Rust邮件认证库mail-auth的使用，支持SMTP、DKIM和SPF等邮件安全协议验证

mail-auth是一个用Rust编写的电子邮件认证和报告库，支持DKIM、ARC、SPF和DMARC协议。该库旨在快速、安全和正确，同时支持所有主要的消息认证和报告RFC。

功能特性

• DomainKeys Identified Mail (DKIM):

  • ED25519-SHA256 (Edwards-Curve Digital Signature Algorithm), RSA-SHA256和RSA-SHA1签名和验证
  • DKIM授权第三方签名
  • 使用Abuse Reporting Format进行DKIM失败报告
  • 为RSA和Ed25519生成密钥对(通过generate功能启用)

• Authenticated Received Chain (ARC):

  • ED25519-SHA256 (Edwards-Curve Digital Signature Algorithm), RSA-SHA256和RSA-SHA1链验证
  • ARC密封

• Sender Policy Framework (SPF):

  • 策略评估
  • 使用Abuse Reporting Format进行SPF失败报告

• Domain-based Message Authentication, Reporting and Conformance (DMARC):

  • 策略评估
  • DMARC聚合报告解析和生成

• Abuse Reporting Format (ARF):

  • 滥用和认证失败报告
  • 反馈报告解析和生成

• SMTP TLS Reporting:

  • 报告解析和生成

使用示例

DKIM签名验证

// 创建一个使用Cloudflare DNS的认证器
let authenticator = MessageAuthenticator::new_cloudflare_tls().unwrap();

// 解析消息
let authenticated_message = AuthenticatedMessage::parse(RFC5322_MESSAGE.as_bytes()).unwrap();

// 验证签名
let result = authenticator.verify_dkim(&authenticated_message).await;

// 确保所有签名都通过了验证
assert!(result.iter().all(|s| s.result() == &DkimResult::Pass));

DKIM签名

// 使用RSA-SHA256签名电子邮件消息
let pk_rsa = RsaKey::<Sha256>::from_pkcs1_pem(RSA_PRIVATE_KEY).unwrap();
let signature_rsa = DkimSigner::from_key(pk_rsa)
    .domain("example.com")
    .selector("default")
    .headers(["From", "To", "Subject"])
    .sign(RFC5322_MESSAGE.as_bytes())
    .unwrap();

// 使用ED25519-SHA256签名电子邮件消息
let pk_ed = Ed25519Key::from_bytes(
    &base64_decode(ED25519_PUBLIC_KEY.as_bytes()).unwrap(),
    &base64_decode(ED25519_PRIVATE_KEY.as_bytes()).unwrap(),
)
.unwrap();
let signature_ed = DkimSigner::from_key(pk_ed)
    .domain("example.com")
    .selector("default-ed")
    .headers(["From", "To", "Subject"])
    .sign(RFC5322_MESSAGE.as_bytes())
    .unwrap();    

// 打印包含两个签名的消息到stdout
println!(
    "{}{}{}",
    signature_rsa.to_header(),
    signature_ed.to_header(),
    RFC5322_MESSAGE
);

ARC链验证

// 创建一个使用Cloudflare DNS的认证器
let authenticator = MessageAuthenticator::new_cloudflare_tls().unwrap();

// 解析消息
let authenticated_message = AuthenticatedMessage::parse(RFC5322_MERENCE.as_bytes()).unwrap();

// 验证ARC链
let result = authenticator.verify_arc(&authenticated_message).await;

// 确保ARC通过了验证
assert_eq!(result.result(), &DkimResult::Pass);

SPF策略评估

// 创建一个使用Cloudflare DNS的认证器
let authenticator = MessageAuthenticator::new_cloudflare_tls().unwrap();

// 验证HELO身份
let result = authenticator
    .verify_spf(SpfParameters::verify_ehlo(
        "127.0.0.1".parse().unwrap(),
        "gmail.com",
        "my-local-domain.org",
    ))
    .await;
assert_eq!(result.result(), SpfResult::Fail);

// 验证MAIL-FROM身份
let result = authenticator
    .verify_spf(SpfParameters::verify_mail_from(
        "::1".parse().unwrap(),
        "gmail.com",
        "my-local-domain.org",
        "sender@gmail.com",
    ))
    .await;
assert_eq!(result.result(), SpfResult::Fail);

完整示例代码

以下是一个完整的示例，展示了如何使用mail-auth库进行DKIM签名和验证：

use mail_auth::{
    AuthenticatedMessage, DkimResult, DkimSigner, MessageAuthenticator,
    dkim::RsaKey,
};
use sha2::Sha256;
use std::error::Error;

#[tokio::main]
async fn main() -> Result<(), Box<dyn Error>> {
    // 示例邮件内容
    const RFC5322_MESSAGE: &str = "From: sender@example.com\r\n\
                                 To: recipient@example.com\r\n\
                                 Subject: Test message\r\n\
                                 \r\n\
                                 This is a test message.";

    // 创建签名器
    let private_key = "-----BEGIN RSA PRIVATE KEY-----\n..."; // 替换为实际的RSA私钥
    let pk_rsa = RsaKey::<Sha256>::from_pkcs1_pem(private_key)?;
    
    // 签名邮件
    let signature = DkimSigner::from_key(pk_rsa)
        .domain("example.com")
        .selector("default")
        .headers(["From", "To", "Subject"])
        .sign(RFC5322_MESSAGE.as_bytes())?;

    // 创建带签名的完整邮件
    let signed_message = format!("{}{}", signature.to_header(), RFC5322_MESSAGE);

    // 创建验证器
    let authenticator = MessageAuthenticator::new_cloudflare_tls()?;
    
    // 解析消息
    let authenticated_message = AuthenticatedMessage::parse(signed_message.as_bytes())?;
    
    // 验证签名
    let result = authenticator.verify_dkim(&authenticated_message).await;
    
    // 检查验证结果
    assert!(result.iter().all(|s| s.result() == &DkimResult::Pass));
    println!("DKIM验证成功!");
    
    Ok(())
}

测试和模糊测试

运行测试套件:

$ cargo test

使用cargo-fuzz进行模糊测试:

$ cargo +nightly fuzz run mail_auth

许可证

可以选择以下任一许可证:

• Apache License, Version 2.0
• MIT license

版权

版权所有 © 2020, Stalwart Labs LLC