Два простых вопроса к профи по почтовым сертификатам

почти везде пишут, что надо делать вида mail.example.com

Врут. Твой домен, твой сервер — ­как тебе нравится так и делай, лишь бы стандарту соответствовало.

Вы меня успокоили. По первому ничего не скажите?

Конвертировал так:

openssl pkcs12 -in inp.pfx -out priv.pem -nodes -nocerts
openssl rsa -pubout -in priv.pem -out publ.pem

SSL error:0D0680A8:asn1 encoding routines:ASN1_CHECK_TLEN:wrong tag; error:0D08303A:asn1 encoding routines:ASN1_TEMPLATE_NOEXP_D2I:nested asn1 error; error:0D0680A8:asn1 encoding routines:ASN1_CHECK_TLEN:wrong tag; error:0D07803A:asn1 encoding routines:ASN1_ITEM_EX_D2I:nested asn1 error; error:04093004:rsa routines:OLD_RSA_PRIV_DECODE:RSA lib; error:0D0680A8:asn1 encoding routines:ASN1_CHECK_TLEN:wrong tag; error:0D07803A:asn1 encoding routines:ASN1_ITEM_EX_D2I:nested asn1 error

Нет, не скажу, я админю только на выходных, по будням я теперь разработчик.
Лучше я ничего не скажу, чем скажу что-нибудь неправильно.

Сертификация, шифрование и подписывание — вещи серьёзные.
Чтобы сделать всё как надо — нужно обязательно изучить описания стандартов и оттестировать по каждому пункту и по каждой возможной совокупности.

Если увижу что кто-то откровенную лажу гонит — подскажу кого не слушать. Но если лажа будет скрытной — могу и пропустить. Так что на каменты надейся, но сам референсы прочитай.

Спасибо. А пока буду ждать других гуру.

Разобрался с конвертированием: для dkim нужны rsa приватный и публичный ключи. Сразу из pkcs12 (pfx) в rsa конвертация не работает, поэтому делаю промежуточный приватный ключ без пароля:

openssl pkcs12 -in original.pfx -out temp.key -nodes -nocerts

openssl rsa -in temp.key -out private_rsa.pem
openssl rsa -in private_rsa.key -out public_rsa.pem -pubout -outform PEM

В итоге в заголовках письма dkim=pass spf=pass, письмам доверяют больше. Надеюсь, кому-то заметка пригодится.

Зачем вы это затеяли? Как работает DKIM лучше прочитали бы вместо этой бурной деятельности.

Ему *не нужен* доверенный сертификат, он вообще не опирается на систему PKI и не проверяет доверенный кем либо ключ или нет.

Он только проверяет, что письмо было подписано приватным ключом, который соответствует публичному ключу, опубликованному в DNS.

Эх, ну ладно. Раз всё равно - пусть остаётся так, как уже настроено. Спасибо за инфу.

Но ведь то, что ему оно не нужно, не означает что так делать нельзя.
Может стандарт на проверку подтверждения DKIM ключа пока не утверждён, но для некоторых случаев это может оказаться крайне полезно.

Но ведь то, что ему оно не нужно, не означает что так делать нельзя.

Можно и на голове ходить - только зачем?

Может стандарт на проверку подтверждения DKIM ключа пока не утверждён, но для некоторых случаев это может оказаться крайне полезно

Для каких случаев? Это вы сами придумали? DKIM - это RFC-стандарт, в котором описано как и что проверяется. Знакомьтесь - https://tools.ietf.org/html/rfc6376

Там вообще про сертификаты ничего нет, даже прямо обратное утверждается:

there is no dependency on public- and private-key pairs being issued by well-known, trusted certificate authorities;

Зачем пытаться их на DKIM натянуть?

Нет, хамам я юридические консультации сегодня проводить не хочу.
А про стандарты не хуже вас знаю.

А про стандарты не хуже вас знаю.

Если бы это было так, то вы таких глупостей не писали бы. Только людей в заблуждение вводите.

Аргументацию или в игнор

Аргументацию чего? Вот тут написаны фантазии, к реальности не имеющие никакого отношения:

Может стандарт на проверку подтверждения DKIM ключа пока не утверждён, но для некоторых случаев это может оказаться крайне полезно.

Я на это указал, не более того.

Значит у тебя ни ума ни фантазии нет чтобы эти «некоторые случаи» представить, а я типа ввожу в заблуждение кого-то?
Нет, этой демагогии я больше читать не хочу.

Ну так разъясни эти мифические случаи, приведи пример.

вот оно, спасибо

купленный ssl на веб-морду почты натяни, оно невредно будет

некоторых случаев это может оказаться крайне полезно.

например для случая утекания приватного ключа к вебу через дырку в почтовике

Эта твоя фантазия имеет отношение исключительно к твоей форме рук.
Здоровые люди приватные ключи не хранят там, откуда они могут утечь.

Здоровые люди приватные ключи не хранят там, откуда они могут утечь.

Утечь могу отовсюду, достаточно вспомнить heartbleed. Зачем использовать ценный приватный ключ там, где он не требуется?

Затем что лично тебе не хватает ума подписать ценным ключом менее ценный и использовать его, а ценный хранить под подушкой в сейфе.

А вы реально смешной. Вам пруфы, а вы все еще упираетесь. Забавно.

Затем что лично тебе не хватает ума подписать ценным ключом менее ценный и использовать его, а ценный хранить под подушкой в сейфе.

он от этого перестанет быть доверенным с точки зрения PKI, смысла в этом нет.

...и доставать его из под подушки чтобы подписать очередное исходящее письмо?

Ну не позорься уже.

например для случая утекания приватного ключа к вебу через дырку в почтовике

для этих случаев сертификаты для почтовика и веба разные