E-Mail-Header - Versionsgeschichte

St211940 am 17. Juli 2022 um 08:22 Uhr

2022-07-17T08:22:06Z

St201209: /* Absender-Authentizität */

2022-07-17T08:19:58Z

Absender-Authentizität

← Nächstältere Version		Version vom 17. Juli 2022, 08:19 Uhr
Zeile 129:		Zeile 129:

	Für die Auswertung ist aufgrund möglicher Identitätsverfälschungen von Interesse, ob der Absender authentisch ist. Hierzu gibt es mehrere Verfahren, die aus E-Mail Headern ausgelesen werden können.		Für die Auswertung ist aufgrund möglicher Identitätsverfälschungen von Interesse, ob der Absender authentisch ist. Hierzu gibt es mehrere Verfahren, die aus E-Mail Headern ausgelesen werden können.

	~~'''Sender Policy Framework'''~~

	Mit dem Sender Policy Framework (kurz SPF) soll verhindert werden, dass E-Mails über nicht autorisierte Mail Transfer Agents (MTA) versandt werden. Der Absender hinterlegt dabei für seine Domain(s) zugehörige IP-Adressen im DNS-System, über die ein MTA die E-Mail im Namen der Domain versenden darf. Der empfangende Mail-Server muss die Überprüfung von SPF unterstützen, damit gefälschte E-Mails erkannt werden. Gängige Antiviren-Software nutzen SPF bereits zur Überprüfung auf mögliche Spam E-Mails.<ref>SPF: Introduction. (2010, 17. April). Open SPF. Abgerufen am 17. Juli 2022, von http://www.open-spf.org/Introduction/</ref>

	~~Ein SPF-Eintrag im E-Mail-Header sieht wie folgt aus:~~

	~~example.net. TXT "v=spf1 mx a:pluto.example.net include:aspmx.googlemail.com -all"~~

	~~Die verschiedenen Tags dieses Eintrags sind dabei wie folgt zu deuten:~~

	~~{\| class="wikitable"~~
	\|-
	~~! Tag !! Bedeutung~~
	\|-
	~~\| v=spf1 \|\| SPF-Version 1~~
	\|-
	~~\| mx \|\| Die Mail-Eingangsserver (MX) der Domain sind autorisiert zum Senden von E-Mails für die Domain example.net~~
	\|-
	~~\| a:pluto.example.net \|\| Der Absender pluto.example.net ist ebenfalls autorisiert~~
	\|-
	~~\| include:aspmx.googlemail.com \|\| alles, was von gmail.com als legitim angesehen wird, ist auch für example.net legitim~~
	\|-
	~~\| -all \|\| Alle anderen Absender sind nicht autorisiert.~~
	\|}

	~~Um einen SPF-Eintrag zu verifizieren eignet sich dieses [https://www.spf-record.de/spf-lookup SPF-Record Lookup] Tool.~~

	'''DomainKeys Identified Mail'''		'''DomainKeys Identified Mail'''

	Eine ~~weitere~~ Möglichkeit der Authentizitäts- und Integritäts-Prüfung sind Domain Keys Identified Mail (kurz DKIM), bei der der sendende Mail-Server der E-Mail eine digitale Signatur beifügt. Die Signatur besteht aus dem Hash-Wert der zu sendenden E-Mail, welcher mit dem privaten Schlüssel des Absenders verschlüsselt wird. Anschließend kann der empfangende Mail-Server mit dem öffentlichen Schlüssel sowohl die Authentizität des Absenders als auch die Integrität der Nachricht sicherstellen.<ref>Vgl. DKIM (DomainKeys Identified Mail) einrichten für eine bessere E-Mail-Zustellbarkeit: in: Digital Guide IONOS, 24.01.2020, https://www.ionos.de/digitalguide/e-mail/e-mail-sicherheit/dkim-domainkeys/ (abgerufen am 17.07.2022).</ref>		Eine Möglichkeit der Authentizitäts- und Integritäts-Prüfung sind Domain Keys Identified Mail (kurz DKIM), bei der der sendende Mail-Server der E-Mail eine digitale Signatur beifügt. Die Signatur besteht aus dem Hash-Wert der zu sendenden E-Mail, welcher mit dem privaten Schlüssel des Absenders verschlüsselt wird. Anschließend kann der empfangende Mail-Server mit dem öffentlichen Schlüssel sowohl die Authentizität des Absenders als auch die Integrität der Nachricht sicherstellen.<ref>Vgl. DKIM (DomainKeys Identified Mail) einrichten für eine bessere E-Mail-Zustellbarkeit: in: Digital Guide IONOS, 24.01.2020, https://www.ionos.de/digitalguide/e-mail/e-mail-sicherheit/dkim-domainkeys/ (abgerufen am 17.07.2022).</ref>

