Discussione: Come impostare DKIM

Prima di tutto, è necessario creare una chiave pubblica e privata per il dominio di posta:

• Chiave privata: openssl genrsa -out dkim.prv 512
• Chiave pubblica: openssl rsa -in dkim.prv -out dkim.pub -pubout

Di seguito, va creato un sottodominio al mail server, con il nome dkim._domainkeys.domain.tld, ad esempio:

• dkim._domainkeys.mail-robot.net

All'interno del record DNS del dominio, va creato un nuovo record TXT con il nome: dkim._domainkeys e seguente contenuto. Il paramentro t=x indica se la chiave è di prova (y) o definitiva (n).

• k=rsa; t=y; p=[contenuto della chiave pubblica]

Esempio:

Codice:

C:\OpenSSL\bin>openssl genrsa -out dkim.prv 512
Loading 'screen' into random state - done
Generating RSA private key, 512 bit long modulus
...........++++++++++++
..++++++++++++
e is 65537 (0x10001)
C:\OpenSSL\bin>openssl rsa -in dkim.prv -out dkim.pub -pubout
writing RSA key
C:\OpenSSL\bin>type dkim.prv
-----BEGIN RSA PRIVATE KEY-----
MIIBOwIBAAJBAKUvKFZC+dUCIYryZOQowHewnKuoFWopCYcDjMhX9ekzE7ZuRseC
63gb2fWxTkve600yuOh2QqtUkSajGUAgBt8CAwEAAQJASCS7eklQMg73NWc+V0PR
I7U4B+SmTbJUneoX/5wjI9DeGvlfPuenSSspfsPcE+ZOaT6y1/MX1Zuq4lBvbV/o
mQIhANnhkC2V0dIMqe9EgC1RpC9dZhYU5emjm7KO7EGdD9sDAiEAwhVpPrYLO9ig
qQ3I07RmvDDvvWkkN+5++LV3s3X0z/UCIQCkYebqTZ+JD17ik1b1WiQ6TAgqXsf7
lyFv/R7IfhwpSwIhALmoibj3o99n5qhRC1+ZHv2/QlbKkV7/wm5gCVWe7MVRAiBV
9dofy+PFSetsWUIbfQssDQHiG4SGsJXn6mEoth+t7w==
-----END RSA PRIVATE KEY-----
C:\OpenSSL\bin>type dkim.pub
-----BEGIN PUBLIC KEY-----
MFwwDQYJKoZIhvcNAQEBBQADSwAwSAJBAKUvKFZC+dUCIYryZOQowHewnKuoFWop
CYcDjMhX9ekzE7ZuRseC63gb2fWxTkve600yuOh2QqtUkSajGUAgBt8CAwEAAQ==
-----END PUBLIC KEY-----

Se, da un server Linux, si interroga il sottodominio e il record DNS creato, dovrà restituire i valori seguenti (in base all'esempio). Da Internet è possibile usare un'utilità dig Online, come questa: http://www.kloth.net/services/dig.php.

Codice:

dig +short dkim._domainkey.mail-robot.net txt
"k=rsa\; t=y\; p=MFwwDQYJKoZIhvcNAQEBBQADSwAwSAJBAKUvKFZC+dUCIYryZOQowHewnKuoFWopCYcDjMhX9ekzE7ZuRseC63gb2fWxTkve600yuOh2QqtUkSajGUAgBt8CAwEAAQ=="

A questo punto, il dominio è pronto per la firma delle email. Ora dovrà essere impostato il mail server con la chiave privata, in modo che consenti la firma dei contenuti.

Nota: Dato che le chiavi si "sciupano" col tempo, è consigliato di cambiarle abbastanza spesso (ogni 3-6 mesi), oppure di usare un modulo più lungo, ad esempio di 1024, 2048 o di max 4096 bit. Più bit si usano, più risorse sono richieste per la firma e verifica. Nella norma, 256-512 bit sono sufficienti e molto sicuri per il periodo indicato.

Bibliografia: http://erikberg.com/notes/milters.html