SPFの仕組みを問う問題、DKIMとの見分け方
情報セキュリティマネジメント試験 令和元年度秋期 午前 問7 ／ セキュリティ › 情報セキュリティ対策
過去問にチャレンジ
SPF(Sender Policy Framework)の仕組みはどれか。
- ア
電子メールを受信するサーバが, 電子メールに付与されているディジタル署名を使って, 送信元ドメインの詐称がないことを確認する。
- イ
電子メールを受信するサーバが, 電子メールの送信元のドメイン情報と, 電子メールを送信したサーバの IP アドレスから, 送信元ドメインの詐称がないことを確認する。
- ウ
電子メールを送信するサーバが，電子メールの宛先のドメインや送信者のメールアドレスを問わず，全ての電子メールをアーカイブする。
- エ
電子メールを送信するサーバが，電子メールの送信者の上司からの承認が得られるまで，一時的に電子メールの送信を保留する。
会話形式の解説
講師今回は、メールの送信元ドメインの詐称を見抜くSPFの仕組みを、四つの説明から選ぶ問題です。このように詐称を確かめる技術を送信ドメイン認証といいます。各説明が、何を材料に確かめているのかに注目してください。
受験者目的が詐称の確認なら、全メールをアーカイブするものと、上司の承認まで送信を保留するものは外せそうです。
講師そのとおりです。全メールの保存はメールアーカイブの仕組みで、監査や保全などの目的で使われることがあります。承認待ちで保留するのは誤送信を防ぐための機能や運用で、送信側の内部統制です。どちらも受信側で送信元を検証するSPFとは別物です。
受験者残るのは、受信サーバがディジタル署名で確認するものと、ドメイン情報と送信サーバのIPアドレスで確認するものです。どちらも詐称の確認なので迷います。署名のほうが確実そうに見えますが。
講師そこが一番の引っかけです。ディジタル署名を使って送信元ドメインを確認するのはDKIMという別の技術です。SPFは署名を付けたり検証したりしません。
受験者では、SPFはIPアドレスをどう使うのですか。
講師送信側のドメインは、正規の送信サーバのIPアドレスを、DNSのTXTレコードとしてSPFレコードに公開しています。受信サーバは、送信元ドメインについて公開されたこの情報と、実際に接続してきたサーバのIPアドレスを照らし合わせます。一致しなければ詐称の疑いがあると判断できます。
受験者つまり、ドメイン情報と接続元のIPアドレスで確認する選択肢が正解ですね。IPアドレスで照合するのがSPF、署名で検証するのがDKIM、と対にして覚えます。
講師その覚え方で区別しやすくなります。補足すると、SPFが検証するのはSMTPのMAIL FROM、つまりエンベロープ送信者のドメインです。また、メールが転送されると検証に失敗することがあるため、DKIMやDMARCと組み合わせて使うことが推奨されています。
受験者照合に失敗したメールは、必ず受信を拒否されるのですか。
講師拒否するか、迷惑メールとして扱うかは受信側のポリシーで決まります。SPFは判定の材料を提供する仕組みだと押さえておきましょう。
まとめ
SPFは、送信元ドメインの詐称を検知する送信ドメイン認証技術です。送信側が正規の送信サーバのIPアドレスをDNSのSPFレコード（TXTレコード）として公開し、受信サーバは接続してきたサーバのIPアドレスをその情報と照合します。ディジタル署名で検証するのはDKIMで、SPFは署名を使いません。全メールのアーカイブや承認待ちの送信保留は、目的が違う別の仕組みです。SPFは転送時に検証に失敗することがあるため、DKIMやDMARCとの併用が推奨されています。
解答・解説
正解はイです
この問題のテーマ
メールの送信元ドメインの詐称を見抜くSPFが、どのような仕組みなのかを、四つの説明から選ぶ問題です。
解き方の考え方
まず、SPFは「送信元ドメインが詐称されていないか」を確かめる技術だと押さえます。この時点で、アーカイブ（ウ）や送信の保留（エ）のように目的が違う選択肢は外せます。残るアとイは、どちらも受信サーバが詐称の有無を確認する内容です。そこで、検証に使う材料がディジタル署名なのか、送信サーバのIPアドレスなのかで見分けます。SPFはDNSに公開された正規の送信サーバ情報と、接続してきたサーバのIPアドレスを照らし合わせる方式なので、イが正解です。
選択肢ごとの解説
- ×ア 電子メールを受信するサーバが, 電子メールに付与されているディジタル署名を使って, 送信元ドメインの詐称がないことを確認する。受信サーバがディジタル署名を使って送信元ドメインを確認する、という説明はDKIMの仕組みです。SPFは署名を付けたり検証したりせず、送信サーバのIPアドレスが正規のものかどうかで判断します。
- ○イ 電子メールを受信するサーバが, 電子メールの送信元のドメイン情報と, 電子メールを送信したサーバの IP アドレスから, 送信元ドメインの詐称がないことを確認する。受信サーバが、送信元ドメインの公開情報と接続してきたサーバのIPアドレスを照らし合わせる、という説明です。送信側のドメインは、正規の送信サーバのIPアドレスをSPFレコード（DNSのTXTレコード）として公開しています。受信サーバはこの情報と、実際に接続してきたサーバのIPアドレスを比べ、詐称がないかを確認します。この内容はSPFの仕組みと一致するため、正しい説明です。
- ×ウ 電子メールを送信するサーバが，電子メールの宛先のドメインや送信者のメールアドレスを問わず，全ての電子メールをアーカイブする。宛先や送信者を問わず全メールを保存するのは、メールアーカイブの仕組みです。監査や証跡の保全が目的で、送信元ドメインの詐称を検知するSPFとは関係がありません。
- ×エ 電子メールを送信するサーバが，電子メールの送信者の上司からの承認が得られるまで，一時的に電子メールの送信を保留する。上司の承認が得られるまで送信を保留するのは、誤送信を防ぐための機能や運用です。送信側の内部統制の仕組みであり、受信側で送信元を検証するSPFとは別物です。
補足
SPFとDKIMは、「IPアドレスで照合するのがSPF、署名で検証するのがDKIM」と対にして覚えると区別しやすくなります。SPFはメールが転送されると検証に失敗することがあるため、DKIMやDMARCと組み合わせて使うことが推奨されています。照合に失敗したメールを拒否するか迷惑メールとして扱うかは、受信側のポリシーで決まります。
POINT
- SPFは、送信元ドメインの詐称を検知するための送信ドメイン認証技術です。
- 送信側は、正規の送信サーバのIPアドレスをDNSのSPFレコード（TXTレコード）として公開します。
- 受信サーバは、接続してきたサーバのIPアドレスをDNS上のSPF情報と照合して検証します。
- SPFが検証するのは、SMTPのMAIL FROM（エンベロープ送信者）のドメインです。
- ディジタル署名で検証するのはDKIMで、SPFは署名を使いません。