	Beispiel eines DKIM-Eintrags von GMX im E-Mail-Header der vorherig aufgeführten Werbe-Mail:		Beispiel eines DKIM-Eintrags von GMX im E-Mail-Header der vorherig aufgeführten Werbe-Mail:
Zeile 177:		Zeile 150:
	! Tag !! Bedeutung		! Tag !! Bedeutung
	\|-		\|-
	\| v \|\| gibt die Version der Signaturspezifikation an~~. Der~~ Wert sollte immer auf 1 gesetzt werden		\| v \|\| gibt die Version der Signaturspezifikation an; der Wert sollte immer auf 1 gesetzt werden
	\|-		\|-
	\| a \|\| gibt den Algorithmus an, der zur Erzeugung der Signatur verwendet wird. Der Wert sollte rsa-sha256 sein. Absender mit geringeren CPU-Kapazitäten können rsa-sha1 verwenden~~. Von~~ der Verwendung von rsa-sha1 wird jedoch wegen möglicher Sicherheitsrisiken abgeraten		\| a \|\| gibt den Algorithmus an, der zur Erzeugung der Signatur verwendet wird. Der Wert sollte rsa-sha256 sein. Absender mit geringeren CPU-Kapazitäten können rsa-sha1 verwenden; von der Verwendung von rsa-sha1 wird jedoch wegen möglicher Sicherheitsrisiken abgeraten
	\|-		\|-
	\| s \|\| gibt den Namen des Selektoreintrags an, der zusammen mit der Domäne verwendet wird, um den öffentlichen Schlüssel im DNS zu finden~~. Der~~ Wert ist ein vom Absender erstellter Name oder eine Nummer		\| s \|\| gibt den Namen des Selektoreintrags an, der zusammen mit der Domäne verwendet wird, um den öffentlichen Schlüssel im DNS zu finden; der Wert ist ein vom Absender erstellter Name oder eine Nummer
	\|}		\|}

Zeile 196:		Zeile 169:
	\| b \|\| sind die Hash-Daten der im h=-Tag aufgeführten Header; dieser Hash wird auch als DKIM-Signatur bezeichnet und in Base64 kodiert		\| b \|\| sind die Hash-Daten der im h=-Tag aufgeführten Header; dieser Hash wird auch als DKIM-Signatur bezeichnet und in Base64 kodiert
	\|-		\|-
	\| bh \|\| ist der berechnete Hash des Nachrichtentextes~~. Der~~ Wert ist eine Zeichenkette, die den durch den Hash-Algorithmus ermittelten Hashwert darstellt		\| bh \|\| ist der berechnete Hash des Nachrichtentextes; der Wert ist eine Zeichenkette, die den durch den Hash-Algorithmus ermittelten Hashwert darstellt
	\|-		\|-
	\| d \|\| gibt die Domäne an, die mit dem Selektoreintrag (s=) verwendet wird, um den öffentlichen Schlüssel zu finden~~. Der~~ Wert ist ein Domänenname, der dem Absender gehört		\| d \|\| gibt die Domäne an, die mit dem Selektoreintrag (s=) verwendet wird, um den öffentlichen Schlüssel zu finden; der Wert ist ein Domänenname, der dem Absender gehört
	\|-		\|-
	\| h \|\| ist eine Liste von Headern, die im Signieralgorithmus verwendet werden, um den im b=-Tag gefundenen Hash zu erstellen. Die Reihenfolge der Header im h=-Tag entspricht der Reihenfolge, in der sie bei der DKIM-Signierung präsentiert wurden, und daher auch der Reihenfolge, in der sie bei der Überprüfung präsentiert werden sollten. Der Wert ist eine Liste von Header-Feldern, die sich nicht ändern oder entfernt werden		\| h \|\| ist eine Liste von Headern, die im Signieralgorithmus verwendet werden, um den im b=-Tag gefundenen Hash zu erstellen; Die Reihenfolge der Header im h=-Tag entspricht der Reihenfolge, in der sie bei der DKIM-Signierung präsentiert wurden, und daher auch der Reihenfolge, in der sie bei der Überprüfung präsentiert werden sollten. Der Wert ist eine Liste von Header-Feldern, die sich nicht ändern oder entfernt werden.
	\|}		\|}

St201209: /* Absender-Authentizität */

2022-07-17T08:15:50Z

Absender-Authentizität

← Nächstältere Version		Version vom 17. Juli 2022, 08:15 Uhr
Zeile 184:		Zeile 184:
	\|}		\|}

	~~Die weiteren~~ Tags der DKIM sind:		weitere Tags der DKIM sind:


	{\| class="wikitable"		{\| class="wikitable"
Zeile 196:		Zeile 195:
	\|-		\|-
	\| b \|\| sind die Hash-Daten der im h=-Tag aufgeführten Header; dieser Hash wird auch als DKIM-Signatur bezeichnet und in Base64 kodiert		\| b \|\| sind die Hash-Daten der im h=-Tag aufgeführten Header; dieser Hash wird auch als DKIM-Signatur bezeichnet und in Base64 kodiert
	\| -		\|-
	\| bh \|\| ist der berechnete Hash des Nachrichtentextes. Der Wert ist eine Zeichenkette, die den durch den Hash-Algorithmus ermittelten Hashwert darstellt		\| bh \|\| ist der berechnete Hash des Nachrichtentextes. Der Wert ist eine Zeichenkette, die den durch den Hash-Algorithmus ermittelten Hashwert darstellt
	\| -		\|-
	\| d \|\| gibt die Domäne an, die mit dem Selektoreintrag (s=) verwendet wird, um den öffentlichen Schlüssel zu finden. Der Wert ist ein Domänenname, der dem Absender gehört		\| d \|\| gibt die Domäne an, die mit dem Selektoreintrag (s=) verwendet wird, um den öffentlichen Schlüssel zu finden. Der Wert ist ein Domänenname, der dem Absender gehört
	\| -		\|-
	\| h \|\| ist eine Liste von Headern, die im Signieralgorithmus verwendet werden, um den im b=-Tag gefundenen Hash zu erstellen. Die Reihenfolge der Header im h=-Tag entspricht der Reihenfolge, in der sie bei der DKIM-Signierung präsentiert wurden, und daher auch der Reihenfolge, in der sie bei der Überprüfung präsentiert werden sollten. Der Wert ist eine Liste von Header-Feldern, die sich nicht ändern oder entfernt werden		\| h \|\| ist eine Liste von Headern, die im Signieralgorithmus verwendet werden, um den im b=-Tag gefundenen Hash zu erstellen. Die Reihenfolge der Header im h=-Tag entspricht der Reihenfolge, in der sie bei der DKIM-Signierung präsentiert wurden, und daher auch der Reihenfolge, in der sie bei der Überprüfung präsentiert werden sollten. Der Wert ist eine Liste von Header-Feldern, die sich nicht ändern oder entfernt werden
	\|}		\|}

