供します。この粒度を有効に既存の構築物は、ドメイン名[RFC1034]です。 DKIMは、SDIDとしてドメイン名への署名鍵レコードを結合します。ドメイン名を使用することのさらなる利点は、MUAとは対照的に、インフラストラクチャによって署名を有効にする、キー管理を簡素化し、プライバシーの問題を減らすことが含まれます。
Contrast this with OpenPGP and S/MIME, which associate verification with individual authors, using their full email addresses.
彼らの完全な電子メールアドレスを使用して、OpenPGPの、およびS / MIME、個々の著者に関連付ける検証とは対照的。
Any party, anywhere along the transit path, can implement DKIM signing. Its use is not confined to particular systems, such as the author's MUA or the inbound boundary MTA, and there can be more than one signature per message.
当事者は、どこにでもトランジットパスに沿って、DKIM署名を実装することができます。その使用は、そのような著者のMUAやインバウンド境界MTAなどの特定のシステムに限定されず、メッセージごとに複数の署名があることができます。
Different parties have different roles in the process of email exchange. Some are easily visible to end users and others are primarily visible to operators of the service. DKIM was designed to support signing by any of these different parties and to permit them to sign with any domain name that they deem appropriate (and for which they hold authorized signing keys). As an example, an organization that creates email content often delegates portions of its processing or transmission to an outsourced group. DKIM supports this mode of activity, in a manner that is not normally visible to end users. Similarly, a reputation provider can delegate a signing key for a domain under the control of the provider, to be used by an organization for which the provider is prepared to vouch.
別の関係者は、メール交換の過程でさまざまな役割を持っています。いくつかは簡単にエンドユーザに表示され、他はサービスの事業者に主に表示されます。 DKIMは、これらの異なる当事者のいずれかによって署名をサポートするために、彼らは適切と思わ（そしてそのため、彼らが正規の署名鍵を保持する）任意のドメイン名で署名するためにそれらを許可するように設計されました。例えば、アウトソーシンググループに委譲その処理又は送信の部分を、多くの場合、電子メールの内容を作成する組織として。 DKIMは、エンドユーザに、通常は見えないようにして、活性のこのモードをサポートします。同様に、評判プロバイダは、プロバイダが保証するために準備された組織が使用する、プロバイダの制御下で、ドメインの署名鍵を委任することができます。
3.1.4. Distinguish the Core Authentication Mechanism from Its Derivative Uses
3.1.4. その誘導体使用法からのコア認証メカニズムを区別する
An authenticated identity can be subject to a variety of assessment policies, either ad hoc or standardized. DKIM separates basic authentication from assessment. The only semantics inherent to a
認証されたアイデンティティは、評価の方針、どちらかアドホックまたは標準化の様々な影響を受ける可能性があります。 DKIMは、評価から基本認証を分離します。に固有の唯一のセマンティクス
DKIM signature are that the signer is asserting some kind of responsibility for the message. Any interpretation of this kind of responsibility is the job of services building on DKIM, but the details are beyond the scope of that core. One such mechanism might assert a relationship between the SDID and the author, as specified in the rfc5322.From: header field's domain identity. Another might specify how to treat an unsigned message with that rfc5322.From: field domain.
DKIM署名は、署名者がメッセージに対する責任のいくつかの種類を主張していることです。責任のこの種の任意の解釈は、DKIM上のサービス建物の仕事ですが、詳細はそのコアの範囲を超えています。ヘッダフィールドのドメインIDを：そのような機構の1つは、rfc5322.Fromに指定されている、SDIDと著者との関係を主張するかもしれません。フィールドドメイン：もう一つは、そのrfc5322.Fromと符号なしのメッセージの処理方法を指定できます。
The ability to send a message that does not identify its author is considered to be a valuable quality of the current email service that needs to be retained. DKIM is compatible with this goal since it permits authentication of the email system operator, rather than the content author. If it is possible to obtain effectively anonymous accounts at example.com, knowing that a message definitely came from example.com does not threaten the anonymity of the user who authored it.
その作者を特定していないメッセージを送信する能力を保持する必要があり、現在の電子メールサービスの貴重な品質であると考えられています。 DKIMは、電子メールシステムのオペレータではなく、コンテンツ作成者の認証を許可するため、この目標と互換性があります。それがexample.comで効果的に匿名のアカウントを取得することが可能である場合、メッセージは間違いなくexample.comから来たことを知って、それを書いたユーザーの匿名性を脅かすものではありません。
3.2.1. Make Presence of Signature Transparent to Non-Supporting Recipients
3.2.1. 非サポートの受信者に署名の有無を透明にします
In order to facilitate incremental adoption, DKIM is designed to be transparent to recipients that do not support it. A DKIM signature does not "get in the way" for such recipients.
インクリメンタル採用を容易にするために、DKIMは、それをサポートしていない受信者に透明になるように設計されています。 DKIM署名は、このような受信者のための「邪魔になりません」。
Contrast this with S/MIME and OpenPGP, which modify the message body. Hence, their presence is potentially visible to email recipients, whose user software needs to process the associated constructs.
メッセージ本文を修正するS / MIMEとOpenPGPの、とは対照的。従って、それらの存在は、そのユーザのソフトウェア関連の構築物を処理する必要がある電子メール受信者に潜在的に可視です。
DKIM must also be transparent to existing assessment mechanisms. Consequently, a DKIM signature verifier is to treat messages with signatures that fail as if they were unsigned. Hence, the message will revert to normal handling, through the receiver's existing filtering mechanisms. Thus, DKIM specifies that an assessing site is not to take a message that has a broken signature and treat it any differently than if the signature weren't there.
