第2回 メッセージ送受信へのセキュリティ対策
竹島 友理
NRIラーニングネットワーク株式会社
2005/9/15
 |
SSLでクライアントとサーバ間の通信を守ろう！ |
Exchange Server 2003環境でSSLを使用すると、デジタル証明書を使ってクライアント端末がExchange Server 2003で稼働中のサーバを認証できます。ここでいう「認証」とは、クライアントがメッセージを送受信する際に、「自分の通信相手である、このサーバの存在を信頼できる（安心して使える）」ことを意味します。
さらに、クライアント端末とExchange Server 2003間で使用するHTTP、IMAP4、POP3、NNTPプロトコルを対象に通信が暗号化されます。ただし、SSLの暗号化処理は、転送中のみ行われるのであって、ユーザーのメールボックスやPSTファイルなどに格納されているデータまでは暗号化しません。
|
フロントエンド／バックエンドサーバ構成では |
Exchange Server 2003には、フロントエンド／バックエンドサーバという構成方法があります。この構成では、SSLの実装をお勧めします。
フロントエンドサーバとは、ユーザーからの接続要求を受け取ってドメインコントローラにアクセスし、ユーザー認証処理を行うExchange Server 2003のことで、ストア処理は行いません。一方、バックエンドサーバとは、メッセージングデータを格納するユーザーのホームサーバのことです。ストア処理要求は、フロントエンドサーバからバックエンドサーバに直接転送されます。
では、なぜフロントエンド／バックエンドサーバ構成でSSL通信がお勧めなのでしょうか？
それは、クライアントからフロントエンドサーバへの認証要求がクリアテキストで処理されるからです。つまり、パスワードが暗号化されません。通信中にパスワードが盗まれたり、変更されたりすることがないようにSSLを設定してください。
ところで、SSLを使用できるのはクライアントからフロントエンドサーバまでであって、フロントエンドサーバとバックエンドサーバ間のトラフィックをSSLで保護することはできません。なぜなら、クライアントからSSL通信が送られてくると、フロントエンドサーバがSSL認証を解除するようになっているからです。
従って、クライアントからフロントエンドサーバまでをTCPポート443のHTTPSで通信したとしても、フロントエンドサーバとバックエンドサーバ間はTCPポート80のHTTP通信になります。フロントエンドサーバとバックエンドサーバ間の通信を保護したい場合はIPsecを設定してください。
 |
| 図3 フロントエンド／バックエンドサーバ構成のセキュア通信 |
|
Exchange Server 2003のSMTP通信を保護するTLS |
Exchange Server 2003は、SMTPによるメッセージ送信トラフィックを保護するためにTLSをサポートしています。基本認証を要求するようにSMTPプロトコル仮想サーバを構成するときは、TLS暗号化も使用することをお勧めします。
TLSはメッセージ送信トラフィックを保護するために設計されているプロトコルなので、HTTP、POP3、IMAP4、NNTPなどのメッセージ受信トラフィックの保護は対象外となります。メッセージ受信トラフィックの保護にはSSLを使用してください。
|
◆ ◇ ◆
ここまで、「Exchange Server 2003環境におけるユーザー認証」と「Exchange Server 2003環境におけるS/MIME、SSL、TLS」について説明してきました。どのようなときにS/MIMEを使うとよいのか、どのようなときSSLやTLSを使うべきなのか、理解していただけましたか？
次回は、S/MIME、SSL、TLSの実装編です。「実際に手を動かして設定するにはどうしたらよいのか？」について説明いたします。
 |
3/3
|
| Index | |
| メッセージ送受信へのセキュリティ対策 | |
| Page1 Active Directoryによるユーザーオブジェクトとメールボックスの管理 - 全員が「Suzukiさん」のアカウントを共有していたら、どうなる？ - メールボックスとユーザーは1対1の関係 - 証明書による高度な認証機能 |
|
| Page2 S/MIME、SSL、TLSって何？ S/MIMEでメールのメッセージ自体を守ろう！ |
|
 |
Page3 SSLでクライアントとサーバ間の通信を守ろう！ フロントエンド／バックエンドサーバ構成ではSSLがお勧め！ Exchange Server 2003のSMTP通信を保護するTLS コラム：SSLとTLS |
| 関連記事 |
| 基礎から学ぶExchange Server 2003運用管理 |
 |
Security&Trust記事一覧 |
- Windows起動前後にデバイスを守る工夫、ルートキットを防ぐ （2017/7/24）
Windows 10が備える多彩なセキュリティ対策機能を丸ごと理解するには、5つのスタックに分けて順に押さえていくことが早道だ。連載第1回は、Windows起動前の「デバイスの保護」とHyper-Vを用いたセキュリティ構成について紹介する。 - WannaCryがホンダやマクドにも。中学3年生が作ったランサムウェアの正体も話題に （2017/7/11）
2017年6月のセキュリティクラスタでは、「WannaCry」の残り火にやられたホンダや亜種に感染したマクドナルドに注目が集まった他、ランサムウェアを作成して配布した中学3年生、ランサムウェアに降伏してしまった韓国のホスティング企業など、5月に引き続きランサムウェアの話題が席巻していました。 - Recruit-CSIRTがマルウェアの「培養」用に内製した動的解析環境、その目的と工夫とは （2017/7/10）
代表的なマルウェア解析方法を紹介し、自社のみに影響があるマルウェアを「培養」するために構築した動的解析環境について解説する - 侵入されることを前提に考える――内部対策はログ管理から （2017/7/5）
人員リソースや予算の限られた中堅・中小企業にとって、大企業で導入されがちな、過剰に高機能で管理負荷の高いセキュリティ対策を施すのは現実的ではない。本連載では、中堅・中小企業が目指すべきセキュリティ対策の“現実解“を、特に標的型攻撃（APT：Advanced Persistent Threat）対策の観点から考える。
 |
|
|
|
|