St201209: /* Absender-Authentizität */

2022-07-17T08:13:42Z

Absender-Authentizität

← Nächstältere Version		Version vom 17. Juli 2022, 08:13 Uhr
Zeile 193:		Zeile 193:
	\| k \|\| verwendete Verschlüsselung		\| k \|\| verwendete Verschlüsselung
	\|-		\|-
	\| p \|\| <öffentlicher Schlüssel>		\| p \|\| öffentlicher Schlüssel
	\|-		\|-
	\| b \|\| sind die Hash-Daten der im h=-Tag aufgeführten Header; dieser Hash wird auch als DKIM-Signatur bezeichnet und in Base64 kodiert		\| b \|\| sind die Hash-Daten der im h=-Tag aufgeführten Header; dieser Hash wird auch als DKIM-Signatur bezeichnet und in Base64 kodiert
			\| -
	\| bh \|\| ist der berechnete Hash des Nachrichtentextes. Der Wert ist eine Zeichenkette, die den durch den Hash-Algorithmus ermittelten Hashwert darstellt		\| bh \|\| ist der berechnete Hash des Nachrichtentextes. Der Wert ist eine Zeichenkette, die den durch den Hash-Algorithmus ermittelten Hashwert darstellt
			\| -
	\| d \|\| gibt die Domäne an, die mit dem Selektoreintrag (s=) verwendet wird, um den öffentlichen Schlüssel zu finden. Der Wert ist ein Domänenname, der dem Absender gehört		\| d \|\| gibt die Domäne an, die mit dem Selektoreintrag (s=) verwendet wird, um den öffentlichen Schlüssel zu finden. Der Wert ist ein Domänenname, der dem Absender gehört
			\| -
	\| h \|\| ist eine Liste von Headern, die im Signieralgorithmus verwendet werden, um den im b=-Tag gefundenen Hash zu erstellen. Die Reihenfolge der Header im h=-Tag entspricht der Reihenfolge, in der sie bei der DKIM-Signierung präsentiert wurden, und daher auch der Reihenfolge, in der sie bei der Überprüfung präsentiert werden sollten. Der Wert ist eine Liste von Header-Feldern, die sich nicht ändern oder entfernt werden		\| h \|\| ist eine Liste von Headern, die im Signieralgorithmus verwendet werden, um den im b=-Tag gefundenen Hash zu erstellen. Die Reihenfolge der Header im h=-Tag entspricht der Reihenfolge, in der sie bei der DKIM-Signierung präsentiert wurden, und daher auch der Reihenfolge, in der sie bei der Überprüfung präsentiert werden sollten. Der Wert ist eine Liste von Header-Feldern, die sich nicht ändern oder entfernt werden
	\|}		\|}

St201209: /* Absender-Authentizität */

2022-07-17T08:12:00Z

Absender-Authentizität

← Nächstältere Version		Version vom 17. Juli 2022, 08:12 Uhr
Zeile 142:		Zeile 142:
	{\| class="wikitable"		{\| class="wikitable"
	\|-		\|-
	! ~~Eintrag~~ !! Bedeutung		! Tag !! Bedeutung
	\|-		\|-
	\| v=spf1 \|\| SPF-Version 1		\| v=spf1 \|\| SPF-Version 1
Zeile 173:		Zeile 173:
	Nachfolgend sind die erforderlichen Tags eines DKIM-Signatur-Headers aufgeführt. DKIM-Signaturen, bei denen diese Tags fehlen, führen zu einem Fehler während des Verifizierungsprozesses<ref>Vgl. Security check: in: Validity, o. D., https://help.returnpath.com/hc/en-us/articles/222438487-DKIM-signature-header-detail (abgerufen am 17.07.2022).</ref>.		Nachfolgend sind die erforderlichen Tags eines DKIM-Signatur-Headers aufgeführt. DKIM-Signaturen, bei denen diese Tags fehlen, führen zu einem Fehler während des Verifizierungsprozesses<ref>Vgl. Security check: in: Validity, o. D., https://help.returnpath.com/hc/en-us/articles/222438487-DKIM-signature-header-detail (abgerufen am 17.07.2022).</ref>.