DKIMは、既存の評価の仕組みに対して透明でなければなりません。そのため、DKIM署名検証者は、彼らが符号なしであるかのように失敗する署名付きのメッセージを処理することです。したがって、メッセージは、受信者の既存のフィルタリングメカニズムを通して、通常の取扱いに戻ります。したがって、DKIMは、査定サイトが壊れた署名を持つメッセージを取り、任意の異なった署名が存在しなかった場合よりも、それを治療することはないことを指定します。
Contrast this with OpenPGP and S/MIME, which were designed for strong cryptographic protection. This included treating verification failure as message failure.
強力な暗号化保護のために設計されたOpenPGPやS / MIME、とは対照的。これは、メッセージの失敗として検証エラーを処理する含まれていました。
DKIM can be used by any two organizations that exchange email and implement DKIM; it does not require adoption within the open Internet's email infrastructure. In the usual manner of "network effects", the benefits of DKIM increase as its adoption increases. Although this mechanism can be used in association with independent assessment services, such services are not essential in order to obtain initial benefit. For example, DKIM allows (possibly large) pairwise sets of email providers and spam filtering companies to distinguish mail that is associated with a known organization, versus mail that might deceptively purport to have the affiliation. This in turn allows the development of "whitelist" schemes whereby authenticated mail from a known source with good reputation is allowed to bypass some anti-abuse filters.
DKIMは、電子メールを交換し、DKIMを実装された任意の2つの組織で使用することができます。それは、オープンなインターネットの電子メールインフラストラクチャ内の採用を必要としません。 「ネットワーク効果」の通常の方法では、DKIMの利点は、その採用の増加に伴って増加します。このメカニズムは、独立した評価サービスに関連して使用することができますが、そのようなサービスは、初期の利益を得るために必須ではありません。例えば、DKIMは、電子メールプロバイダとスパムフィルタリング企業の（おそらく大）ペアごとのセットが知られている組織に関連付けられているメール、一見所属を持つように主張するかもしれない対メールを区別することができます。これは、順番に評判の良い既知のソースからの認証済みのメールは、いくつかの抗乱用フィルタをバイパスすることが許可されていることにより、「ホワイトリスト」のスキームの開発を可能にします。
In effect, the email receiver can use their set of known relationships to generate their own reputation data. This works particularly well for traffic between large sending providers and large receiving providers. However, it also works well for any operator, public or private, that has mail traffic dominated by exchanges among a stable set of organizations.
実際には、電子メールの受信者は、独自のレピュテーションデータを生成することが知ら関係の彼らのセットを使用することができます。これは、大規模な送信プロバイダや大受信プロバイダ間のトラフィックのために特に適しています。しかし、それはまた、組織の安定したセットの中の交流によって支配メールトラフィックを持っているパブリックまたはプライベート任意のオペレーター、適しています。
Management of email delivery problems currently represents a significant pain point for email administrators at every point on the mail transit path. Administrators who have deployed DKIM verification have an incentive to encourage senders (who might subsequently complain that their email is not being delivered) to use DKIM signatures.
メール配信の問題の管理は、現在、メール中継パス上のすべての点で、電子メール管理者のための重要な痛みのポイントを表します。 DKIM検証を展開している管理者は、DKIM署名を使用するように（後に自分の電子メールが配信されていないと文句を言うかもしれない）送信者を奨励するインセンティブを持ちます。
In order to allow early adopters to gain early benefit, DKIM makes no changes to the core Internet Mail service and, instead, can provide a useful benefit for any individual pair of signers and verifiers who are exchanging mail. Similarly, DKIM's reliance on the Domain Name System greatly reduces the amount of new administrative infrastructure that is needed across the open Internet.
早期導入は早く利益を得ることを可能にするために、DKIMではなく、メールを交換している署名者と検証者の任意の個々のペアのために有益な利益を提供することができ、コアインターネットメールサービスを変更しませんと。同様に、ドメインネームシステムにDKIMの依存度が大幅に開いて、インターネット経由で必要とされている新しい管理インフラストラクチャの量を減少させます。
DKIM can be deployed at a variety of places within an organization's email service. This affords flexibility in terms of who administers its use, as well as what traffic carries a DKIM signature. For example, employing DKIM at an outbound boundary MTA will mean that it is administered by the organization's central IT department and that internal messages are not signed.
DKIMは、組織の電子メールサービス内の様々な場所で展開することができます。これは、その使用、だけでなく、どのようなトラフィックDKIM署名を運ぶを管理者の面で柔軟性を与えます。例えば、アウトバウンド境界MTAでDKIMを採用することは、組織の中枢IT部門によって管理され、その内部メッセージが署名されていないことを意味します。
DKIM has a very constrained set of capabilities, primarily targeting email while it is in transit from an author to a set of recipients. It associates verifiable information with a message, especially a responsible identity. When a message does not have a valid signature associated with the author, a DKIM SP will permit the domain name of the author to be used for obtaining information about their signing practices.
DKIMは、受信者のセットに作者から輸送している間に、主に電子メールをターゲットに、能力の非常に制約されたセットを持っています。それはメッセージで検証可能な情報、特に責任の身元を関連付けます。メッセージは、著者に関連付けられた有効な署名を持っていない場合は、DKIM SPは、著者のドメイン名がその署名慣行についての情報を得るために使用することが可能になります。
With the DKIM signature mechanism, a signer chooses an SDID, performs digital signing on the message, and adds the signature information using a DKIM header field. A verifier obtains the domain name and the "selector" from the DKIM header field, obtains the public key associated with the name, and verifies the signature.
