第5回 ExchangeサーバとSender IDの親和性
竹島 友理NRIラーニングネットワーク株式会社
2006/3/14
3つの送信ドメイン認証
ところで、Exchange Server 2003が提供している送信ドメイン認証はSender IDだけですが、実は、送信ドメイン認証はSender IDだけではありません。送信ドメイン認証にはSender IDも含めて、以下の3つの方式が標準として提案され、さまざまな環境で実装されています。
・SPF
SMTP通信のMAIL FROMコマンドの引数(MFROM)で送信ドメインを特定
・Sender ID
Resent-Sender:、Resent-From:、Sender:、From:などのヘッダ情報であるPRAで送信ドメインを特定。SPFのMFROMもサポートしている
・DomainKeys
ヘッダ情報のデジタル署名でドメインを特定
SPFは、Pobox社が開発したもので、AOLに早くから支持され、すでに20万ドメイン以上で利用されている技術です。Sender IDは、SPFとMicrosoftの「Caller ID for E-mail」を統合した技術です。
SPFとSender IDは、検証で使用する情報が異なります。SPFはSMTP通信中にやりとりされるエンベロープ(MFROM)で送信ドメインを特定します。一方、Sender IDは、Resent-Sender:、Resent-From:、Sender:、From:などのPRA情報またはSPFと同じMFROM情報から送信ドメインを特定します。
しかし、SPFとSender IDの認証手順は非常によく似ています。どちらも送信者側が登録したDNSサーバのSPFレコードを参照することで、送信者ドメインを検証できるようになっています。
3つ目のDomainKeysは、Yahoo!が提唱している技術です。これは、ヘッダ情報で指定してあるドメイン名に対して、DNSを照会して得られた公開鍵を用いてデジタル署名を検証します。ところで、現在、新たな送信ドメイン認証技術として「DKIM」が標準化に向けて動いています。これは、DomainKeysとCisco Systemsらが提案していた「Internet Identified Mail」の仕様を統一した技術です。
【参考資料】 電子署名を使うDomainKeysの設定方法(@IT) 電子署名方式の最新技術「DKIM」とは(@IT) |
3つの方式の処理の違いをまとめると以下のとおりです。Sender IDは、PRAの情報を使用することで、どの処理にも対応できるようになっています。
転送 | メーリングリスト | 第三者投稿 サーバ |
|
---|---|---|---|
SPFとSender ID によるMFROMチェック | SMTP拡張が必要 | 問題なし | SMTP拡張が必要 |
Sender IDによるPRAチェック | Resent-From:ヘッダを付けて対応 | Resent-From:ヘッダを付けて対応 | Sender:ヘッダを付けて対応可能 |
DomainKeysによるデジタル署名のチェック | 問題なし | メーリングリスト 運営者側で対策が必要 |
可能だが、署名の意味が変わる |
上記のように、これらは検証方式が異なることから、それぞれに得手不得手があります。しかし、これらは対立する関係にあるのではなく、お互いに必要な機能を補完しあえる関係にあります。メールを受信する側は、送信ドメイン認証において複数の選択肢があるわけなので、皆さんの環境にふさわしい方式を採用することができます。以下のサイトには、Sender ID Frameworkを採用している企業とそのソリューションの一部が公開されています。
【参考資料】 Sender ID Frameworkの業界サポートとソリューション(MS) |
このほかの国内の主な動きとしては、2005年11月30日にBIGLOBEのメールサービスにおいて、SPF/Sender IDが導入されました。そして、2005年12月6日にはezwebのメールサービスにおいても、送信ドメイン認証にSPF/Sender IDが採用されることになりました。2006年度中をめどにSPF/Sender IDのメールフィルタを導入するそうです。
Sender IDを使用すると、送信者アドレスを確認したうえでメールを受け取れるので、迷惑メール対策も安心して設定できます。しかし、SPFやSender IDに対応していないドメインから送られてくるメールは認証できません。この技術が成功するかどうかは、今後どれだけ多くのメールサーバのサポートを得られるかにかかっています。
まずは、SPFレコードの登録作業から始めてみませんか。SPFレコードを登録してもライセンス料はかかりません。登録しておくことで、皆さんのドメイン名を不正に利用されることを防ぐこともできます。登録するだけでもメリットは得られます。
紹介したように、多くの企業での導入事例は徐々に増えています。悪意のあるメールが頻繁に飛び交ういまの時代に、安全なメール環境をユーザーに提供するためには、インターネット全体でのベンダを超えての取り組みが必要です。
次回は、OWA(Outlook Web Access)やOMA(Outlook Mobile Access)などを中心とするモバイル環境下でのセキュリティ対策を紹介します。
4/4
|
Index | |
ExchangeサーバとSender IDの親和性 | |
Page1 Sender IDはいまの時代に必要なスプーフィング対策 Sender IDは迷惑メール対策ではありません |
|
Page2 SMTPによるメール送信処理 Sender IDによる送信ドメインの検証方法 |
|
Page3 メール送信側の設定作業 メール受信者側の作業 |
|
Page4 3つの送信ドメイン認証 |
関連記事 |
基礎から学ぶExchange Server 2003運用管理 |
Security&Trust記事一覧 |
- Windows起動前後にデバイスを守る工夫、ルートキットを防ぐ (2017/7/24)
Windows 10が備える多彩なセキュリティ対策機能を丸ごと理解するには、5つのスタックに分けて順に押さえていくことが早道だ。連載第1回は、Windows起動前の「デバイスの保護」とHyper-Vを用いたセキュリティ構成について紹介する。 - WannaCryがホンダやマクドにも。中学3年生が作ったランサムウェアの正体も話題に (2017/7/11)
2017年6月のセキュリティクラスタでは、「WannaCry」の残り火にやられたホンダや亜種に感染したマクドナルドに注目が集まった他、ランサムウェアを作成して配布した中学3年生、ランサムウェアに降伏してしまった韓国のホスティング企業など、5月に引き続きランサムウェアの話題が席巻していました。 - Recruit-CSIRTがマルウェアの「培養」用に内製した動的解析環境、その目的と工夫とは (2017/7/10)
代表的なマルウェア解析方法を紹介し、自社のみに影響があるマルウェアを「培養」するために構築した動的解析環境について解説する - 侵入されることを前提に考える――内部対策はログ管理から (2017/7/5)
人員リソースや予算の限られた中堅・中小企業にとって、大企業で導入されがちな、過剰に高機能で管理負荷の高いセキュリティ対策を施すのは現実的ではない。本連載では、中堅・中小企業が目指すべきセキュリティ対策の“現実解“を、特に標的型攻撃(APT:Advanced Persistent Threat)対策の観点から考える。
|
|