	v= gibt die Version der Signaturspezifikation an. Der Wert sollte immer auf 1 gesetzt werden.		{\| class="wikitable"
	a= gibt den Algorithmus an, der zur Erzeugung der Signatur verwendet wird. Der Wert sollte rsa-sha256 sein. Absender mit geringeren CPU-Kapazitäten können rsa-sha1 verwenden. Von der Verwendung von rsa-sha1 wird jedoch wegen möglicher Sicherheitsrisiken abgeraten.		\|-
	s= gibt den Namen des Selektoreintrags an, der zusammen mit der Domäne verwendet wird, um den öffentlichen Schlüssel im DNS zu finden. Der Wert ist ein vom Absender erstellter Name oder eine Nummer.		! Tag !! Bedeutung
			\|-
			\| v \|\| gibt die Version der Signaturspezifikation an. Der Wert sollte immer auf 1 gesetzt werden
			\|-
			\| a \|\| gibt den Algorithmus an, der zur Erzeugung der Signatur verwendet wird. Der Wert sollte rsa-sha256 sein. Absender mit geringeren CPU-Kapazitäten können rsa-sha1 verwenden. Von der Verwendung von rsa-sha1 wird jedoch wegen möglicher Sicherheitsrisiken abgeraten
			\|-
			\| s \|\| gibt den Namen des Selektoreintrags an, der zusammen mit der Domäne verwendet wird, um den öffentlichen Schlüssel im DNS zu finden. Der Wert ist ein vom Absender erstellter Name oder eine Nummer
			\|}

	Die weiteren Tags der DKIM sind:		Die weiteren Tags der DKIM sind:

	k~~=rsa;~~ p=<öffentlicher Schlüssel>
	b= sind die Hash-Daten der im h=-Tag aufgeführten Header; dieser Hash wird auch als DKIM-Signatur bezeichnet und in Base64 kodiert.		{\| class="wikitable"
	bh= ist der berechnete Hash des Nachrichtentextes. Der Wert ist eine Zeichenkette, die den durch den Hash-Algorithmus ermittelten Hashwert darstellt.		\|-
	d= gibt die Domäne an, die mit dem Selektoreintrag (s=) verwendet wird, um den öffentlichen Schlüssel zu finden. Der Wert ist ein Domänenname, der dem Absender gehört.		! Tag !! Bedeutung
	h= ist eine Liste von Headern, die im Signieralgorithmus verwendet werden, um den im b=-Tag gefundenen Hash zu erstellen. Die Reihenfolge der Header im h=-Tag entspricht der Reihenfolge, in der sie bei der DKIM-Signierung präsentiert wurden, und daher auch der Reihenfolge, in der sie bei der Überprüfung präsentiert werden sollten. Der Wert ist eine Liste von Header-Feldern, die sich nicht ändern oder entfernt werden.		\|-
			\| k \|\| verwendete Verschlüsselung
			\|-
			\| p \|\| <öffentlicher Schlüssel>
			\|-
			\| b \|\| sind die Hash-Daten der im h=-Tag aufgeführten Header; dieser Hash wird auch als DKIM-Signatur bezeichnet und in Base64 kodiert
			\| bh \|\| ist der berechnete Hash des Nachrichtentextes. Der Wert ist eine Zeichenkette, die den durch den Hash-Algorithmus ermittelten Hashwert darstellt
			\| d \|\| gibt die Domäne an, die mit dem Selektoreintrag (s=) verwendet wird, um den öffentlichen Schlüssel zu finden. Der Wert ist ein Domänenname, der dem Absender gehört
			\| h \|\| ist eine Liste von Headern, die im Signieralgorithmus verwendet werden, um den im b=-Tag gefundenen Hash zu erstellen. Die Reihenfolge der Header im h=-Tag entspricht der Reihenfolge, in der sie bei der DKIM-Signierung präsentiert wurden, und daher auch der Reihenfolge, in der sie bei der Überprüfung präsentiert werden sollten. Der Wert ist eine Liste von Header-Feldern, die sich nicht ändern oder entfernt werden
			\|}

	Hier ist ein Beispiel für einen DNS-Selektoreintrag (siehe o.g. Tag "s"). Die in diesem Beispiel gezeigten Tags erscheinen nur in einem solchen Datensatz innerhalb des DNS und nicht im E-Mail-Header selbst:		Hier ist ein Beispiel für einen DNS-Selektoreintrag (siehe o.g. Tag "s"). Die in diesem Beispiel gezeigten Tags erscheinen nur in einem solchen Datensatz innerhalb des DNS und nicht im E-Mail-Header selbst:

St210638: /* Absender-Authentizität */

2022-07-17T08:08:05Z

Absender-Authentizität

← Nächstältere Version		Version vom 17. Juli 2022, 08:08 Uhr
Zeile 159:		Zeile 159:
	'''DomainKeys Identified Mail'''		'''DomainKeys Identified Mail'''

	Eine weitere Möglichkeit der Authentizitäts- und Integritäts-Prüfung sind Domain Keys Identified Mail (kurz DKIM), bei der der sendende Mail-Server der E-Mail eine digitale Signatur beifügt. Die Signatur ~~(bh)~~ besteht aus dem Hash-Wert der zu sendenden E-Mail, welcher mit dem privaten Schlüssel des Absenders verschlüsselt wird. Anschließend kann der empfangende Mail-Server mit dem öffentlichen Schlüssel ~~(b)~~ sowohl die Authentizität des Absenders als auch die Integrität der Nachricht sicherstellen.<ref>Vgl. DKIM (DomainKeys Identified Mail) einrichten für eine bessere E-Mail-Zustellbarkeit: in: Digital Guide IONOS, 24.01.2020, https://www.ionos.de/digitalguide/e-mail/e-mail-sicherheit/dkim-domainkeys/ (abgerufen am 17.07.2022).</ref>		Eine weitere Möglichkeit der Authentizitäts- und Integritäts-Prüfung sind Domain Keys Identified Mail (kurz DKIM), bei der der sendende Mail-Server der E-Mail eine digitale Signatur beifügt. Die Signatur besteht aus dem Hash-Wert der zu sendenden E-Mail, welcher mit dem privaten Schlüssel des Absenders verschlüsselt wird. Anschließend kann der empfangende Mail-Server mit dem öffentlichen Schlüssel sowohl die Authentizität des Absenders als auch die Integrität der Nachricht sicherstellen.<ref>Vgl. DKIM (DomainKeys Identified Mail) einrichten für eine bessere E-Mail-Zustellbarkeit: in: Digital Guide IONOS, 24.01.2020, https://www.ionos.de/digitalguide/e-mail/e-mail-sicherheit/dkim-domainkeys/ (abgerufen am 17.07.2022).</ref>

