Primera mirada a DKIM2: la nueva generación de DKIM

En 2011, se publicó el estándar original DomainKeys Identified Mail (DKIM1). Este describía un método que permite a un dominio firmar correos electrónicos, permitiendo a los destinatarios verificar que el correo se originó en una entidad que posee una clave privada que coincide con la clave pública publicada en los registros DNS del dominio.

Ahora en 2024, DKIM está listo para una renovación, con la introducción de DKIM2, diseñado para actualizar y reemplazar la solución DKIM1 existente.

DKIM es un protocolo actualmente definido por RFC 6376 que utiliza hashes criptográficos para verificar que un correo electrónico se originó en, o pasó a través del servidor de correo declarado, y que no ha sido alterado posteriormente durante el tránsito.

Esto se logra mediante encriptación asimétrica, que combina una clave pública y una privada. La clave privada la mantiene de forma segura el servidor de correo del remitente y se utiliza para crear una firma digital en el correo electrónico. Mientras tanto, la clave pública se publica en los registros DNS del remitente, haciéndola accesible para que los destinatarios verifiquen la autenticidad de los mensajes recibidos.

Cuando se envía un correo electrónico, los encabezados y el cuerpo se firman con la clave privada para generar una firma digital única incluida como encabezado en el mensaje. Del lado del destinatario, si DKIM es compatible, el servidor recupera la clave pública del DNS del remitente para comprobar si el correo fue genuinamente firmado por el dominio del remitente. Una verificación de firma exitosa confirma que el mensaje fue enviado efectivamente por el dominio identificado y que su contenido permaneció intacto durante el tránsito. Vale la pena recordar que DKIM en sí mismo no bloquea ni permite ningún correo; DMARC hace esto en conjunto con la aprobación de la firma DKIM y la alineación del dominio de la firma.

DKIM2 es el sucesor propuesto de DomainKeys Identified Mail (DKIM1). Construido sobre la base de DKIM1, DKIM2 introduce estándares criptográficos más sólidos y una mejor compatibilidad con servidores de correo intermediarios que reenvían correos electrónicos o los manipulan de alguna manera. Estas mejoras aumentan la fiabilidad de la autenticación de correo electrónico, ayudando a prevenir la suplantación de identidad (spoofing) y los ataques de phishing, al mismo tiempo que facilitan a las organizaciones la protección de sus dominios en un panorama digital cada vez más complejo.

Además de las funciones de seguridad mejoradas, DKIM2 simplifica la gestión de claves, permitiendo una rotación más fácil y frecuente de las claves criptográficas para mantener los estándares de seguridad. También mejora los informes y la transparencia, permitiendo a las organizaciones monitorear el tráfico de correo electrónico de manera más eficaz e identificar rápidamente cualquier uso no autorizado de su dominio. Estas mejoras convierten a DKIM2 en una herramienta valiosa para las organizaciones que buscan fortalecer la seguridad del correo electrónico y reducir el riesgo de mensajes fraudulentos.

DKIM2 ofrecerá a las organizaciones varias ventajas sobre DKIM1 al abordar algunas de las limitaciones del protocolo original, haciendo que la autenticación de correo electrónico sea más segura y adaptable a los ecosistemas de correo electrónico modernos. Estas son algunas formas clave en que DKIM2 mejora el soporte para las organizaciones:

1. Estándares criptográficos mejorados: DKIM2 introduce algoritmos criptográficos más sólidos, reduciendo las vulnerabilidades ante ataques avanzados y proporcionando una mejor protección para dominios de correo electrónico de alto volumen y organizaciones que manejan información sensible. También reduce los cálculos criptográficos en grandes proveedores de correo al verificar solo la primera firma si el mensaje no fue alterado.
2. Flexibilidad y resiliencia ante reenviadores: DKIM2 introduce un punto clave para ayudar a mitigar y aumentar la resiliencia frente al reenvío por intermediarios, como las listas de correo. DKIM2 solicitará a las listas de correo u otros reenviadores que alteren cualquier encabezado que registren el contenido anterior del encabezado para poder deshacerlo con fines de verificación. Junto con las firmas numeradas, esto facilita la verificación del correo electrónico en cada paso.
3. Mayor transparencia e informes: DKIM2 incluye capacidades de informes ampliadas, permitiendo a las organizaciones recibir información detallada sobre los fallos de autenticación relacionados con DKIM y conocimientos sobre posibles usos indebidos a través de bucles de retroalimentación. Esto ayuda a monitorear y responder rápidamente al uso no autorizado de sus dominios.
4. Gestión y rotación de claves mejorada: DKIM2 proporciona prácticas simplificadas de rotación de claves, facilitando a las organizaciones actualizar regularmente sus claves criptográficas y minimizar los riesgos asociados con claves comprometidas u obsoletas.

En resumen, DKIM2 está diseñado para ofrecer mayor resiliencia, seguridad y facilidad operativa, convirtiéndolo en una solución más robusta para proteger los dominios de correo electrónico organizacionales frente a las amenazas modernas del correo electrónico. Aunque todavía está en borrador y sujeto a cambios, DKIM2 traerá pronto muchos beneficios mejorados para los usuarios.

Si buscas mejorar la seguridad de tu correo electrónico, habla hoy con el equipo de Red Sift.