DKIM署名機構と、署名者は、SDIDを選択したメッセージにデジタル署名を行い、DKIMヘッダフィールドを使用して署名情報を付加します。検証者は、ドメイン名とDKIMヘッダフィールドから「セレクタ」を取得名に関連付けられた公開鍵を取得し、署名を検証します。
DKIM permits any domain name to be used as the SDID, and supports extensible choices for various algorithms. As is typical for Internet standards, there is a core set of algorithms that all implementations are required to support, in order to guarantee basic interoperability.
DKIMはSDIDとして使用する任意のドメイン名を許可し、様々なアルゴリズムのための拡張可能な選択肢をサポートしています。インターネット標準のために典型的であるように、すべての実装は、基本的な相互運用性を保証するために、サポートするために必要なアルゴリズムのコアセットがあります。
DKIM permits restricting the use of a signature key to signing messages for particular types of services, such as only for a single source of email. This is intended to be helpful when delegating signing authority, such as to a particular department or to a third-party outsourcing service.
DKIMは、このようなメールのみの単一ソースのようなサービスの特定の種類の、のためのメッセージに署名する署名鍵の使用を制限できます。これは、特定の部門にとして、あるいはサードパーティのアウトソーシングサービスに、署名権限を委任する際に役立つことを意図しています。
With DKIM, the signer explicitly lists the headers that are signed, such as From:, Date:, and Subject:. By choosing the minimal set of headers needed, the signature is likely to be considerably more robust against the handling vagaries of intermediary MTAs.
DKIMでは、署名者は、明示的な:,日：および件名などから署名されたヘッダを示しています:.必要なヘッダの最小セットを選択することにより、署名は、仲介者のMTAの取り扱い気まぐれに対してかなりより堅牢である可能性が高いです。
A DKIM signature applies to the message body and selected header fields. The signer computes a hash of the selected header fields and another hash of the body. The signer then uses a private key to cryptographically encode this information, along with other signing parameters. Signature information is placed into DKIM-Signature:, a new [RFC5322] message header field.
DKIM署名は、メッセージ本体及び選択されたヘッダフィールドに適用されます。署名者は、選択されたヘッダフィールドと本体の別のハッシュのハッシュを計算します。署名者は、他の署名パラメータと共に、この情報、暗号エンコードに秘密鍵を使用しています。署名情報は、DKIM-署名:,新しい[RFC5322]メッセージヘッダフィールドに置かれます。
The key for a signature is associated with an SDID. That domain name provides the complete identity used for making assessments about the signer. (The DKIM specification does not give any guidance on how to do an assessment.) However, this name is not sufficient for making a DNS query to obtain the key needed to verify the signature.
署名用鍵はSDIDと関連しています。そのドメイン名は、署名者についての評価を作るために使用される完全な同一性を提供します。 （DKIM仕様は、評価を行う方法上の任意の指針を与えるものではありません。）しかし、この名前は、署名を検証するために必要なキーを取得するためにDNSクエリを作成するには十分ではありません。
A single SDID can have multiple signing keys and/or multiple potential signers. To support this, DKIM identifies a particular signature as using a combination of the SDID and an added field, called the "selector", specified in a separate DKIM-Signature: header field parameter.
単一SDIDは、複数の署名鍵および/または複数の署名者候補を持つことができます。ヘッダフィールドパラメータ：これをサポートするために、DKIMはSDIDと追加フィールドの組み合わせを使用するなど、特定の署名を識別し、別DKIM-署名で指定された「セレクタ」と呼ばれます。
NOTE: The semantics of the selector (if any) are strictly reserved to the signer and is to be treated as an opaque string by all other parties. If verifiers were to employ the selector as part of an assessment mechanism, then there would be no remaining mechanism for making a transition from an old, or compromised, key to a new one.
注：セレクタ（もしあれば）のセマンティクスが厳密に署名者に予約され、他のすべての当事者によって不透明な文字列として扱われるべきであるれています。検証者は、評価機構の一部として、セレクタを使用した場合、新しいものに古い、または損なわれ、キーから遷移するための残りの機構は存在しないであろう。
After a message has been signed, any agent in the message transit path can verify the signature to determine that the owner of the SDID took responsibility for the message. Message recipients can verify the signature by querying the DNS for the signer's domain directly, to retrieve the appropriate public key, and thereby confirm that the message was signed by a party in possession of the private key for the SDID. Typically, verification will be done by an agent in the Administrative Management Domain (ADMD) of the message recipient.
メッセージが署名された後、メッセージの中継経路における任意の薬剤は、SDIDの所有者がメッセージの責任を取ったことを決定するために、署名を検証することができます。メッセージ受信者は、適切な公開鍵を取得するために、直接、署名者のドメインのDNSを照会することにより、署名を検証し、それによって、メッセージはSDID用の秘密鍵を所持して当事者によって署名されたことを確認することができます。典型的には、検証は、メッセージ受信者の管理管理ドメイン（ADMD）のエージェントによって行われます。
Signers often need to support multiple assessments about their organization, such as to distinguish one type of message from another, or one portion of the organization from another. To permit assessments that are independent, one method is for an organization to use different sub-domains as the SDID tag, such as "transaction.example.com" versus "newsletter.example.com", or "productA.example.com" versus "productB.example.com". These can be entirely separate from the rfc5322.From header field domain.
他からのメッセージを1種類、または他の組織の一部を区別するためなどの署名者は、多くの場合、彼らの組織についての複数の評価をサポートする必要があります。独立している評価を可能にするために、一つの方法は、組織のような、SDIDタグとして異なるサブドメインを使用するためのものである「transaction.example.com」対「newsletter.example.com」、または「productA.example.com」対 "productB.example.com"。これらはrfc5322.Fromヘッダフィールド領域から完全に分離することができます。
DKIM uses external service components, such as for key retrieval and
relaying email. This specification defines an initial set, using DNS
and SMTP, for basic interoperability.
|
|- RFC5322 Message
V
+--------+ +--------------------------------+
| Private| | ORIGINATING OR RELAYING ADMD |
| Key +...>| Sign Message with SDID |
| Store | +---------------+----------------+
+--------+ |
(paired) [Internet]
+--------+ | +-----------+
| Public | +--------------------------------+ | Remote |
| Key | | RELAYING OR DELIVERING ADMD | | Sender |
| Store | | Message Signed? | | Practices |
+----+---+ +-----+--------------------+-----+ +-----+-----+
. |yes |no .