	Beispiel eines DKIM-Eintrags von GMX im E-Mail-Header der vorherig aufgeführten Werbe-Mail:		Beispiel eines DKIM-Eintrags von GMX im E-Mail-Header der vorherig aufgeführten Werbe-Mail:

St201209: /* Absender-Authentizität */

2022-07-17T08:06:54Z

Absender-Authentizität

← Nächstältere Version		Version vom 17. Juli 2022, 08:06 Uhr
Zeile 159:		Zeile 159:
	'''DomainKeys Identified Mail'''		'''DomainKeys Identified Mail'''

	Eine weitere Möglichkeit der Authentizitäts- und Integritäts-Prüfung sind Domain Keys Identified Mail (kurz: DKIM), bei der der sendende Mail-Server der E-Mail eine digitale Signatur beifügt. Die Signatur (bh) besteht aus dem Hash-Wert der zu sendenden E-Mail, welcher mit dem privaten Schlüssel des Absenders verschlüsselt wird. Anschließend kann der empfangende Mail-Server mit dem öffentlichen Schlüssel (b) sowohl die Authentizität des Absenders als auch die Integrität der Nachricht sicherstellen.<ref>Vgl. DKIM (DomainKeys Identified Mail) einrichten für eine bessere E-Mail-Zustellbarkeit: in: Digital Guide IONOS, 24.01.2020, https://www.ionos.de/digitalguide/e-mail/e-mail-sicherheit/dkim-domainkeys/ (abgerufen am 17.07.2022).</ref>		Eine weitere Möglichkeit der Authentizitäts- und Integritäts-Prüfung sind Domain Keys Identified Mail (kurz DKIM), bei der der sendende Mail-Server der E-Mail eine digitale Signatur beifügt. Die Signatur (bh) besteht aus dem Hash-Wert der zu sendenden E-Mail, welcher mit dem privaten Schlüssel des Absenders verschlüsselt wird. Anschließend kann der empfangende Mail-Server mit dem öffentlichen Schlüssel (b) sowohl die Authentizität des Absenders als auch die Integrität der Nachricht sicherstellen.<ref>Vgl. DKIM (DomainKeys Identified Mail) einrichten für eine bessere E-Mail-Zustellbarkeit: in: Digital Guide IONOS, 24.01.2020, https://www.ionos.de/digitalguide/e-mail/e-mail-sicherheit/dkim-domainkeys/ (abgerufen am 17.07.2022).</ref>

	Beispiel eines DKIM-Eintrags von GMX im E-Mail-Header der vorherig aufgeführten Werbe-Mail:		Beispiel eines DKIM-Eintrags von GMX im E-Mail-Header der vorherig aufgeführten Werbe-Mail:

St201209: /* Absender-Authentizität */

2022-07-17T08:06:22Z

Absender-Authentizität

← Nächstältere Version		Version vom 17. Juli 2022, 08:06 Uhr
Zeile 174:		Zeile 174:

