对付企业垃圾邮件网络钓鱼的新武器：DKIM标准

应用如火如荼

目前，国际上一些企业正在加快采用DKIM的步伐，银行、抵押公司和保险公司更是如此。

认证电子邮件服务商Goodmail会在今年5月份支持DKIM，该公司的全球业务开发主管Charles Stiles说：“我认为，DKIM会得到迅速采用。事实证明，该标准非常成功。世界上的一流人才都致力于此。它为我们提供了一种十分安全、防止欺诈的邮件验证方式。”

美国100大金融机构组成的BITS组织去年建议：其成员应当在2008年10月之前全部采用DKIM。BITS还建议采用另外两项标准来保护电子邮件的安全：一是传输层安全（TLS），用于对服务器之间传输的电子邮件进行加密；二是发件人身份框架（SIDF）或者发件人策略框架（SPF），用于证实收到的电子邮件确实来自某个域里面的授权邮件服务器。

Peterson说：“BITS在这方面的作为，所有成员一致的步调，都具有巨大的影响力，让人们对DKIM充满了信心。我们之前从未见过这股强大的动力。”

ISP们也在采用DKIM，原因是它们希望保护客户远离间谍邮件和网络钓鱼骗局。电子邮件发件人正在设法保护各自的品牌、身份，让自己的客户远离网络钓鱼骗局。

贝宝和eBay已联合雅虎，运用DKIM共同打击网络钓鱼攻击。贝宝和eBay正用DKIM对自己的邮件进行签名，而Yahoo Mail则将阻挡那些号称由eBay和贝宝发过来、却没有通过DKIM进行签名的电子邮件。

贝宝（隶属eBay）的账户保护主管Mike Vergara说：“eBay和贝宝一直在被诈骗犯和网络钓鱼者等各色各样的人注意。我们的客户看到，其实有太多电子邮件不是由我们发过来的。DKIM采用了一种好办法：基于整个行业统一的标准。我们为自己的电子邮件添加了强验证机制，那样客户就能确信邮件确实是我们发过来的。而我们需要促使ISP采用这项标准，以便可以向他们表明：如果该邮件不是我们发过来的，请不要转送。”

贝宝之前已部署了发件人策略框架（SPF），得到微软支持的这项互补性标准是简单邮件传输协议（SMTP）的一种扩展。贝宝现正在部署DKIM。SPF让软件可以拒绝接收伪造地址发过来的电子邮件。

Vergara说，部署DKIM方面最困难的地方是，必须要搞清楚企业的电子邮件基础设施，以便查明向客户发送电子邮件的所有系统和域名。

他说：“eBay或者贝宝没有什么邮政局长，因此，需要大量时间才能弄清楚我们在发送的所有电子邮件，包括交易型电子邮件、营销型电子邮件、客户支持型电子邮件等；另外还要弄清楚这些邮件是从地球上的哪个角落发过来的。我们花了12个月才搞清楚这个问题。而部署电子邮件设备、升级到DKIM只用了几周时间。”

他说，DKIM发挥了作用。他表示，雅虎每天阻止的据称来自eBay或者贝宝、但由于未采用DKIM签名而属于非法的邮件多达几十万封，有时多达上百万封。

如今，贝宝正与其他ISP进行探讨，说服对方禁止eBay或者贝宝发过来、但未采用DKIM签名的邮件。

Vergara说：“我们靠自身的力量解决不了这个电子邮件欺诈问题。我们正在竭力催促ISP行动起来，帮助我们为使用服务的那些客户解决这个问题。”

DKIM也有其局限性。用DKIM对出站邮件进行签名的公司只有一小部分；而检查入站邮件上的DKIM签名的公司更是寥寥无几。但这项技术的支持者希望，随着各大ISP和银行采用DKIM，这个问题会得到解决。

“如果我对自己的所有邮件进行签名以保护自身品牌，可是收到邮件的人或者其ISP并未检查签名，那么这对收件人来说没什么两样。我充满信心地认为，今后一年，30%的公司会对邮件进行签名。雅虎和Gmail已经采用DKIM。美国银行和贝宝也一直非常支持。”Vergara说。