. V | .
. +-------------+ | .
+.......>| Verify +--------+ | .
| Signature | | | .
+------+------+ | | .
pass| fail| | .
V | | .
+-------------+ | | .
| | | | .
+.......>| Assessments | | | .
. | | V V .
. +-----+--+----+ +-------+ .
. | | / Check \<............+
. | +-------->/ Signing \
. | / Practices \<..........+
. | +-------+-------+ .
. | | .
. | V .
+----+--------+ | +-----------+ +------+-----+
|Reputation/ | | | Message | | Local Info |
|Accreditation| +----------->| Filtering | | on Sender |
|Info | | Engine | | Practices |
+-------------+ +-----------+ +------------+
Figure 1: DKIM Service Architecture
図1：ログサービスのアーキテクチャ
As shown in Figure 1, basic message processing is divided between a signing Administrative Management Domain (ADMD) and a verifying ADMD. At its simplest, this is between the originating ADMD and the delivering ADMD, but can involve other ADMDs in the handling path.
図1に示すように、基本的なメッセージ処理は、署名管理管理ドメイン（ADMD）と検証ADMD間で分割されます。簡単に言うと、これは元のADMDと提供ADMDの間にあるが、ハンドリング・パス内の他のADMDsを含むことができます。
signing: Signing is performed by an authorized module within the signing ADMD and uses private information from the Key Store, as discussed below. Within the originating ADMD, this might be performed by the MUA, MSA, or an MTA.
署名：署名は、署名ADMD内認可モジュールによって実行されると、以下に説明するように、キーストアから個人情報を使用しています。発信元ADMD内では、これはMUA、MSA、またはMTAによって実行されることがあります。
verifying: verifying is performed by an authorized module within the verifying ADMD. Within a delivering ADMD, verifying might be performed by an MTA, MDA, or MUA. The module verifies the signature or determines whether a particular signature was required. Verifying the signature uses public information from the Key Store. If the signature passes, reputation information is used to assess the signer and that information is passed to the message filtering system. If the signature fails or there is no signature using the author's domain, information about signing practices related to the author can be retrieved remotely and/or locally, and that information is passed to the message filtering system.
検証：検証は、検証ADMD内認可モジュールによって実行されます。送達ADMD内で、検証は、MTA、MDA、またはMUAによって実行されるかもしれません。モジュールは、署名を検証するか、または特定の署名が必要であったか否かを判断します。署名の検証は、キーストアから公開情報を使用しています。署名が合格した場合、評判情報は、署名者を評価するために使用され、その情報は、メッセージフィルタリングシステムに渡されます。署名が失敗した場合、または著者のドメインを使用しない署名がない場合、著者に関連する慣行の署名に関する情報をリモートおよび/またはローカルに取得することができ、その情報は、メッセージフィルタリングシステムに渡されます。
If a message has more than one valid signature, the order in which the signers are assessed and the interactions among the assessments are not defined by the DKIM specification.
メッセージが複数の有効な署名がある場合、順序は、署名者が評価され、評価の間の相互作用は、DKIM仕様で定義されていません。
A number of tables and services are used to provide external information. Each of these introduces administration and maintenance requirements.
テーブルやサービスの数は、外部の情報を提供するために使用されています。これらのそれぞれは、管理と保守の要件を導入しています。
Key Store: DKIM uses public-/private-key (asymmetric) cryptography. The signer users a private key and the verifier uses the corresponding public key. The current DKIM Signing specification provides for querying the Domain Names Service (DNS), to permit a verifier to obtain the public key. The signing organization therefore needs to have a means of adding a key to the DNS, for every selector/SDID combination. Further, the signing organization needs policies for distributing and revising keys.
キーストア：DKIMは、公的/秘密鍵（非対称）暗号を使用しています。署名者のユーザ秘密鍵と検証は、対応する公開鍵を使用しています。現在のDKIM署名仕様は公開鍵を取得するために検証を可能にするために、ドメイン名サービス（DNS）を照会するため用意されています。署名組織は、したがって、すべてのセレクタ/ SDIDの組み合わせのために、DNSにキーを追加する手段を持っている必要があります。さらに、署名組織は、キーを配布し、見直しのための政策が必要です。
Reputation/Accreditation: If a message contains a valid signature, then the verifier can evaluate the associated domain name's reputation, in order to determine appropriate delivery or display options for that message. Quality assessment information, which is associated with a domain name, comes in many forms and from many sources. DKIM does not define assessment services. Its relevance to them is to provide a verified domain name, upon which assessments can be made.