	v= gibt die Version der Signaturspezifikation an. Der Wert sollte immer auf 1 gesetzt werden.		v= gibt die Version der Signaturspezifikation an. Der Wert sollte immer auf 1 gesetzt werden.
	a= gibt den Algorithmus an, der zur Erzeugung der Signatur verwendet wird. Der Wert sollte rsa-sha256 sein. Absender mit		a= gibt den Algorithmus an, der zur Erzeugung der Signatur verwendet wird. Der Wert sollte rsa-sha256 sein. Absender mit geringeren CPU-Kapazitäten können rsa-sha1 verwenden. Von der Verwendung von rsa-sha1 wird jedoch wegen möglicher Sicherheitsrisiken abgeraten.
	geringeren CPU-Kapazitäten können rsa-sha1 verwenden. Von der Verwendung von rsa-sha1 wird jedoch wegen möglicher		s= gibt den Namen des Selektoreintrags an, der zusammen mit der Domäne verwendet wird, um den öffentlichen Schlüssel im DNS zu finden. Der Wert ist ein vom Absender erstellter Name oder eine Nummer.
	Sicherheitsrisiken abgeraten.
	s= gibt den Namen des Selektoreintrags an, der zusammen mit der Domäne verwendet wird, um den öffentlichen Schlüssel im		Die weiteren Tags der DKIM sind:
	DNS zu finden. Der Wert ist ein vom Absender erstellter Name oder eine Nummer.
	~~Hier ist ein Beispiel für einen DNS-Selektoreintrag.~~ Die ~~in diesem Beispiel gezeigten~~ Tags ~~erscheinen nur in diesem~~
	~~Datensatz innerhalb von DNS und nicht in~~ der ~~E-Mail-Kopfzeile selbst~~: ~~<selector(s=)._domainkey.domain(d=)>. TXT v=DKIM1;~~
	k=rsa; p=<öffentlicher Schlüssel>		k=rsa; p=<öffentlicher Schlüssel>
	b= sind die Hash-Daten der im h=-Tag aufgeführten Header; dieser Hash wird auch als DKIM-Signatur bezeichnet und in Base64		b= sind die Hash-Daten der im h=-Tag aufgeführten Header; dieser Hash wird auch als DKIM-Signatur bezeichnet und in Base64 kodiert.
	kodiert.		bh= ist der berechnete Hash des Nachrichtentextes. Der Wert ist eine Zeichenkette, die den durch den Hash-Algorithmus ermittelten Hashwert darstellt.
	bh= ist der berechnete Hash des Nachrichtentextes. Der Wert ist eine Zeichenkette, die den durch den Hash-Algorithmus		d= gibt die Domäne an, die mit dem Selektoreintrag (s=) verwendet wird, um den öffentlichen Schlüssel zu finden. Der Wert ist ein Domänenname, der dem Absender gehört.
	ermittelten Hashwert darstellt.		h= ist eine Liste von Headern, die im Signieralgorithmus verwendet werden, um den im b=-Tag gefundenen Hash zu erstellen. Die Reihenfolge der Header im h=-Tag entspricht der Reihenfolge, in der sie bei der DKIM-Signierung präsentiert wurden, und daher auch der Reihenfolge, in der sie bei der Überprüfung präsentiert werden sollten. Der Wert ist eine Liste von Header-Feldern, die sich nicht ändern oder entfernt werden.
	d= gibt die Domäne an, die mit dem Selektoreintrag (s=) verwendet wird, um den öffentlichen Schlüssel zu finden. Der Wert
	ist ein Domänenname, der dem Absender gehört.		Hier ist ein Beispiel für einen DNS-Selektoreintrag (siehe o.g. Tag "s"). Die in diesem Beispiel gezeigten Tags erscheinen nur in einem solchen Datensatz innerhalb des DNS und nicht im E-Mail-Header selbst:
	h= ist eine Liste von Headern, die im Signieralgorithmus verwendet werden, um den im b=-Tag gefundenen Hash zu erstellen.
	Die Reihenfolge der Header im h=-Tag entspricht der Reihenfolge, in der sie bei der DKIM-Signierung präsentiert wurden,		<selector(s=)._domainkey.domain(d=)>. TXT v=DKIM1;
	und daher auch der Reihenfolge, in der sie bei der Überprüfung präsentiert werden sollten. Der Wert ist eine Liste von
	Header-Feldern, die sich nicht ändern oder entfernt werden.

	Ein solcher DKIM-Eintrag lässt sich online mit dem [https://easydmarc.com/tools/dkim-lookup DKIM Record Checker] überprüfen.		Ein solcher DKIM-Eintrag lässt sich online mit dem [https://easydmarc.com/tools/dkim-lookup DKIM Record Checker] überprüfen.

St201209: /* Absender-Authentizität */

2022-07-17T08:02:09Z

Absender-Authentizität

St210638: /* Absender-Authentizität */

2022-07-17T08:00:21Z

Absender-Authentizität

← Nächstältere Version		Version vom 17. Juli 2022, 08:00 Uhr
Zeile 172:		Zeile 172:

	Ein solcher DKIM-Eintrag lässt sich online mit dem [https://easydmarc.com/tools/dkim-lookup DKIM Record Checker] überprüfen.		Ein solcher DKIM-Eintrag lässt sich online mit dem [https://easydmarc.com/tools/dkim-lookup DKIM Record Checker] überprüfen.

			Erforderliche Tags

			Nachfolgend sind die erforderlichen Tags eines DKIM-Signatur-Headers aufgeführt. DKIM-Signaturen, bei denen diese Tags fehlen, führen zu einem Fehler während des Verifizierungsprozesses.

			v= gibt die Version der Signaturspezifikation an. Der Wert sollte immer auf 1 gesetzt werden.

			a= gibt den Algorithmus an, der zur Erzeugung der Signatur verwendet wird. Der Wert sollte rsa-sha256 sein. Absender mit
			geringeren CPU-Kapazitäten können rsa-sha1 verwenden. Von der Verwendung von rsa-sha1 wird jedoch wegen möglicher
			Sicherheitsrisiken abgeraten.

			s= gibt den Namen des Selektoreintrags an, der zusammen mit der Domäne verwendet wird, um den öffentlichen Schlüssel im
			DNS
			zu finden. Der Wert ist ein vom Absender erstellter Name oder eine Nummer.

			Hier ist ein Beispiel für einen DNS-Selektoreintrag. Die in diesem Beispiel gezeigten Tags erscheinen nur in diesem
			Datensatz innerhalb von DNS und nicht in der E-Mail-Kopfzeile selbst: <selector(s=)._domainkey.domain(d=)>. TXT v=DKIM1;
			k=rsa; p=<öffentlicher Schlüssel>

			b= sind die Hash-Daten der im h=-Tag aufgeführten Header; dieser Hash wird auch als DKIM-Signatur bezeichnet und in Base64
			kodiert.

			bh= ist der berechnete Hash des Nachrichtentextes. Der Wert ist eine Zeichenkette, die den durch den Hash-Algorithmus
			ermittelten Hashwert darstellt.

			d= gibt die Domäne an, die mit dem Selektoreintrag (s=) verwendet wird, um den öffentlichen Schlüssel zu finden. Der Wert
			ist ein Domänenname, der dem Absender gehört.

			h= ist eine Liste von Headern, die im Signieralgorithmus verwendet werden, um den im b=-Tag gefundenen Hash zu erstellen.
			Die Reihenfolge der Header im h=-Tag entspricht der Reihenfolge, in der sie bei der DKIM-Signierung präsentiert wurden,
			und daher auch der Reihenfolge, in der sie bei der Überprüfung präsentiert werden sollten. Der Wert ist eine Liste von
			Header-Feldern, die sich nicht ändern oder entfernt werden.

