SPFは何を登録し何を照合するのか、DKIMとの違い
情報セキュリティマネジメント試験 令和5年度 問6 ／ セキュリティ › 情報セキュリティ対策
過去問にチャレンジ
迷惑メール対策のSPF(Sender Policy Framework)の仕組みはどれか。
- ア
送信側ドメインの管理者が，正規の送信側メールサーバのIPアドレスをDNSに登録し，受信側メールサーバでそれを参照して，IPアドレスの判定を行う。
- イ
送信側メールサーバでメッセージにデジタル署名を施し，受信側メールサーバでそのデジタル署名を検証する。
- ウ
第三者によって提供されている，スパムメールの送信元IPアドレスのデータベースを参照して，スパムメールの判定を行う。
- エ
ファイアウォールを通過した要求パケットに対する応答パケットかどうかを判断して，動的に迷惑メールの通信を制御する。
会話形式の解説
講師今回はSPFの仕組みを問う問題です。SPFは送信ドメイン認証技術の一つで、メールの送信元ドメインが詐称されていないかを確かめる技術です。「誰が、何を、どこに登録して、受信側が何を照合するのか」に注目して選択肢を見てください。
受験者迷惑メール対策の技術はどれも似て見えて、私はSPFとDKIMの区別があいまいです。デジタル署名を検証するという説明も、送信元を確かめる仕組みとしては正しそうに思えます。
講師そこが一番の分かれ目です。送信側が署名を付けて、受信側がその署名を検証する方式はDKIMです。SPFは署名を使いません。送信元のIPアドレスで確かめます。
受験者IPアドレスで確かめるということは、送信側ドメインの管理者が、正規のメールサーバのIPアドレスをDNSに登録しておく、という説明の選択肢がSPFですか。
講師そのとおりです。送信ドメインの管理者が、正規に使う送信サーバのIPアドレスをDNSで公開します。受信側は、接続してきたサーバのIPアドレスがその登録に含まれるかを照合します。含まれなければ、ドメインを詐称したメールの疑いがあると判断できます。
受験者第三者が提供するスパム送信元IPのデータベースを参照する、という選択肢もIPアドレスを使っています。こちらと混同しそうです。
講師IPアドレスを見る点は同じですが、リストを作る人が違います。第三者が作る拒否リストを参照するのは、DNSBLなどのブラックリスト方式です。SPFは、送信ドメイン自身が「正規の送信元はここです」と公開する方式なので、考え方が逆になります。
受験者外部が作る悪い送信元の一覧か、ドメイン自身が出す正しい送信元の一覧か、という違いですね。残りの、応答パケットかどうかを判断して通信を制御するという選択肢はどう考えればよいでしょうか。
講師それはダイナミックパケットフィルタリング、別名ステートフルインスペクションの動作です。通過した要求に対する応答かどうかを見て、通信を動的に許可します。ネットワーク通信の制御であって、メールの送信元ドメインを認証する仕組みではありません。
受験者整理すると、SPFはDNSに登録された正規サーバのIPアドレスと送信元IPを照合する仕組み、DKIMはデジタル署名、DNSBLは第三者のリスト、という区別ですね。
講師その理解で大丈夫です。補足すると、SPFが照合の対象にするのは、主にエンベロープFrom、つまりMAIL FROMのドメインです。また、SPFは送信元IPを確かめるだけなので、本文が改ざんされていないかまでは確かめられません。そのため、DKIMや、SPFとDKIMの結果を使うDMARCと組み合わせて使われます。
まとめ
SPFは送信ドメイン認証技術の一つです。送信ドメインの管理者が、正規の送信サーバのIPアドレスをDNSで公開し、受信側は接続してきたサーバのIPアドレスをその登録内容と照合します。デジタル署名を使うのはDKIM、第三者が作るスパム送信元リストを参照するのはDNSBLなどのブラックリスト方式、応答パケットかを見て通信を制御するのはステートフルインスペクションです。SPFは本文の改ざんまでは確かめられないため、DKIMやDMARCと組み合わせて使われます。
解答・解説
正解はアです
この問題のテーマ
送信ドメイン認証技術のSPFがどのような仕組みで送信元を確かめるのかを問う問題です。似た目的の技術であるDKIM、ブラックリスト方式、パケットフィルタリングと区別できるかがポイントです。
解き方の考え方
SPFで押さえるのは「誰が何をどこに登録し、受信側が何を照合するか」です。送信ドメインの管理者が、正規に使うメールサーバのIPアドレスをDNSで公開します。受信側は、接続してきたサーバのIPアドレスをその登録内容と照らし合わせます。この流れに合う選択肢を選び、署名を使う方式、第三者のリストを使う方式、通信の状態を見る方式は外していきます。
選択肢ごとの解説
- ○ア 送信側ドメインの管理者が，正規の送信側メールサーバのIPアドレスをDNSに登録し，受信側メールサーバでそれを参照して，IPアドレスの判定を行う。アは、送信側の管理者が正規サーバのIPアドレスをDNSに登録し、受信側がそれを参照するという説明です。受信側は送信元IPがこの登録に含まれるかを見て、ドメインを詐称したメールかどうかを判断できます。これはSPFの基本動作そのものなので、正解です。
- ×イ 送信側メールサーバでメッセージにデジタル署名を施し，受信側メールサーバでそのデジタル署名を検証する。イは、送信側がデジタル署名を付け、受信側がその署名を検証するという説明です。この方式はDKIMのものです。SPFは署名を使わず、送信元のIPアドレスを照合するので、仕組みが違います。
- ×ウ 第三者によって提供されている，スパムメールの送信元IPアドレスのデータベースを参照して，スパムメールの判定を行う。ウは、第三者が提供するスパム送信元IPのデータベースを参照するという説明です。これはDNSBLなどのブラックリスト方式に当たります。SPFは送信ドメイン自身が正規の送信元を公開する方式なので、外部が作る拒否リストを使うウとは考え方が逆です。
- ×エ ファイアウォールを通過した要求パケットに対する応答パケットかどうかを判断して，動的に迷惑メールの通信を制御する。エは、通過した要求パケットに対する応答かどうかを見て通信を動的に許可する説明です。これはダイナミックパケットフィルタリング（ステートフルインスペクション）の動作です。ネットワーク通信の制御であって、メールの送信元ドメインを認証する仕組みではありません。
補足
SPFは送信元IPを確かめる技術なので、メール本文が改ざんされていないかまでは確かめられません。そのため、DKIMや、SPF・DKIMの結果を使うDMARCと組み合わせて使われます。
POINT
- SPFでは、送信ドメインの管理者が正規の送信サーバのIPアドレスをDNSで公開し、受信側が送信元IPと照合します。
- SPFが照合の対象にするのは、主にエンベロープFrom（MAIL FROM）のドメインです。
- デジタル署名で送信元を確かめるのはDKIMで、SPFはIPアドレスで確かめます。
- 第三者が提供するスパム送信元リストを参照するのはDNSBLなどのブラックリスト方式で、送信ドメイン認証とは別のものです。