メーリングリストと電子署名

電子署名(Domainkey DKIM)されたメールがメーリングリストに投稿されると次のように扱われます。
- 投稿者(example.jp) のメールが(example.jp)メールサーバからメーリングリストサーバへ投稿される。
- メーリングリストサーバがメンバへ投稿を配送する。
  このとき、(多くの場合)「Subject:」ヘッダに通し番号が付与される。
  また、メーリングサーバの情報がヘッダー・本文に追加される。
- 投稿されたメールを受信したメンバが所属するメールサーバは、投稿の送信元ドメインの DNS から (example.jp)の公開鍵を取得する。
- 電子署名の基になったデータがメーリングリストサーバで変更されているため、電子署名の照合ができず認証に失敗する。
認証に失敗を回避するには、メーリングリストエンジンでヘッダや本文を変更した後に、
- 投稿者(example.jp) の作成した
  DomainKey-Signature
  DKIM-Signature
  を削除する。
- メーリングリストを運営しているドメインを送信ドメインとする「Sender:」ヘッダを追加し、あらためて電子署名を作成し、新しい「DomainKey-Signature:」ヘッダあるいは「DKIM-Signature」を追加する。
  DKIM では「署名ポリシー」に "!" が定義されているドメインの場合は認証に失敗する。 <<--- 未確認です(dkim-milter-2.6.0)。
- とりあえず DomainKey-Signature と DKIM-Signature を削除すれば認証に失敗を避けられる。
  下記の方法で DomainKey-Signature と DKIM-Signature を削除する出来ます。
```
majordomo では下記の通りです。
_ML_:  "| /usr/bin/formail -I DKIM-Signature: -I DomainKey-Signature: | /usr/local/majordomo/wrapper sequencer -l
_ML_ -R -N -h hayama.jp _ML_-going@svr.xample.jp"
_ML_-going:    :include:/var/spool/majordomo/lists/_ML_
_ML_-request:  "|/usr/local/majordomo/wrapper request-answer _ML_"
_ML_-approval: owner-_ML_
_ML_-owner:    owner-_ML_
owner-_ML_:   OWNER@example.jp
fml では 
_ML_:     "|/usr/bin/formail -I DKIM-Signature: -I DomainKey-Signature: |_ML_DIR_\\_ML_\\include.cmd"
_ML_-ctl: "|_ML_DIR_\\_ML_\\include-ctl.cmd"
_ML_-request: _ML_-admin
_ML_-admin: _USER_
```
  DKIM では「署名ポリシー」に "!"または"-" が定義されているドメインの場合は認証に失敗する。筈なのに"-"では認証に失敗しない(dkim-milter-2.6.0)。

その他、送信者の設定とメーリングリスト・サーバに付いて

「Subject:」ヘッダのみを編集するメーリングリストも多いので、電子署名を実施する際の対象から「Subject:」を外しておくという方法も考えられるが、「Subject:」を外すという操作をすべての送信者に要求すると言うことは現実的ではない。

DKIM の「署名ポリシー」によってはメーリングリストへの投稿は難しい。
署名ポリシーには次のものが指定される。

署名ポリシー署名とメールの関係

~ 署名されるメールもされないメールも存在する。

- メールはすべて署名されている。署名されていないものは受信すべきでない。ただし、信頼する第三者が署名している場合は受信しても良い。

! メールはすべて署名されている。署名されていないものは受信すべきでない。第三者の署名は認めない。

* ドメインからのメールはいっさい送信されない。

^ ユーザーレベルのSSP「<ユーザー>._policy.<ドメイン名>」を取得する。この値はドメインでのSSPに利用するもので、ユーザーレベルのSSPには利用しない。

「署名ポリシー」に "!" が定義されているドメインからの投稿はメーリングリストでは使用できない。
２００８年４月現在メーリングリストはメールの電子署名最大の障害である。

Top に戻る

署名ポリシー	署名とメールの関係
~	署名されるメールもされないメールも存在する。
-	メールはすべて署名されている。署名されていないものは受信すべきでない。ただし、信頼する第三者が署名している場合は受信しても良い。
!	メールはすべて署名されている。署名されていないものは受信すべきでない。第三者の署名は認めない。
*	ドメインからのメールはいっさい送信されない。
^	ユーザーレベルのSSP「<ユーザー>._policy.<ドメイン名>」を取得する。この値はドメインでのSSPに利用するもので、ユーザーレベルのSSPには利用しない。