	== Rechtliche Besonderheiten ==		== Rechtliche Besonderheiten ==

← Nächstältere Version		Version vom 17. Juli 2022, 08:22 Uhr
Zeile 124:		Zeile 124:
	Daraus resultiert, dass sich die vorgenannte IP-Adresse im Adressbereich des deutschen Providers 1&1 IONOS SE befindet.		Daraus resultiert, dass sich die vorgenannte IP-Adresse im Adressbereich des deutschen Providers 1&1 IONOS SE befindet.

	Die o.a. manuelle Auswertung von E-Mail-Headern ist aufgrund des unübersichtlichen Quelltextes umständlich. Daher ist der Einsatz von freien Analyse-Tools, wie bspw. dieser deutschsprachige [https://gaijin.at/de/tools/e-mail-header-analyzer E-Mail Header ~~Anazlyzer~~], sinnvoll. In diese wird der E-Mail-Header kopiert, sodass die nötigen Informationen übersichtlich dargestellt werden.		Die o.a. manuelle Auswertung von E-Mail-Headern ist aufgrund des unübersichtlichen Quelltextes umständlich. Daher ist der Einsatz von freien Analyse-Tools, wie bspw. dieser deutschsprachige [https://gaijin.at/de/tools/e-mail-header-analyzer E-Mail Header Analyzer], sinnvoll. In diese wird der E-Mail-Header kopiert, sodass die nötigen Informationen übersichtlich dargestellt werden.

	== Absender-Authentizität ==		== Absender-Authentizität ==

	Für die Auswertung ist aufgrund möglicher Identitätsverfälschungen von Interesse, ob der Absender authentisch ist. Hierzu gibt es ~~mehrere~~ Verfahren, ~~die aus~~ E-Mail Headern ~~ausgelesen werden können~~.		Für die Auswertung ist aufgrund möglicher Identitätsverfälschungen von Interesse, ob der Absender authentisch ist. Hierzu gibt es mit DKIM ein Verfahren, das auf E-Mail Headern basiert.

	'''DomainKeys Identified Mail'''		'''DomainKeys Identified Mail'''
Zeile 137:		Zeile 137:

	DKIM-Signature: v=1; a=rsa-sha256; c=relaxed/simple; d=mailings.gmx.net;		DKIM-Signature: v=1; a=rsa-sha256; c=relaxed/simple; d=mailings.gmx.net;
	s=isystem1; t=1656586043;		s=isystem1; t=1656586043;
	bh=zi4FqYIdpIwcsf+sK0WA75BbiA5zVTCs/dPw6mK+63Y=;		bh=zi4FqYIdpIwcsf+sK0WA75BbiA5zVTCs/dPw6mK+63Y=;
	h=X-UI-Sender-Class:Date:To:From:Reply-To:Subject;		h=X-UI-Sender-Class:Date:To:From:Reply-To:Subject;
	b=D/x4ENmFX26x0Yfir0uzyaDldP00MNpErNvYpU8FKs6E+QxC5a8hvWuvZNBvMkEp3		b=D/x4ENmFX26x0Yfir0uzyaDldP00MNpErNvYpU8FKs6E+QxC5a8hvWuvZNBvMkEp3
	Jaui124uVl4eqGhgwHeeRht2KGErlPr90RwShXzHDTutfK8dE8iB8/Vnh/MUyWdJzE		Jaui124uVl4eqGhgwHeeRht2KGErlPr90RwShXzHDTutfK8dE8iB8/Vnh/MUyWdJzE
	AGicEqtR+Sbb3GA5tI0TjuT8AHeu2SjfW1+6pnPM=		AGicEqtR+Sbb3GA5tI0TjuT8AHeu2SjfW1+6pnPM=

	Nachfolgend sind die erforderlichen Tags eines DKIM-Signatur-Headers aufgeführt. DKIM-Signaturen, bei denen diese Tags fehlen, führen zu einem Fehler während des Verifizierungsprozesses<ref>Vgl. Security check: in: Validity, o. D., https://help.returnpath.com/hc/en-us/articles/222438487-DKIM-signature-header-detail (abgerufen am 17.07.2022).</ref>.		Nachfolgend sind die erforderlichen Tags eines DKIM-Signatur-Headers aufgeführt. DKIM-Signaturen, bei denen diese Tags fehlen, führen zu einem Fehler während des Verifizierungsprozesses<ref>Vgl. Security check: in: Validity, o. D., https://help.returnpath.com/hc/en-us/articles/222438487-DKIM-signature-header-detail (abgerufen am 17.07.2022).</ref>.

← Nächstältere Version		Version vom 17. Juli 2022, 08:02 Uhr
Zeile 138:		Zeile 138:
	example.net. TXT "v=spf1 mx a:pluto.example.net include:aspmx.googlemail.com -all"		example.net. TXT "v=spf1 mx a:pluto.example.net include:aspmx.googlemail.com -all"

	Die verschiedenen ~~Teile~~ dieses Eintrags sind dabei wie folgt zu deuten:		Die verschiedenen Tags dieses Eintrags sind dabei wie folgt zu deuten:

	{\| class="wikitable"		{\| class="wikitable"
Zeile 171:		Zeile 171:
	AGicEqtR+Sbb3GA5tI0TjuT8AHeu2SjfW1+6pnPM=		AGicEqtR+Sbb3GA5tI0TjuT8AHeu2SjfW1+6pnPM=

	~~Ein solcher DKIM-Eintrag lässt sich online mit dem [https://easydmarc.com/tools/dkim-lookup DKIM Record Checker] überprüfen.~~		Nachfolgend sind die erforderlichen Tags eines DKIM-Signatur-Headers aufgeführt. DKIM-Signaturen, bei denen diese Tags fehlen, führen zu einem Fehler während des Verifizierungsprozesses<ref>Vgl. Security check: in: Validity, o. D., https://help.returnpath.com/hc/en-us/articles/222438487-DKIM-signature-header-detail (abgerufen am 17.07.2022).</ref>.

