Quanto sono ampiamente supportate le chiavi DKIM Ed25519 e quanti provider accettano ancora chiavi deboli?

L'autenticazione email si sta evolvendo, e le chiavi DKIM Ed25519 promettono chiari vantaggi rispetto alle tradizionali RSA: chiavi più piccole, verifica più veloce e garanzie crittografiche più solide. Ma questi vantaggi contano solo se i provider di caselle di posta supportano effettivamente lo standard. Per scoprirlo, Red Sift ha analizzato il comportamento DKIM sulle principali piattaforme email per rispondere a domande critiche per gli amministratori di posta: le chiavi Ed25519 possono essere implementate oggi in sicurezza senza rischiare fallimenti di autenticazione?

Abbiamo anche testato come i provider gestiscono le chiavi DKIM deboli, incluse le chiavi RSA sotto i 1024 bit che dovrebbero essere rifiutate, per vedere dove permangono lacune critiche di sicurezza. I risultati mostrano quali provider hanno abbracciato la crittografia moderna, quali sono in ritardo, e cosa questo significa per la vostra strategia di sicurezza email.

Ed25519 è un algoritmo di firma a curva ellittica moderno che offre notevoli vantaggi rispetto alle tradizionali chiavi RSA per DKIM. Mentre RSA-2048 utilizza chiavi a 2048 bit, Ed25519 raggiunge una sicurezza equivalente o superiore con soli 256 bit—una riduzione di 8 volte particolarmente preziosa per i record DNS dove lo spazio è limitato.

La verifica delle firme Ed25519 è anche 10-20 volte più veloce rispetto a RSA-2048, riducendo il carico computazionale per i provider di caselle di posta che elaborano grandi volumi di email. L'algoritmo fornisce circa 128 bit di sicurezza (paragonabile a RSA-3072) ed è resistente per progettazione agli attacchi di temporizzazione, eliminando una vulnerabilità comune nelle implementazioni RSA.

Abbiamo testato 19 dei principali provider di caselle di posta inviando email firmate con cinque diverse configurazioni di chiavi DKIM:

• RSA a 512 bit (crittograficamente debole, fattorizzabile in poche ore)
• RSA a 768 bit (debole, fattorizzabile in mesi con risorse moderate)
• RSA a 1536 bit (accettabile, ma non standard)
• RSA a 4096 bit (forte, potenzialmente costoso dal punto di vista computazionale)
• Ed25519 (curva ellittica a 256 bit, standard moderno)

Ogni provider ha ricevuto email di test dal dominio dkim.testsift.com con i corrispondenti selettori DKIM. Abbiamo poi esaminato gli header Authentication-Results, o altri header proprietari dei provider, per determinare se le firme superavano, fallivano o venivano rifiutate per motivi di policy.

Solo 9 provider su 19 (47%) validano con successo le firme DKIM Ed25519:

• Fastmail
• GMX
• HEY
• Hostpoint
• LaPoste (FR)
• MXroute
• Migadu
• Proton Mail
• Soverin

La scoperta più preoccupante: Gmail, Microsoft 365 e Yahoo (che insieme gestiscono la maggior parte del traffico email globale) non supportano Ed25519. Questo rende rischiosa un'implementazione diffusa di Ed25519 per i domini che si basano su policy DMARC, poiché una validazione DKIM fallita contribuisce ai fallimenti DMARC.

Mentre il 68% dei provider rifiuta correttamente le chiavi crittograficamente deboli (RSA a 512 e 768 bit), 6 provider le accettano ancora:

• HEY – Supera sia le firme a 512 bit che a 768 bit
• LaPoste (FR) – Accetta chiavi deboli con stato di “firma valida”
• Migadu – Nessuna validazione della lunghezza della chiave
• Proofpoint Essentials – Valida firme deboli
• Soverin – Supera le firme indipendentemente dalla forza della chiave
• mailbox.org – Accetta chiavi a 512 e 768 bit

Questi provider creano una vulnerabilità di sicurezza. Una chiave RSA a 512 bit può essere fattorizzata in poche ore utilizzando hardware comune, permettendo agli attaccanti di falsificare firme DKIM per qualsiasi dominio che utilizzi chiavi deboli. Anche le chiavi a 768 bit sono vulnerabili; sono state fattorizzate pubblicamente nel 2009.

I seguenti 13 provider rifiutano correttamente le chiavi sotto i 1024 bit, applicando standard di sicurezza minimi:

• Comcast – “signing key too small”
• Fastmail – “Key length 512/768 too short”
• GMX – Fallimento esplicito su chiavi deboli
• Gmail – “policy (weak key)”
• Hostpoint – “public key too short”
• Microsoft 365 – “ignored public key size” (trattato come violazione di policy)
• MXroute – “pubkey_too_short”
• MailChannels – Restituisce temperror per chiavi deboli
• Proton Mail – “signing key too small” con segnalazione della lunghezza in bit
• Rackspace – “signing key too small”
• Tuta – “key length is too short”
• Yahoo – perm_fail su chiavi deboli
• iCloud – “signing key too small” con motivo di policy

L'approccio di Gmail è particolarmente degno di nota: contrassegna esplicitamente le chiavi deboli con un risultato dkim=policy (weak key), rendendo visibile il problema di sicurezza negli header pur continuando a elaborare l'email. Questo permette agli amministratori di identificare configurazioni vulnerabili senza impatto immediato sulla consegna.

