メール送信者をサーバで認証する技術を送信・受信で見分ける
情報セキュリティマネジメント試験 2022年 サンプル問題 問28 ／ セキュリティ › セキュリティ実装技術
過去問にチャレンジ
電子メールをドメインAの送信者がドメインBの宛先に送信するとき，送信者をドメインAのメールサーバで認証するためのものはどれか。
- ア
APOP
- イ
POP3S
- ウ
S/MIME
- エ
SMTP-AUTH
会話形式の解説
講師今回は、メールを送るときに送信側のメールサーバが「誰が送ろうとしているか」を確かめる仕組みを選ぶ問題です。注目点は二つあります。送信と受信のどちらの技術か、そして誰が誰を認証するのかです。
受験者選択肢に認証らしい言葉が並んでいて迷いました。APOPは認証方式だと覚えていたので、これかなと思ったのですが。
講師APOPはたしかに認証方式ですが、POPで使うものです。POPはメールを受信するためのプロトコル、つまり通信の決まりごとです。受信するときにチャレンジレスポンス方式で、パスワードを平文、つまり暗号化しないそのままの形で流さずに利用者を認証します。
受験者受信時の認証なので、送信者を送信側サーバで認証するという条件には合わないのですね。そうするとPOP3Sも名前にPOPが入っているので受信側ですか。
講師そのとおりです。POP3Sは、TLSで暗号化した通信路の上でPOP3を使う方式です。メールソフトとメールサーバのあいだの受信の通信を守るもので、送信者を認証する仕組みではありません。
受験者S/MIMEは電子署名で送信元を確認できると習いました。送信者の確認という点では当てはまりそうに見えます。
講師そこが紛らわしいところです。S/MIMEは公開鍵暗号を使ってメールの本文に署名や暗号化を施し、送信元の確認、改ざんの検出、内容の秘匿を実現します。ただ、その確認は送信者と受信者のメールソフトのあいだで行われます。送信側メールサーバが利用者を認証する仕組みではないので、条件に合いません。
受験者残るのはSMTP-AUTHですね。SMTPは送信のプロトコルなので、送信側サーバが利用者を確かめる仕組みと考えてよいですか。
講師はい、正解です。SMTP-AUTHはSMTPに利用者を認証する機能を加えた拡張仕様です。送信時に送信側のメールサーバがユーザー名とパスワードで利用者を確認し、認証に成功した利用者だけに送信を許可します。
受験者整理すると、APOPとPOP3Sは受信側、S/MIMEはメールソフト同士で中身を守る技術、SMTP-AUTHは送信側サーバが送信者を認証する技術、ということですね。
講師よくまとまっています。補足すると、SMTPはもともと送信者を認証する仕組みを持っていませんでした。認証がないと、サーバが無関係な第三者のメールを中継してしまい、迷惑メールの送信に悪用されるおそれがあります。SMTP-AUTHで認証を求めれば、こうした不正な送信要求を断れます。なお、利用するにはサーバとメールソフトの両方が対応している必要があります。「認証」という語だけで選ばず、送信か受信か、誰が誰を確認するかで読み分けてください。
まとめ
メールを送るときに送信側のメールサーバが送信者を認証する技術は、SMTPを拡張したSMTP-AUTHです。APOPはPOPで受信するときの認証方式で、パスワードを平文で流さないようにします。POP3SはTLSで受信の通信路を暗号化する方式です。S/MIMEは公開鍵暗号でメール本文に署名や暗号化を施す技術で、確認はメールソフト同士のあいだで行われます。送信と受信のどちらの技術か、誰が誰を確認するかに注目すると見分けられます。
解答・解説
正解はエです
この問題のテーマ
メールを送信するとき、送信側のメールサーバが「誰が送ろうとしているか」を確かめる仕組みはどれかを問う問題です。メールの送信と受信のどちらに関わる技術か、また認証の相手がサーバか通信相手かを区別できるかが問われています。
解き方の考え方
まず問題文の「送信者を」「ドメインAのメールサーバで認証する」という条件に注目します。送信に使うプロトコルはSMTPで、受信に使うのはPOPです。そこで、POPに関係する選択肢は受信側の技術として外せます。S/MIMEはメールの中身に署名や暗号化を施す技術で、サーバが利用者を認証する仕組みではありません。残るSMTPの拡張であるSMTP-AUTHが正解です。
選択肢ごとの解説
- ×ア APOPAPOPの説明は、POPで使う認証方式です。メールを受信するときに、チャレンジレスポンス方式でパスワードを平文のまま流さずに利用者を認証します。受信時の認証なので、送信者を送信側サーバで認証するという条件には当てはまりません。
- ×イ POP3SPOP3Sは、TLSで暗号化した通信路の上でPOP3を使う方式です。メールソフトとメールサーバのあいだで行う受信の通信を守るためのもので、送信者を認証する仕組みではありません。
- ×ウ S/MIMES/MIMEは公開鍵暗号を使ってメールの本文に電子署名や暗号化を施し、送信元の確認や改ざんの検出、内容の秘匿を実現します。これらの確認は送信者と受信者のメールソフトのあいだで行われるもので、送信側メールサーバが利用者を認証する仕組みではありません。
- ○エ SMTP-AUTHSMTP-AUTHはSMTPに利用者を認証する機能を加えた拡張仕様です。メールを送信するときに、送信側のメールサーバがユーザー名とパスワードで利用者を確認します。認証に成功した利用者だけが送信を許可されるので、問題文の条件にそのまま合っています。
補足
送信者を認証する仕組みがないと、メールサーバが無関係な第三者のメールを中継してしまい、迷惑メールの送信に悪用されるおそれがあります。SMTP-AUTHで認証を求めれば、こうした不正な送信要求を断ることができます。なお、SMTP-AUTHを使うにはサーバとメールソフトの両方が対応している必要があります。「認証」という語だけを見てAPOPやS/MIMEを選ばないよう、送信と受信のどちらの技術か、また誰が誰を確認するのかを意識して読み分けてください。
POINT
- SMTPはもともと送信者を認証する仕組みを持たず、それを補うために作られた拡張がSMTP-AUTHです。
- SMTP-AUTHは、送信側のメールサーバがユーザー名とパスワードで送信者を認証する仕組みです。
- APOPとPOP3SはどちらもPOP、つまり受信側の技術で、APOPは認証情報を平文で流さないようにし、POP3SはTLSで通信路を暗号化します。
- S/MIMEは公開鍵暗号を使ってメールの内容に署名や暗号化を施す技術で、確認はメールソフト同士のあいだで行われます。