評判/認定：メッセージが有効な署名が含まれている場合、検証はそのメッセージのための適切な配信や表示オプションを決定するために、関連するドメイン名の評判を評価することができます。ドメイン名に関連付けられた品質評価情報は、多くの形態にし、多くのソースから来ています。 DKIMは、評価サービスを定義していません。それらとの関連性は、アセスメントを行うことができ、その上に、検証済みのドメイン名を提供することです。
Signing Practices (SP): Separate from determining the validity of a signature, and separate from assessing the reputation of the organization that is associated with the signed identity, there is an opportunity to determine any organizational practices concerning a domain name. Practices can range widely. They can be published by the owner of the domain or they can be maintained by the evaluating site. They can pertain to the use of the domain name, such as whether it is used for signing messages, whether all mail having that domain name in the author rfc5322.From: header field is signed, or even whether the domain owner recommends discarding messages in the absence of an appropriate signature. The statements of practice are made at the level of a domain name, and are distinct from assessments made about particular messages, as occur in a Message Filtering Engine. Such assessments of practices can provide useful input for the Message Filtering Engine's determination of message handling. As practices are defined, each domain name owner needs to consider what information to publish. The nature and degree of checking practices, if any are performed, is optional to the evaluating site and is strictly a matter of local policy.
プラクティス（SP）署名：署名の有効性を決定するとは別に、および署名されたIDに関連付けられている組織の評判を評価するとは別の、ドメイン名に関するあらゆる組織の慣行を決定する機会があります。プラクティスは広く及ぶことができます。彼らは、ドメインの所有者によって公開することができ、またはそれらを評価するサイトによって維持することができます。それがメッセージに署名するために使用されているようかのようにすべてのメールは、著者rfc5322.Fromでそのドメイン名を有するかどうか、彼らは、ドメイン名の使用に関係することができる：ヘッダフィールドが署名され、又はドメイン所有者はで破棄メッセージを推奨してもかどうか適切な署名が存在しません。練習の文は、ドメイン名のレベルで行われ、およびメッセージフィルタエンジンで発生すると、特定のメッセージについて行わ査定とは区別されています。慣行のような評価は、メッセージ処理のメッセージフィルタエンジンの決意のために便利な入力を提供することができます。プラクティスが定義されているように、各ドメイン名の所有者が公開する情報を検討する必要があります。プラクティスをチェックの性質と程度は、いずれかが実行された場合、評価サイトへのオプションであり、厳密にローカルポリシーの問題です。
Signing can be performed by a component of the ADMD that creates the message, and/or within any ADMD along the relay path. The signer uses the appropriate private key that is associated with the SDID.
署名および/または中継経路に沿った任意のADMD内で、メッセージを作成し、ADMDのコンポーネントによって実行することができます。署名者はSDIDに関連付けられている適切な秘密鍵を使用しています。
Verification can be performed by any functional component along the relay and delivery path. Verifiers retrieve the public key based upon the parameters stored in the message.
検証は、リレーおよび送達経路に沿った任意の機能コンポーネントによって実行することができます。検証者は、メッセージに格納されているパラメータに基づいて公開鍵を取得します。
Messages lacking a valid author signature (a signature associated with the author of the message as opposed to a signature associated with an intermediary) can prompt a query for any published "signing practices" information, as an aid in determining whether the author information has been used without authorization.
著者情報があったか否かを決定する際の助けとして、任意の公開された「署名プラクティス」についてのクエリを促すことができる有効な作成者署名（中間体に関連付けられた署名とは対照的に、メッセージの作成者に関連付けられた署名）を欠くメッセージ許可なしに使用。
Figure 1 shows the verified identity as being used to assess an associated reputation, but it could be applied to other tasks, such as management tracking of mail. Local policy guidelines may cause signing practices to be checked or the message may be sent directly to the message Filtering Engine.
図1は、関連する評判を評価するために使用されるものとして検証同一性を示すが、それは、メールの管理の追跡などの他のタスクに適用することができます。ローカルポリシーのガイドラインは、署名の実践をチェックするか、メッセージがメッセージフィルタエンジンに直接送信することができる可能性があります。
A popular use of reputation information is as input to a Filtering Engine that decides whether to deliver -- and possibly whether to specially mark -- a message. Filtering Engines have become complex and sophisticated. Their details are outside of the scope of DKIM, other than the expectation that the verified identity produced by DKIM can accumulate its own reputation, and will be added to the varied soup of rules used by the engines. The rules can cover signed messages and can deal with unsigned messages from a domain, if the domain has published information about its practices.
評判情報の一般的な使用が実現するかどうかを決定するフィルタエンジンへの入力としてある - そしておそらく特別にマークするかどうか - メッセージ。フィルタリングエンジンは、複雑で洗練されたとなっています。その詳細は、DKIMによって生成される確認IDが独自の評判を蓄積することができる、及びエンジンによって使用されるルールの変化スープに添加されることを期待以外DKIMの範囲外です。ドメインは、その実践についての情報を公開した場合のルールは、署名されたメッセージをカバーできるし、ドメインから符号なしのメッセージを扱うことができます。
It is expected that the most common venue for a DKIM implementation will be within the infrastructures of the authoring organization's outbound service and the receiving organization's inbound service, such as a department or a boundary MTA. DKIM can be implemented in an author's or recipient's MUA, but this is expected to be less typical, since it has higher administration and support costs.
DKIMを実装するための最も一般的な会場は、部門や境界MTAとしてオーサリング組織のアウトバウンドサービスと受信側組織のインバウンド・サービス、インフラの範囲内であることが期待されます。 DKIMは、著者のか、受信者のMUAで実施することができるが、これは、それが高い管理およびサポートのコストを持っているので、あまり一般的であることが予想されます。
A Mediator is an MUA that receives a message and can repost a modified version of it, such as to a mailing list. A DKIM signature can survive some types of modifications through this process. Furthermore, the Mediator can add its own signature. This can be added by the Mediator software itself, or by any outbound component in the Mediator's ADMD.
メディエータは、メッセージを受信し、そのようなメーリングリストとして、それの修正バージョンを、再投稿することができMUAです。 DKIM署名は、このプロセスを介して修飾のいくつかのタイプに耐えることができます。さらに、メディエータは独自の署名を追加することができます。これは、メディエータソフトウェア自体によって、またはメディエータのADMD内の任意のアウトバウンドコンポーネントによって追加することができます。
The security considerations of the DKIM protocol are described in the DKIM base specification [RFC4871], with [RFC4686] as their basis.
