送信時に送信者を認証するメール技術の見分け方
情報セキュリティマネジメント試験 令和元年度秋期 午前 問28 ／ セキュリティ › セキュリティ実装技術
過去問にチャレンジ
電子メールをドメインAの送信者がドメインBの宛先に送信するとき，送信者をドメインAのメールサーバで認証するためのものはどれか。
- ア
APOP
- イ
POP3S
- ウ
S/MIME
- エ
SMTP-AUTH
会話形式の解説
講師今回は、メールを送るときに送信者をメールサーバで認証する技術を選ぶ問題です。問題文の「送信するとき」と「送信者側のドメインのメールサーバで認証する」という二つの条件に注目してください。
受験者選択肢にはメールの技術が並んでいて、どれも安全にするものに見えます。APOPも認証という言葉と一緒に覚えたので、迷っています。
講師まず送信の話か受信の話かで分けてみましょう。SMTPはメールを送るためのプロトコル、POPはメールを受け取るためのプロトコルです。名前にPOPが入っている技術は受信側の技術だと考えられます。
受験者そうすると、APOPとPOP3Sは受信のときに使うものということですか。
講師そのとおりです。APOPはPOPで受信するときの認証方式です。チャレンジレスポンス方式、つまりサーバから届いた値とパスワードを組み合わせて計算した結果を返す方式なので、パスワードが平文のままネットワークに流れません。ただ、受信時の認証なので今回の条件には合いません。
受験者POP3SはTLSを使うので、送信者を確かめる仕組みも含まれているのかと思っていました。
講師POP3Sは、POP3の通信をTLSで暗号化したものです。目的は受信時の通信路を守ることで、送信サーバで送信者を認証するものではありません。TLSが付いているだけで送信者認証と結び付けないように注意してください。
受験者S/MIMEは送信にも受信にも関係しそうですが、どう考えればよいですか。
講師S/MIMEは、送信か受信かという分け方とは別の技術です。公開鍵暗号を使って、メールに電子署名を付けたり本文を暗号化したり、改ざんを検出したりします。署名の検証は送信者と受信者のメールソフトの間で行うもので、メールサーバへのログイン認証ではありません。
受験者残ったSMTP-AUTHは、名前のとおり送信用のSMTPに認証を加えたものですね。
講師はい。SMTP-AUTHはSMTPにユーザー認証の機能を加えた拡張仕様です。メールを送るときに、送信側のメールサーバが利用者IDとパスワードで送信者を認証します。「送信時」と「送信者側ドメインのサーバでの認証」という二つの条件を両方満たすので、これが正解です。
受験者まず送信か受信かで分けて、次に何を認証する技術か、どの通信を守る技術かを確かめればよいということですね。
講師そのとおりです。補足すると、SMTPにはもともと送信者を認証する仕組みがありません。SMTP-AUTHで認証済みの利用者だけに送信を許可すると、第三者中継（オープンリレー）を使ったスパム送信などを防ぎやすくなります。なお、SMTP-AUTHを使うには、メールソフトとメールサーバの両方が対応している必要があります。
まとめ
メール送信時に、送信者を自ドメインの送信側メールサーバで認証する仕組みはSMTP-AUTHです。SMTP-AUTHはSMTPに認証機能を加えた拡張仕様で、利用者IDとパスワードで送信者を確かめます。APOPとPOP3SはPOPを使う受信側の技術で、APOPは受信時の認証方式、POP3Sは受信時の通信をTLSで暗号化する方式です。S/MIMEは送信か受信かの区別とは別の、メールに署名を付けたり暗号化したりする技術で、サーバへのログイン認証ではありません。まず送信か受信かで分け、次に何を認証する技術か、どの通信を守る技術かを確かめると見分けやすくなります。
解答・解説
正解はエです
この問題のテーマ
電子メールを送るとき、送信者が正当な利用者かを送信側のメールサーバで確かめる技術を選ぶ問題です。送信と受信のどちらの技術か、何を守る技術かを区別できるかが問われています。
解き方の考え方
最初に、「送信するとき」と「ドメインAのメールサーバで認証する」という二つの条件を確かめます。次に、選択肢を送信側の技術と受信側の技術に分けます。APOPとPOP3Sは、POPに関わる受信側の技術なので外れます。残るS/MIMEは本文の署名や暗号化をする技術で、サーバへのログイン認証ではないため外れます。したがって、送信時にサーバで利用者を認証するSMTP-AUTHのエが正解です。
選択肢ごとの解説
- ×ア APOPAPOPは、POPでメールを受信するときに使う認証方式です。チャレンジレスポンス方式でパスワードが平文のままネットワークに流れるのを防ぎますが、あくまで受信時の認証です。送信時に送信側サーバで認証するという問題の条件には合いません。
- ×イ POP3SPOP3Sは、POP3の通信をTLSで保護したメール受信の方式です。目的は受信時の通信路の暗号化で、送信サーバで送信者を認証するものではありません。
- ×ウ S/MIMES/MIMEは、公開鍵暗号を使ってメールに電子署名を付けたり、本文を暗号化したり、改ざんを検出したりする仕組みです。署名の検証は送信者と受信者のメールソフトの間で行われます。送信側メールサーバへのログイン認証ではありません。
- ○エ SMTP-AUTHSMTP-AUTHはSMTPにユーザー認証の機能を加えた拡張仕様です。メールを送るときに、送信側メールサーバが利用者IDとパスワードで送信者を認証します。問題の条件である「送信時」と「ドメインAのサーバでの認証」の両方に当てはまります。
補足
SMTPにはもともと送信者を認証する仕組みがありません。SMTP-AUTHで認証済みの利用者だけに送信を許可すると、第三者中継（オープンリレー）を使ったスパム送信などを防ぎやすくなります。名前に「POP」が付く技術やTLSを使う技術を、送信者認証と混同しないようにしましょう。何を認証するのか、どの通信を保護するのかを確かめることが大切です。
POINT
- SMTPは送信、POPとIMAPは受信のプロトコルなので、まず送信と受信のどちらの話かで選択肢を絞り込みます。
- SMTP-AUTHは、メール送信時に送信側メールサーバが利用者IDとパスワードで送信者を認証する仕組みです。
- APOPは受信時の認証方式で、チャレンジレスポンス方式によってパスワードを平文で送らずに済みます。
- S/MIMEはメール本文の署名と暗号化をする技術で、サーバへのログイン認証とは目的が違います。
- SMTP-AUTHを使うには、メールソフトとメールサーバの両方が対応している必要があります。