DKホストマスター・ワークショップおよび識別子の整合

先日開催されたDK Hostmasterのワークショップでは、ゲスト講師としてdmarcianの創設者でありDMARCの主要な策定者の一人であるティム・ドレーゲン氏が登壇し、参加者に以下の点について詳しく解説しました。すなわち、DMARCがSPFやDKIMといったよく知られた認証メカニズムを活用して電子メールのセキュリティをどのように向上させるか、DMARCのレポートプロトコルが電子メールドメインを迅速かつ的確に保護するのにどのように役立つか、そして組織内でDMARCを導入する方法についてです。

DMARCが認証機能を活用して電子メールのセキュリティを向上させる仕組みを理解するには、SPFやDKIM、そしてそれらが「識別子の整合性（Identifier Alignment）」にどのように寄与しているかを把握しておくと役立ちます。

SPF

SPFは、インターネットサービスプロバイダが、特定のドメインのメール送信権限を持つメールサーバー（IPアドレス）であることを確認するための仕組みです。

SPFを利用するには、メールドメインの管理者が、そのドメインに代わってメールを送信することを許可されたサーバーまたはIPアドレスのリストを公開します。送信者がメールを配信するために「受信」サーバーへ引き渡そうとすると、そのメールサーバーは、送信者がドメインの許可された送信者リストに含まれているかどうかを確認します。含まれている場合、そのメールとメールドメインとの間に紐付けが確立されます。

DKIM

DKIMは、電子メールを特定のドメインに紐付けるために使用される無料の技術です。メールが送信されると、そのメールはドメインの秘密鍵を使用して署名され、受信側のメールサーバー（またはISP）において、DNS内に登録されている公開鍵を用いて検証されます。この処理により、メールの転送中に内容が改ざんされていないことが確認されます。これにより、第三者がメールを傍受して内容を改ざんし、改ざんされた情報を含めて送信することを防ぐことができます。

識別子の整列

SPFとDKIMは、それ自体でメールとドメインを関連付けることができます。DMARCは、SPFとDKIMの結果をメールの内容、具体的にはメールの「From:」ヘッダーに記載されたドメインと結びつけようとします。メールの「From:」ヘッダーに記載されたドメインは、すべてのDMARC処理を統合する基軸となるものです。

誰でも（犯罪者を含め）ドメインを購入し、SPFやDKIMを設定することができるため、DMARCにおいて有効な結果を得るには、SPFおよびDKIMの処理結果が「From:」ヘッダーに記載されたドメインと一致している必要があります。この概念は「識別子の整合（Identifier Alignment）」と呼ばれます。識別子を整合させることは、DMARCを導入する際の作業の大部分を占めることになります。

もし犯罪者が「bank.com」をなりすまそうとして、「criminal.net」というドメインを設定し、SPFとDKIMを導入したとしても、SPFとDKIMの両方が通過したからといって、その認証が「bank.com」と何らかの関係があるとは限らない。

要約すると、あるメールがDMARCに準拠していると見なされるためには、そのメールの「From:」ヘッダーに記載されているドメインが、SPFで検証されたドメイン、または有効なDKIM署名に含まれる発信元ドメインのいずれかと一致している必要があります。ドメインが一致すれば、受信側は、そのメールが主張されている発信元ドメインから実際に送信されたものであると安全に判断できます。このようにして、DMARCによってメールの真正性を容易に確認できるようになるのです。

dmarcianは、メールセキュリティの専門家チームを擁し、ドメインセキュリティを通じてメールとインターネットの信頼性を高めることを使命として、組織のドメインカタログの評価、およびDMARCの導入と長期的な運用管理を支援します。

弊社までお問い合わせいただくか、無料トライアルにご登録ください。導入およびサポートチームが、導入から運用まで全面的にサポートいたします。