DKIMプロトコルのセキュリティ問題は、それらの基礎として[RFC4686]と、DKIMベース仕様[RFC4871]に記載されています。
Many people contributed to the development of the DomainKeys Identified Mail and the effort of the DKIM Working Group is gratefully acknowledged. In particular, we would like to thank Jim Fenton for his extensive feedback diligently provided on every version of this document.
多くの人々は、ドメインキー・アイデンティファイド・メールの発展と深く感謝されDKIMワーキンググループの努力に貢献しました。特に、我々は熱心にこのドキュメントのすべてのバージョンで提供彼の豊富なフィードバックのためにジム・フェントンに感謝したいと思います。
[Kohnfelder] Kohnfelder, L., "Towards a Practical Public-key Cryptosystem", May 1978.
"実用的な公開鍵暗号に向けて" [Kohnfelder] Kohnfelder、L.、1978年5月。
[RFC0989] Linn, J. and IAB Privacy Task Force, "Privacy enhancement for Internet electronic mail: Part I: Message encipherment and authentication procedures", RFC 989, February 1987.
[RFC0989]リン、J.およびIABプライバシータスクフォース、「インターネット電子メールのためのプライバシー増進：パートI：メッセージの暗号化と認証手順」、RFC 989、1987年2月。
[RFC1034] Mockapetris, P., "Domain names - concepts and facilities", STD 13, RFC 1034, November 1987.
[RFC1034] Mockapetris、P.、 "ドメイン名 - 概念と設備"、STD 13、RFC 1034、1987年11月。
[RFC1113] Linn, J., "Privacy enhancement for Internet electronic mail: Part I - message encipherment and authentication procedures", RFC 1113, August 1989.
[RFC1113]リン、J.、 "インターネット電子メールのためのプライバシー増進：パートI - メッセージの暗号化と認証手順"、RFC 1113、1989年8月。
[RFC1848] Crocker, S., Galvin, J., Murphy, S., and N. Freed, "MIME Object Security Services", RFC 1848, October 1995.
[RFC1848]クロッカー、S.、ガルビン、J.、マーフィー、S.、およびN.フリード、 "MIMEオブジェクトセキュリティサービス"、RFC 1848、1995年10月。
[RFC1991] Atkins, D., Stallings, W., and P. Zimmermann, "PGP Message Exchange Formats", RFC 1991, August 1996.
[RFC1991]アトキンス、D.、ストーリングス、W.、およびP.ツィンマーマン、 "PGPメッセージ交換フォーマット"、RFC 1991、1996年8月。
[RFC2440] Callas, J., Donnerhacke, L., Finney, H., and R. Thayer, "OpenPGP Message Format", RFC 2440, November 1998.
[RFC2440]カラス、J.、Donnerhacke、L.、フィニー、H.、およびR.セイヤー、 "OpenPGPのメッセージフォーマット"、RFC 2440、1998年11月。
[RFC3156] Elkins, M., Del Torto, D., Levien, R., and T. Roessler, "MIME Security with OpenPGP", RFC 3156, August 2001.
[RFC3156]エルキンズ、M.、デルTorto、D.、Levien、R.、およびT.レスラー、 "OpenPGPの持つMIMEセキュリティ"、RFC 3156、2001年8月。
[RFC3851] Ramsdell, B., "Secure/Multipurpose Internet Mail Extensions (S/MIME) Version 3.1 Message Specification", RFC 3851, July 2004.
[RFC3851] Ramsdell、B.、 "/セキュア多目的インターネットメール拡張（S / MIME）バージョン3.1メッセージ仕様"、RFC 3851、2004年7月。
[RFC4406] Lyon, J. and M. Wong, "Sender ID: Authenticating E-Mail", RFC 4406, April 2006.
[RFC4406]リヨン、J.とM.ウォン、 "送信者ID：の認証Eメール"、RFC 4406、2006年4月。
[RFC4407] Lyon, J., "Purported Responsible Address in E-Mail Messages", RFC 4407, April 2006.
[RFC4407]リヨン、J.、 "Eメールメッセージで主張責任アドレス"、RFC 4407、2006年4月。
[RFC4408] Wong, M. and W. Schlitt, "Sender Policy Framework (SPF) for Authorizing Use of Domains in E-Mail, Version 1", RFC 4408, April 2006.
"Eメール、バージョン1でのドメインの認可使用のためのSPF（Sender Policy Framework）を" [RFC4408]ウォン、M.およびW. Schlitt、RFC 4408、2006年4月。
[RFC4686] Fenton, J., "Analysis of Threats Motivating DomainKeys Identified Mail (DKIM)", RFC 4686, September 2006.
[RFC4686]フェントン、J.、 "メール（DKIM）を同定DomainKeysのをやる気脅威の分析"、RFC 4686、2006年9月。
[RFC4871] Allman, E., Callas, J., Delany, M., Libbey, M., Fenton, J., and M. Thomas, "DomainKeys Identified Mail (DKIM) Signatures", RFC 4871, May 2007.
[RFC4871]オールマン、E.、カラス、J.、デラニー、M.、リビー、M.、フェントン、J.、およびM.トーマス、 "ドメインキーを識別メール（DKIM）署名"、RFC 4871、2007年5月。
[RFC4880] Callas, J., Donnerhacke, L., Finney, H., Shaw, D., and R. Thayer, "OpenPGP Message Format", RFC 4880, November 2007.
