Vouch By Reference (VBR)
Заметка посвящается годовщине спецификации VBR. Посмертно...
http://www.rfc-editor.org/rfc/rfc5518.txt
Еще один "репутационный" механизм для Email. Позволяет одному домену поручиться за почту другого. Работает он так:
- Отправитель почты добавляет в письмо заголовок "VBR-Info:", в котором перечисляет домены своих поручителей, подписывает письмо вместе с заголовками DKIM-подписью и отправляет получателю.
- Получатель проверяет подпись, удостоверяется в целостности письма и подлинности домена отправителя (функция DKIM и YDK), затем по DNS опрашивает указывает серверы поручителей, действительно ли они ручаются за этого отправителя.
- Если получатель доверяет поручителю (и всей этой схеме
, то может доверять и "подозреваемому".
VBR в значительной мере повторяет идеологию X.509-сертификатов, также как DKIM/YDK заменяет S/MIME-подписи (основанные на тех же сертификатах). Отличие в обоих случаях в том, что подписывание и проверка подписей перенесена с уровня конечных пользователей на уровень домена, а в качестве глобальной службы каталогов для распределения ключей и информации об их использовании служит DNS, а не X.500-каталоги (LDAP, хотя они обычно интероперабельны с DNS).
Предложенный механизм имеет следующие организационные преимущества перед X.509:
- конечному пользователю не требуется ни понимания этой схемы, ни каких-либо действий по установке сертификатов и специального ПО;
- использование DNS гарантирует хорошее масштабирование каталога и проверку подписей в реальном времени (в пределах DNS-таймаутов) на сервере;
- относительная независимость от картеля "общепризнанных" центров X.509-сертификации (здесь будет складываться своя мафия; если конечно VBR получит распространение, что врядли); скорее всего именно этот пункт и был мотивационным при разработке VBR;
- описание на 8 страницах;
и следующие технические недостатки:
- схема полностью онлайновая, проверить репутацию без доступа к DNS нельзя (в отличие от X.509-сертификатов и S/MIME-подписей, которые "всё своё носят с собой", и для проверки которых достаточно только списка сертификатов доверенных центров сертификации; онлайн-проверки там требуются только для списков отзыва сертификатов, что на практике производится редко);
- нет репутационного механизма для самих поручителей, т.е. схема двухуровневая, а не иерархическая;
- требуется дополнительное ПО для установки на почтовых серверах, дополнительная настройка DNS;
- поскольку аутентификация DNS (DNSSEC) не получила широкого распространения (серверное ПО поддерживает DNSSEC, но резолверы в ОС не проводят соответствующих проверок), DNS-данные могут быть легко подделаны на используемых VBR-клиентами DNS-серверах. В TCP-протоколах ненадежность исходных DNS-данных принимают как неизбежный факт, и во всех критических приложениях проводится аутентификация сервера (IP которого получен из DNS, аутентичность которого не проверялась) по X.509-сертификатам. VBR же (как и YDK/DKIM/SPF/RBL...) не выходит за пределы DNS UDP, и до широкого распространения практики аутентификации DNS не может считаться надежным. Использование надежных криптоалгоритмов в этой схеме дает в этих условиях лишь МНИМОЕ ощущение надежности.