	~~Erforderliche Tags~~

	Nachfolgend sind die erforderlichen Tags eines DKIM-Signatur-Headers aufgeführt. DKIM-Signaturen, bei denen diese Tags fehlen, führen zu einem Fehler während des Verifizierungsprozesses.

	v= gibt die Version der Signaturspezifikation an. Der Wert sollte immer auf 1 gesetzt werden.		v= gibt die Version der Signaturspezifikation an. Der Wert sollte immer auf 1 gesetzt werden.

	a= gibt den Algorithmus an, der zur Erzeugung der Signatur verwendet wird. Der Wert sollte rsa-sha256 sein. Absender mit		a= gibt den Algorithmus an, der zur Erzeugung der Signatur verwendet wird. Der Wert sollte rsa-sha256 sein. Absender mit
	geringeren CPU-Kapazitäten können rsa-sha1 verwenden. Von der Verwendung von rsa-sha1 wird jedoch wegen möglicher		geringeren CPU-Kapazitäten können rsa-sha1 verwenden. Von der Verwendung von rsa-sha1 wird jedoch wegen möglicher
	Sicherheitsrisiken abgeraten.		Sicherheitsrisiken abgeraten.

	s= gibt den Namen des Selektoreintrags an, der zusammen mit der Domäne verwendet wird, um den öffentlichen Schlüssel im		s= gibt den Namen des Selektoreintrags an, der zusammen mit der Domäne verwendet wird, um den öffentlichen Schlüssel im
	DNS		DNS zu finden. Der Wert ist ein vom Absender erstellter Name oder eine Nummer.
	zu finden. Der Wert ist ein vom Absender erstellter Name oder eine Nummer.

	Hier ist ein Beispiel für einen DNS-Selektoreintrag. Die in diesem Beispiel gezeigten Tags erscheinen nur in diesem		Hier ist ein Beispiel für einen DNS-Selektoreintrag. Die in diesem Beispiel gezeigten Tags erscheinen nur in diesem
	Datensatz innerhalb von DNS und nicht in der E-Mail-Kopfzeile selbst: <selector(s=)._domainkey.domain(d=)>. TXT v=DKIM1;		Datensatz innerhalb von DNS und nicht in der E-Mail-Kopfzeile selbst: <selector(s=)._domainkey.domain(d=)>. TXT v=DKIM1;
	k=rsa; p=<öffentlicher Schlüssel>		k=rsa; p=<öffentlicher Schlüssel>

	b= sind die Hash-Daten der im h=-Tag aufgeführten Header; dieser Hash wird auch als DKIM-Signatur bezeichnet und in Base64		b= sind die Hash-Daten der im h=-Tag aufgeführten Header; dieser Hash wird auch als DKIM-Signatur bezeichnet und in Base64
	kodiert.		kodiert.

	bh= ist der berechnete Hash des Nachrichtentextes. Der Wert ist eine Zeichenkette, die den durch den Hash-Algorithmus		bh= ist der berechnete Hash des Nachrichtentextes. Der Wert ist eine Zeichenkette, die den durch den Hash-Algorithmus
	ermittelten Hashwert darstellt.		ermittelten Hashwert darstellt.

	d= gibt die Domäne an, die mit dem Selektoreintrag (s=) verwendet wird, um den öffentlichen Schlüssel zu finden. Der Wert		d= gibt die Domäne an, die mit dem Selektoreintrag (s=) verwendet wird, um den öffentlichen Schlüssel zu finden. Der Wert
	ist ein Domänenname, der dem Absender gehört.		ist ein Domänenname, der dem Absender gehört.

	h= ist eine Liste von Headern, die im Signieralgorithmus verwendet werden, um den im b=-Tag gefundenen Hash zu erstellen.		h= ist eine Liste von Headern, die im Signieralgorithmus verwendet werden, um den im b=-Tag gefundenen Hash zu erstellen.
	Die Reihenfolge der Header im h=-Tag entspricht der Reihenfolge, in der sie bei der DKIM-Signierung präsentiert wurden,		Die Reihenfolge der Header im h=-Tag entspricht der Reihenfolge, in der sie bei der DKIM-Signierung präsentiert wurden,
	und daher auch der Reihenfolge, in der sie bei der Überprüfung präsentiert werden sollten. Der Wert ist eine Liste von		und daher auch der Reihenfolge, in der sie bei der Überprüfung präsentiert werden sollten. Der Wert ist eine Liste von
	Header-Feldern, die sich nicht ändern oder entfernt werden.		Header-Feldern, die sich nicht ändern oder entfernt werden.

			Ein solcher DKIM-Eintrag lässt sich online mit dem [https://easydmarc.com/tools/dkim-lookup DKIM Record Checker] überprüfen.

	== Rechtliche Besonderheiten ==		== Rechtliche Besonderheiten ==