[RFC4880]カラス、J.、Donnerhacke、L.、フィニー、H.、ショー、D.、およびR.セイヤー、 "OpenPGPのメッセージフォーマット"、RFC 4880、2007年11月。
[RFC5322] Resnick, P., Ed., "Internet Message Format", RFC 5322, October 2008.
[RFC5322]レズニック、P.、エド。、 "インターネットメッセージ形式"、RFC 5322、2008年10月。
[WebofTrust] Network Associates, Inc. and its Affiliated Companies, "How PGP works, in Introduction to Cryptography", 1999, <http://www.pgpi.org/doc/pgpintro/>.
[WebofTrust]ネットワークアソシエイツ、Inc.およびその関連会社に、<http://www.pgpi.org/doc/pgpintro/>、1999年 "PGPは、暗号技術の基礎で、仕組み"。
Appendix A. Internet Mail Background
付録A.インターネットメールの背景
A.1. Core Model
A.1。コアモデル
Internet Mail is split between the user world, in the form of Mail User Agents (MUA), and the transmission world, in the form of the Mail Handling Service (MHS) composed of Mail Transfer Agents (MTA). The MHS is responsible for accepting a message from one user, the author, and delivering it to one or more other users, the recipients. This creates a virtual MUA-to-MUA exchange environment. The first component of the MHS is called the Mail Submission Agent (MSA) and the last is called the Mail Delivery Agent (MDA).
インターネットメールは、メール転送エージェント（MTA）で構成されるメール処理サービス（MHS）の形で、メールユーザーエージェント（MUA）の形式、および伝送の世界では、利用者の世界の間で分割されます。 MHSは1人のユーザー、作者からのメッセージを受け入れ、1つ以上の他のユーザー、受信者に配信する責任があります。これは、仮想MUAツーMUA Exchange環境を作成します。 MHSの第一の成分は、メール発信エージェント（MSA）と呼ばれ、最後には、メール配信エージェント（MDA）と呼ばれています。
An email Mediator is both an inbound MDA and outbound MSA. It takes delivery of a message, makes changes appropriate to its service, and then reposts it for further distribution. Typically, the new message will retain the original rfc5322.From: header field. A mailing list is a common example of a Mediator.
電子メールのメディエータは、インバウンドとアウトバウンドのMDA MSAの両方です。これは、メッセージの配信をとり、そのサービスへの適切な変更を行い、その後、さらに流通のためにそれをreposts。ヘッダフィールド：一般的に、新しいメッセージは、元のrfc5322.Fromを保持します。メーリングリストは、メディエータの一般的な例です。
The modern Internet Mail service is marked by many independent operators, many different components for providing users with service and many other components for performing message transfer. Consequently, it is necessary to distinguish administrative boundaries that surround sets of functional components, which are subject to coherent operational policies.
現代のインターネットメールサービスは、サービスとメッセージ転送を実行するための他の多くのコンポーネントをユーザーに提供するための多くの独立した事業者は、多くの異なるコンポーネントによってマークされています。したがって、一貫した運用方針の対象となっている機能コンポーネントのセットを囲む管理境界を区別する必要があります。
As elaborated on below, every MSA is a candidate for signing using DKIM, and every MDA is a candidate for doing DKIM verification.
以下に詳述したよう、すべてのMSAは、DKIMを使用して署名するための候補である、そしてすべてのMDAは、DKIM検証を行うための候補です。
A.2. Trust Boundaries
A.2。信頼境界
Operation of Internet Mail services is apportioned to different providers (or operators). Each can be composed of an independent ADministrative Management Domain (ADMD). An ADMD operates with an independent set of policies and interacts with other ADMDs according to differing types and amounts of trust. Examples include an end user operating a desktop client that connects to an independent email service, a department operating a submission agent or a local Relay, an organization's IT group that operates enterprise Relays, and an ISP operating a public shared email service.
インターネットメールサービスの動作が異なるプロバイダ（またはオペレータ）に配分されます。それぞれが独立行政管理ドメイン（ADMD）で構成することができます。 ADMDは、政策の独立したセットで動作し、異なるタイプと信頼の量に応じて他のADMDsと対話します。例としては、独立した電子メールサービス、提出剤やローカルリレーを動作させる部門、企業のリレー、およびパブリック共有電子メールサービスを操作するISPを運営する組織のITグループに接続するデスクトップクライアントを操作し、エンドユーザーが含まれます。
Each of these can be configured into many combinations of administrative and operational relationships, with each ADMD potentially having a complex arrangement of functional components. Figure 2 depicts the relationships among ADMDs. Perhaps the most salient aspect of an ADMD is the differential trust that determines its policies for activities within the ADMD, versus those involving interactions with other ADMDs.
これらの各々は、各ADMDが潜在的に機能的な構成要素の複雑な構成を有すると共に、管理および動作関係の多くの組み合わせに構成することができます。図2は、ADMDs間の関係を示しています。おそらく、ADMDの最も顕著な特徴は、他のADMDsとの相互作用が関与するものに対して、ADMD内の活動の方針を決定した差動信託です。
Basic types of ADMDs include:
ADMDsの基本的なタイプは、次のとおりです。
Edge: Independent transfer services, in networks at the edge of the Internet Mail service.
エッジ：独立した転送サービス、ネットワークでのインターネットメールサービスのエッジで。
User: End-user services. These might be subsumed under an Edge service, such as is common for web-based email access.
ユーザ：エンドユーザサービス。これらは、Webベースの電子メールにアクセスするための一般的であるように、エッジサービスに包含される可能性があります。
Transit: These are Mail Service Providers (MSP) offering value-added capabilities for Edge ADMDs, such as aggregation and filtering.
