スパムメール撲滅を目指す送信ドメイン認証技術

前回の勉強内容
勉強のきっかけになった問題
メールアドレスのドメインを検証することでなりすましや改ざんを検知できるようにする技術を送信ドメイン認証技術といいます。
- 送信ドメイン認証技術には、IPアドレスを利用するタイプと電子署名を利用するタイプがあります。
IPアドレスを利用するタイプは、あらかじめDNSサーバにIPアドレスを公開しておいて、受信側がDNSでIPアドレスを検証します。
- SFPは、メールの「エンベロープFromにあるメールアドレス」から取得します。
- Sender IDは、「メールヘッダのFromやSenderにあるメールアドレス」からします。
電子署名を利用するタイプは、あらかじめDNSサーバに公開鍵を公開しておいて、受信側がメールヘッダの電子署名をDNSで公開鍵を取得して検証します。
- DKIMは、送信側メールサーバで電子署名を電子メールのヘッダに付与して、受信側メールサーバで検証します。
DMARCは、送信ドメイン認証での「認証結果によるメール配信制御」「認証結果のレポート」を行うシステムです。
次回の勉強内容

前回の勉強内容

ponsuke-tarou.hatenablog.com

勉強のきっかけになった問題

スパムメールへの対策であるDKIM(DomainKeys Identified Mail)の説明はどれか。

送信側メールサーバにおいてディジタル署名を電子メールのヘッダに付与し，受信側メールサーバにおいてそのディジタル署名を公開鍵によって検証する仕組み << 正解

送信側メールサーバにおいて利用者が認証された場合，電子メールの送信が許可される仕組み

電子メールのヘッダや配送経路の情報から得られる送信元情報を用いて，メール送信元のIPアドレスを検証する仕組み

ネットワーク機器において，内部ネットワークから外部のメールサーバのTCPポート番号25への直接の通信を禁止する仕組み

出典 : 平成25年春期情報セキュリティスペシャリスト試験午前Ⅱ 問16

メールアドレスのドメインを検証することでなりすましや改ざんを検知できるようにする技術を送信ドメイン認証技術といいます。

残念なことにメールは送信元を偽ることができちゃいます。
スパムメールは送信元を偽装していることが多く、メールのヘッダに書いてある「From」のメールアドレスは安易に信用できません。
そこで、ちゃんとした送信元かを確認できるようにするための送信ドメイン認証技術が造られました。

送信ドメイン認証技術には、IPアドレスを利用するタイプと電子署名を利用するタイプがあります。

送信ドメイン認証技術	利用するもの
SFP	IPアドレス
Sender ID	IPアドレス
DKIM	電子署名

IPアドレスを利用するタイプは、あらかじめDNSサーバにIPアドレスを公開しておいて、受信側がDNSでIPアドレスを検証します。

流れ
1. 送信側がDNSサーバにメールサーバのIPアドレスを公開する(SPFレコード)
2. 受信側がメールアドレスのドメインからDNSサーバでIPアドレスを取得する
3. そのIPアドレスで正式なメールサーバか検証する

f:id:ponsuke_tarou:20211005190659j:plain

認証方法によって、送信メールサーバのIPアドレスの取得元が異なります。

送信ドメイン認証	IPアドレスの取得元
SFP	エンベロープFromにあるメールアドレス
Sender ID	メールヘッダのFromやSenderにあるメールアドレス

SFPは、メールの「エンベロープFromにあるメールアドレス」から取得します。

英語：Sender Policy Framework

なりすましメール撲滅に向けたSPF（Sender Policy Framework）導入の手引き：IPA 独立行政法人情報処理推進機構

SPF(Sender Policy Framework)の仕組みはどれか。
イ. 電子メールを受信するサーバが，電子メールの送信元のドメイン情報と，電子メールを送信したサーバのIPアドレスから，ドメインの詐称がないことを確認する。

