Configurare il record DKIM (DomainKeys Identified Mail) per una migliore capacità di recapito delle e-mail

Tutti i server mail tentano di bloccare le e-mail con mittenti falsificati. I truffatori falsificano gli indirizzi di mittenti affidabili e conosciuti dal destinatario, ad esempio per infiltrare un trojan o indurre l’utente a rivelare dati sensibili (phishing).

Un metodo per verificare l’autenticità del mittente è il DKIM, un sistema che permette di apporre una firma digitale alle e-mail. DKIM è l’acronimo di “DomainKeys Identified Mail”.

Il DKIM attualmente in uso è stato sviluppato nel 2004 come progetto congiunto di un consorzio di aziende. DKIM integra i precedenti sistemi “DomainKeys” di Yahoo e “Identified Internet Mail” di Cisco. Questo spiega l’acronimo DKIM: DK = DomainKeys, IM = Identified Internet Mail.

DKIM si basa sulla comunicazione tra il server mail mittente e il server mail di destinazione, senza che l’utente finale se ne accorga.

Semplificando al massimo, possiamo dire che il server mail mittente aggiunge all’e-mail una firma digitale che viene verificata dal server di destinazione. A questo scopo, il server di destinazione richiama presso il server mail che dichiara di essere il mittente la chiave pubblica associata alla firma.

I motivi per cui la chiave pubblica non corrisponde alla firma possono essere i seguenti:

• L’e-mail non è stata inviata dal server mail dichiarato nell’header dell’e-mail, ma da un altro server, molto probabilmente illecito.
• L’e-mail è stata alterata durante il percorso dal server mail “autentico” al destinatario. Ad esempio, potrebbe essere stata intercettata da un hacker, modificata e successivamente reinviata.

Per comprendere DKIM è utile conoscere i singoli “componenti” sui quali si basa il sistema.

Utilizzando un determinato algoritmo, dai contenuti dell’e-mail viene calcolata una sequenza di caratteri denominata valore di hash. Questo valore viene aggiunto all’header dell’e-mail.

Se il destinatario calcolasse il valore di hash dell’e-mail ricevuta utilizzando lo stesso algoritmo, dovrebbe ottenere esattamente la sequenza di caratteri aggiunta all’header dell’e-mail. Se il valore di hash non corrisponde, il destinatario deduce che l’e-mail è stata falsificata.

Per avere la certezza che il valore di hash deriva effettivamente dal mittente originario, è necessaria un’altra misura: la firma digitale.

Per l’autenticazione del mittente si utilizza la crittografia asimmetrica. Essa si basa su una coppia di chiavi: quello che è stato crittografato con la chiave A può essere decrittografato solo con la chiave B. All’interno della coppia, una chiave rimane segreta (“chiave privata”), mentre l’altra è resa pubblica (“chiave pubblica”).

Il procedimento è il seguente:

1. Il mittente crittografa il valore di hash calcolato con la chiave privata.
2. Aggiunge quindi il valore di hash crittografato all’header dell’e-mail (“firma”).
3. Il destinatario richiama sul Domain Name Server del mittente la relativa chiave pubblica e la utilizza per decrittografare la firma.
4. Esegue quindi il calcolo di controllo del valore di hash decrittografato: se il valore di hash calcolato autonomamente corrisponde a quello decrittografato, è tutto a posto.

Il record DKIM può essere generalmente richiamato solo mediante l’header dell’e-mail. Per poterlo richiamare è necessario non solo il nome del dominio, ma anche il selettore. Nella maggior parte dei casi, il selettore non è noto o può essere estrapolato solo con complesse ricerche.

Per creare un record DKIM è necessario generare una coppia di chiavi RSA e inserirla nel punto giusto sul server. La maggior parte dei provider e-mail si fa carico di questo compito.