トランジット：これらは、凝集およびフィルタリングなどエッジADMDsための付加価値機能を提供しているメールサービスプロバイダ（MSP）です。
Note that Transit services are quite different from packet-level transit operation. Whereas end-to-end packet transfers usually go through intermediate routers, email exchange across the open Internet often is directly between the Edge ADMDs, at the email level.
トランジットサービスは、パケットレベルでのトランジット操作とは全く異なっていることに注意してください。エンドツーエンドのパケット転送は、通常、中間ルータを通過するのに対し、オープンなインターネットを経由メール交換は、多くの場合、電子メールのレベルでは、エッジADMDs間で直接です。
+--------+ +--------+ +--------+
| ADMD#1 | | ADMD#3 | | ADMD#4 |
| ------ | | ------ | | ------ |
| | +----------------------->| | | |
| User | | |--Edge--+--->|--User |
| | | | +--->| | | |
| V | | | +--------+ +--------+
| Edge---+---+ |
| | | +----------+ |
+--------+ | | ADMD#2 | |
| | ------ | |
| | | |
+--->|-Transit--+---+
| |
+----------+
Figure 2: ADministrative Management Domains (ADMD) Example
図2：管理管理ドメイン（ADMD）例
In Figure 2, ADMD numbers 1 and 2 are candidates for doing DKIM signing, and ADMD numbers 2, 3, and 4 are candidates for doing DKIM verification.
図2では、ADMD番号1及び2は、DKIM署名を行うための候補である、とADMD番号2、3、および4は、DKIM検証を行うための候補です。
The distinction between Transit network and Edge network transfer services is primarily significant because it highlights the need for concern over interaction and protection between independent administrations. The interactions between functional components within a single ADMD are subject to the policies of that domain. Although any pair of ADMDs can arrange for whatever policies they wish, Internet Mail is designed to permit inter-operation without prior arrangement.
それは独立した行政の間の相互作用と保護の懸念の必要性を強調しているのでトランジットネットワークおよびエッジネットワーク転送サービス間の区別は、主に重要です。単一ADMD内の機能構成要素間の相互作用は、そのドメインのポリシーの対象となっています。 ADMDsの任意のペアは、彼らが望むものは何でも、ポリシーを手配することができますが、インターネットメールは、事前配置することなく、相互運用を可能にするように設計されています。
Common ADMD examples are:
一般的なADMD例は以下のとおりです。
Enterprise Service Providers:
エンタープライズ・サービス・プロバイダ：
Operators of an organization's internal data and/or mail services.
組織の内部データのオペレータおよび/またはメールサービス。
Internet Service Providers:
インターネットサービスプロバイダ：
Operators of underlying data communication services that, in turn, are used by one or more Relays and Users. It is not necessarily their job to perform email functions, but they can, instead, provide an environment in which those functions can be performed.
今度は、一つ以上のリレーおよびユーザーによって使用され、基礎となるデータ通信サービスの事業者。電子メールの機能を実行するために、必ずしも自分の仕事ではないが、彼らは、代わりに、それらの機能を実行することができる環境を提供することができます。
Mail Service Providers:
メールサービスプロバイダ：
Operators of email services, such as for end users, or mailing lists.
そのようなエンドユーザー向けとして、電子メールサービス、またはメーリングリストの運営。
Index
指数
A ADMD 6 Administrative Management Domain 6 assessment 7
ADMD 6行政管理ドメイン6査定7
D DKIM-Signature 12-13 DNS 6, 13-15
D DKI署名DNS 6、12-13、13-15
I identifier 4-8 identity 3-7, 9, 12 infrastructure 5-6, 8-11, 17
I識別子4-8アイデンティティ3-7、9、12インフラ5-6、8-11、17
M Mail Delivery Agent 6 Mail Handling Service 6 Mail Service Provider 6 Mail Submission Agent 6
Mメール配送エージェント6メール処理サービス6メールサービスプロバイダ6メール発信エージェント6
Mail Transfer Agent 6 Mail User Agent 6 MDA 6 MHS 6 MIME Object Security Services 5 MOSS 5 MSA 6 MSP 6 MTA 6 MUA 6
メール転送エージェント6のメールユーザーエージェント6つのMDA 6 MHS 6 MIMEオブジェクトセキュリティサービス5 MOSS 5 MSA 6 MSP 6 MTA 6 MUA 6
O OpenPGP 5
OのOpenPGP 5
P PEM 5 PGP 5 Pretty Good Privacy 5 Privacy Enhanced Mail 5
P PEM 5 PGP 5プリティグッドプライバシー5プライバシー強化メール5
S S/MIME 5
SのS / MIME 5
T trust 3, 7-8, 20
T信託3、7-8、20
V verification 4, 7-8, 10-11, 13, 16, 20-21
V検証4、7-8、10-11、13、16、20-21
W Web of Trust 6
トラスト6のWウェブ
X X.509 6
XのX.509 6
Authors' Addresses
著者のアドレス
Tony Hansen AT&T Laboratories 200 Laurel Ave. Middletown, NJ 07748 USA
トニー・ハンセンAT＆T研究所200ローレルアベニュー。ミドルタウン、NJ 07748 USA
EMail: tony+dkimov@maillennium.att.com
メールアドレス：tony+dkimov@maillennium.att.com
Dave Crocker Brandenburg InternetWorking 675 Spruce Dr. Sunnyvale, CA 94086 USA
デイブ・クロッカーブランデンブルクインターネットワーキング675スプルース博士はカリフォルニア州サニーベール94086 USA
EMail: dcrocker@bbiw.net
メールアドレス：dcrocker@bbiw.net
Phillip Hallam-Baker Default Deny Security, Inc.
フィリップハラム - ベイカーデフォルト拒否Security社
EMail: phillip@hallambaker.com
メールアドレス：phillip@hallambaker.com