平成30年春期問40 SPFの仕組みはどれか｜基本情報技術者試験.com

「エンベロープFrom(英語 : envelope(封筒) from)」とは、配信処理用のメールアドレスのことです。
エンベロープFromは、実際の送信者メールアドレスであり、宛先にメールが届くとエンベロープFromは削除されます。
メールヘッダにあるFromは、設定で変更することができます。
迷惑メールなどはメールヘッダにあるFromを詐称していたりします。

3 エンベロープ（envelope）From/To とヘッダーのFrom/To｜Cuenote

「エンベロープFrom」は、メールが宛先に到着してSMTPが終わると消えます。
でもなくなると問題があったときの送信先に困っちゃうので、メールの「Return-Path」に出力されます。
なので、Return-Pathを確認することでエンベロープFromが確認できます。
例えば、三井住友銀行からもらったお知らせメールの場合はこんな感じ。

...ここでエンベロープFromが確認できます。...
Return-Path: <51212-585086@envelope-from.smbc.co.jp>
...
From: "三井住友銀行" <smbc_info@ra.smbc.co.jp>
To: ponsukeのメアド
Subject: ＜重要＞【三井住友銀行】 三井住友銀行アプリ「プッシュ通知」の一部サービス終了のお知らせ
....

なので、「エンベロープFromにあるメールアドレス」のドメインから送信側メールサーバのIPアドレス取得して検証します。

SPF, DKIMの特徴と違い | SendGridブログ

Sender IDは、「メールヘッダのFromやSenderにあるメールアドレス」からします。

別名：SPF／Sender ID

「メールヘッダのFromやSender」はメーラなどの表示用のメールアドレスです。
メールヘッダのFromやSenderは、配信処理には使用されず送信者以外のアドレスを使用することが可能です。
メールヘッダのFromやSenderにあるメールアドレスのことをPRA(Purported(～といわれている) Responsible Address)ともいいます。
Sender IDは、PRAのドメインと同じサーバから送信されているかどうかを検証します。
PRAでは、Resent-Sender / Resent-From / Received / Senderなどのから情報を取得します。
取得方法の詳細は、rfc4407の2. Determining the Purported Responsible Addressに記載されています。

f:id:ponsuke_tarou:20200915235847j:plain — 西巣鴨にある朝倉のチーズケーキは絶品

電子署名を利用するタイプは、あらかじめDNSサーバに公開鍵を公開しておいて、受信側がメールヘッダの電子署名をDNSで公開鍵を取得して検証します。

流れ
1. 送信側がDNSサーバに公開鍵を公開する
2. 送信側が秘密鍵で電子署名をつくってメールヘッダにくっつける
3. 受信側がメールヘッダにあるメールアドレスのドメインからDNSサーバで公開鍵を取得する
4. その公開鍵で検証する

DKIMは、送信側メールサーバで電子署名を電子メールのヘッダに付与して、受信側メールサーバで検証します。

読み方：ディーキム

電子署名を利用するタイプにIIM(Identified Internet Mail)とDomainKeysという認証方法がありました。
この認証方法が合体してDKIMができました。
正式名称は、DomainKeys Identified(認証する) Mailです。

送信側のメールサーバで、メールヘッダとボディから電子署名を作成して、DKIM-Signatureヘッダに追加します。
例えば、三井住友銀行からもらったお知らせメールの場合はこんな感じ。

......
DKIM-Signature: v=1; a=rsa-sha256; c=relaxed/simple; d=ra.smbc.co.jp; s=smbcrmpc; t=1...; bh=Et...; h=From:To:Subject:Reply-To:Message-Id:Date:MIME-Version:
	 Content-Type; b=dw8...
From: "三井住友銀行" <smbc_info@ra.smbc.co.jp>
To: ponsukeのメアド
Subject: ＜重要＞【三井住友銀行】 三井住友銀行アプリ「プッシュ通知」の一部サービス終了のお知らせ
....