Alcune piattaforme, come Cisco CES (precedentemente IronPort), dispongono di opzioni configurabili per rifiutare o mettere in quarantena i messaggi con chiavi deboli.

Tutti i 19 provider testati hanno validato con successo sia le chiavi RSA a 1536 bit che a 4096 bit senza problemi. Questo dimostra che le preoccupazioni riguardo a problemi di compatibilità con dimensioni di chiave più grandi sono infondate. I provider non hanno alcuna difficoltà a gestire chiavi ben al di sopra del minimo di 1024 bit, incluse dimensioni non standard come 1536 bit.

L'accettazione universale delle chiavi a 4096 bit conferma che le organizzazioni possono implementare chiavi RSA più forti senza rischiare problemi di consegna, sebbene il carico computazionale sui server riceventi aumenti con la dimensione della chiave.

Solo 5 provider implementano entrambe le best practice—supportando le moderne chiavi Ed25519 e allo stesso tempo rifiutando le chiavi RSA deboli:

• Fastmail
• GMX
• Hostpoint
• MXroute
• Proton Mail

Questo crea un compromesso scomodo per gli amministratori di posta. Implementare chiavi Ed25519 rischia fallimenti di autenticazione su Gmail, Microsoft 365 e Yahoo—i tre maggiori provider per volume. Tuttavia, rimanere con RSA significa record DNS più grandi, un carico computazionale continuo per i server di posta riceventi e compatibilità con i sei provider che validerebbero anche una firma a 512 bit banalmente debole.

• Implementate RSA-2048 per la massima compatibilità
• Verificate le vostre attuali chiavi DKIM—se qualcuna è sotto i 1024 bit, ruotatela immediatamente e assicuratevi di firmare con almeno 1024 bit, preferibilmente 2048.
• Monitorate gli header Authentication-Results per identificare i provider che trattano le chiavi deboli come valide
• Per gli appassionati di email: considerate la doppia firma (RSA + Ed25519) se la vostra infrastruttura di posta lo supporta, sebbene questo aggiunga complessità e sia principalmente una novità al momento.

• L'adozione di Ed25519 sta crescendo ma rimane incompleta tra i provider di livello 1
• I tassi di fallimento DMARC potrebbero aumentare se Ed25519 viene implementato senza un'attenta analisi dei provider
• I sei provider che accettano chiavi deboli rappresentano una vulnerabilità sfruttabile nell'ecosistema email

• Il rifiuto delle chiavi deboli dovrebbe essere universale—le chiavi RSA a 512 e 768 bit sono crittograficamente compromesse
• Il supporto Ed25519 dovrebbe essere prioritario data la sua standardizzazione nell'RFC 8463 (pubblicato a settembre 2018)
• Messaggi di errore chiari (come il flag di policy per chiavi deboli di Gmail) aiutano gli amministratori a identificare e risolvere i problemi

Il panorama dell'autenticazione email mostra una divisione preoccupante. Mentre quasi la metà dei provider testati supporta le moderne firme Ed25519, i tre maggiori provider—Gmail, Microsoft 365 e Yahoo—non lo fanno, rendendo prematura un'ampia implementazione di Ed25519 per la maggior parte delle organizzazioni. Allo stesso tempo, sei provider continuano ad accettare chiavi crittograficamente deboli che avrebbero dovuto essere rifiutate anni fa, creando una lacuna sfruttabile nella sicurezza email.

Gli amministratori di posta affrontano un gioco di attesa: Ed25519 offre reali vantaggi in termini di sicurezza e prestazioni, ma implementarlo oggi significa accettare fallimenti di autenticazione presso i principali provider. Fino a quando Gmail, Microsoft e Yahoo non implementeranno l'RFC 8463, RSA-2048 o RSA-4096 rimangono l'unica scelta praticabile per la compatibilità universale. La priorità dovrebbe essere eliminare le chiavi deboli dall'ecosistema—qualsiasi dominio che utilizzi ancora chiavi DKIM sotto i 1024 bit è vulnerabile alla falsificazione delle firme e dovrebbe ruotarle immediatamente.

La strada da percorrere richiede un'azione coordinata: i provider devono implementare il supporto Ed25519 e applicare lunghezze minime delle chiavi, mentre i mittenti devono verificare le proprie configurazioni DKIM ed eliminare le chiavi deboli. Fino a un'ampia adozione di Ed25519, la promessa di una crittografia email moderna rimane parzialmente non mantenuta. Oltre a ciò, incombe l'eventuale necessità di algoritmi di firma post-quantistici—sebbene i tempi e gli standard rimangano incerti, sia RSA che Ed25519 diventeranno alla fine vulnerabili agli attacchi quantistici.