9 votes

Opendkim-testkey: clé non sécurisée

J'ai configuré Opendkim milter pour fonctionner avec postfix sur ma machine. Maintenant, les e-mails sont signés et vérifiés correctement, c'est-à-dire que le code source de l'e-mail affiche l'en-tête DKIM-Signature.

L'enregistrement TXT sur le DNS autoritaire est configuré comme ceci :

 #  root > server > ~

  > delv -t txt dkim-domain._domainkey.domain.eu
...
...
dkim-domain._domainkey.domain.eu. 1780 IN TXT   "v=DKIM1; k=rsa; p=MIIBIjANBgkqhkiG9w0BAQEFAAOCAQ8AMIIBCgKCAQEA8drA4hH8gJaVpLaHhtQonhpOeanMo/oPmrAVehP3lBYAjsoxifCIclLqJo7kk0maelqu9SIN9ttQ0boCzEiQBMO1" "c1P+Sj/PxphZB71c8VNhqMJ32VG6Ky3ZD4Tds39Vye/wsWdi+842MUT3Z2dJnxS2AAG4pSkjaytFPCs0J94OUQC0tDErbnsMZh+gg+7IsYgND8FR/cRDzpXjD0qFJk4Cnc1q27WorPAGAiRsRfLt9u" "gkYgQRwapnofmKJ3hk/L8096YR7gan60L4+RGojsx5ppTdIEhYasyK9MokefmVeNyGwVXTJchqG8vhcg9uGjGy9mPiPg4B2TQgEBPwyQIDAQAB"
...
...

Donc, à première vue, tout est en ordre, mais lorsque je lance les diagnostics sur ma machine, cela affiche ceci :

 #  root > server > ~

  > opendkim-testkey -d domain.eu -s dkim-domain -vvv

opendkim-testkey: using default configfile /etc/opendkim.conf
opendkim-testkey: checking key 'dkim-pistam._domainkey.pistam.eu'
opendkim-testkey: key not secure
opendkim-testkey: key OK

Remarquez la réponse key not secure. J'ai lu dans cette réponse que cet avertissement existe car le DNSSEC n'est pas activé. Mais le DNSSEC pour mon domaine domain.eu est activé, selon DNSViz.


ADD:

Il se peut que le sujet auquel j'ai fait référence plus tôt soit trompeur, car j'ai lu plus tard une réponse ici, suggérant que cet avertissement est dû à des autorisations trop permissives concernant la paire de clés ! J'ai défini les droits d'utilisateur sur la paire de clés et leur dossier comme ceci :

 #  root > server > ~

  > ls -l /etc/opendkim/keys/
total 8
-rw------- 1 opendkim opendkim 1675 Dec 30 08:45 dkim-rsa-private.key
-rw------- 1 opendkim opendkim  451 Dec 30 08:46 dkim-rsa-public.key

 #  root > server > ~

  > ls -ld /etc/opendkim/keys/
drwx------ 2 opendkim opendkim 4096 Jan  1 07:18 /etc/opendkim/keys/

Donc, cela devrait être sécurisé... Mais ce n'est pas le cas.

1 votes

Apparemment, la même question a été posée ici auparavant. J'ai essayé d'y répondre.

0 votes

@glts Je comprends. Dans mon cas, la commande dig montre le drapeau ad donc je dois utiliser le paramètre TrustAnchorFile /path/to/root.key à l'intérieur de /etc/opendkim.conf. Comme j'utilise le resolver Unbound, je devrais probablement suivre this, this et this... Qu'en penses-tu? Est-ce que cela résoudra également l'avertissement de opendkim?

1 votes

Je ne sais pas exactement pourquoi cela ne fonctionne pas pour vous. J'ai également exécuté Unbound localement. Dans /etc/opendkim.conf, j'ai deux paramètres pertinents, TrustAnchorFile /usr/share/dns/root.key et Nameservers 127.0.0.1 (sur Ubuntu 20.04). En tout cas, j'obtiens clé sécurisée pour mon domaine ...

8voto

glts Points 460

Comme également expliqué dans ma autre réponse, clé non sécurisée dans ce contexte indique qu'OpenDKIM n'a pas pu authentifier la clé en utilisant DNSSEC.

Vous devez vous assurer qu'OpenDKIM peut utiliser DNSSEC. Par exemple, sur Debian et Ubuntu, le fichier /etc/opendkim.conf par défaut contient le paramètre suivant, qui active les capacités DNSSEC :

TrustAnchorFile /usr/share/dns/root.key

SistemesEz.com

SystemesEZ est une communauté de sysadmins où vous pouvez résoudre vos problèmes et vos doutes. Vous pouvez consulter les questions des autres sysadmins, poser vos propres questions ou résoudre celles des autres.

Powered by:

X