資格道場基本情報
資格道場 › レッスン一覧 › セキュリティ
セキュリティ・7/23・12分

電子メールのセキュリティ

ゴール

S/MIME・SMTP-AUTH・SPFが「メールのどこで何を守るか」を区別し、第三者中継のログを判定できるようになる。標的型攻撃メールや誤送信対策の選択肢も、迷わず選べるようにする。

メールは「誰でも送れて、差出人を名乗れる」古い仕組みです。そのため、暗号化・本人確認・なりすまし検知・踏み台対策を区別して問う問題が、本試験でも免除試験でも繰り返し出ています。

このレッスンで稽古する（用語チェック・過去問）

結論：メールの旅のどこで、何が守るか

メールは 送信者のPC → 自社のメールサーバ → 相手のメールサーバ → 受信者のPC の順に届きます。試験では「どの区間の、何の対策か」を当てさせます。用語を覚える前に、まずこの地図を頭に入れてください。

flowchart LR
  A["送信者のPC"] -->|"①送信：SMTP-AUTHで本人確認"| B["自社のメールサーバ"]
  B -->|"②転送：SMTP"| C["相手のメールサーバ（SPFで送信元を確認）"]
  C -->|"③受信：APOP・POP3S"| D["受信者のPC"]
対策 守る場所 何を防ぐか
S/MIME メールの中身（区間を問わず最初から最後まで） 盗み見・改ざん・差出人のなりすまし
SMTP-AUTH ①送信（PC→自社サーバ） 部外者が自社サーバから送ること
SPF ②受け取る側のサーバ 送信元ドメインの詐称
第三者中継の禁止 自社サーバ 迷惑メールの踏み台にされること
誤送信対策・コンテンツフィルタリング 送信する前 うっかり・意図的な情報漏えい

S/MIME：メールの中身に「鍵」と「印鑑」を付ける

S/MIME（エスマイム）は、公開鍵証明書（公開鍵の持ち主を認証局が保証する電子的な証明書）を使って、メールの 暗号化 と ディジタル署名 を行う方式です。たとえるなら、手紙を 相手しか開けられない鍵付きの箱 に入れ、さらに 自分の印鑑で封をする ようなものです。

どちらの場面で、誰の鍵を使うかが一番問われます。

やりたいこと 送信者Aが使う鍵 受信者Bが使う鍵 分かること
暗号化（Bだけが読める） Bの公開鍵 で暗号化 Bの秘密鍵で復号 途中で盗み見されない
署名（Aが送った証明） Aの秘密鍵 で署名 Aの公開鍵で検証 送信者が本人であること・改ざんされていないこと

※実際には、本文は高速な共通鍵で暗号化し、その共通鍵をBの公開鍵で包んで送ります（ハイブリッド方式）。

S/MIMEにできないこと（ひっかけの定番）

  • 書かれた内容が 事実かどうか の保証（署名で分かるのは「Aが書いた」ことだけ）
  • ウイルスの検出・感染の防止（感染したファイルも、きれいに暗号化して届けてしまう）
  • スパムのフィルタリング、改ざんされた内容の 復元（改ざんに「気づける」だけ）

S/MIMEと紛らわしいもの

用語 正体 暗号化か
S/MIME メールの暗号化＋署名 ○
BASE64 バイナリデータを文字に変換する 符号化 ×（誰でも元に戻せる）
GZIP データの 圧縮 ×
PNG 画像 の形式 ×
送信者A本文共通鍵で暗号化暗号化した本文共通鍵Bの公開鍵で包む包んだ共通鍵↓ 2つを1通のメールで送る受信者B包んだ共通鍵Bの秘密鍵で開く共通鍵暗号化した本文共通鍵で復号本文が読める本文は速い共通鍵、その鍵だけ公開鍵で包む＝ハイブリッド方式
S/MIMEの暗号化の中身。本文は速い共通鍵で暗号化し、その共通鍵だけをBの公開鍵で包んで一緒に送る（ハイブリッド方式）。

SMTP-AUTH：送るときに「あなたは誰？」を確かめる

メールの 送信 には SMTP（メールを送る・サーバ間で転送するプロトコル）を使い、受信 には POP3（サーバからメールを取り出すプロトコル）などを使います。SMTP-AUTH は、送信のときにメールサーバがユーザIDとパスワードで利用者を認証する仕組みです。問題文に「送信時」「送信側のメールサーバで認証」とあれば、正解はこれです。

用語 送信／受信 役割
SMTP-AUTH 送信 送信者をメールサーバで認証
APOP 受信 POP3のパスワードを暗号化（ハッシュ化）して認証
POP3S 受信 POP3の通信全体をTLSで暗号化
S/MIME どちらでもない メール本文の暗号化・署名

見分け方は単純で、名前にPOPが入っていれば受信側 です。SMTPが入っているのは送信側です。

SPF：届いたメールの「差出人ドメイン」が本物か確かめる

SPF（Sender Policy Framework）は、受信側のメールサーバ が「このドメインのメールを送ってよいサーバのIPアドレス」をDNSで調べ、実際に送ってきたサーバのIPアドレスと 照合 する仕組みです。合わなければドメインの詐称（なりすまし）を疑います。会社の正式な出入り業者の名簿を受付が見て、来た人の顔と照らすイメージです。

ドメインの持ち主は、あらかじめDNSに SPFレコード（送信を許可するサーバのIPアドレスの一覧）を登録しておきます。キーワードは 「受信側」「IPアドレス」「DNS」「照合」 です。

用語 誰が 何で確かめるか 目的
SPF 受信サーバ 送信元の IPアドレス ↔ DNSに登録されたIPアドレス 送信元ドメインの詐称を検知
DKIM 受信サーバ メールに付いた ディジタル署名 を、DNSの公開鍵で検証 送信元ドメインの詐称・改ざんを検知
DNSBL 受信サーバ 迷惑メールを送るIPアドレスの ブラックリスト に照会 スパムの拒否
OP25B プロバイダ 自網の利用者から外部の25番ポート宛ての通信を 遮断 迷惑メールの直接送信を防ぐ

「署名」「ハッシュ値」と書いてあればDKIM、「IPアドレスを照合」ならSPF です。目的を問う問題では「メール送信元のなりすましの検知」を選びます。

送信してきたサーバDNS（SPFレコード）メールを送る許可IPを調べる受信側のメールサーバ届いたIPアドレスDNSの登録IP照合一致正規の送信元不一致ドメイン詐称を疑う
SPFでは受信側のメールサーバが、送ってきたサーバのIPアドレスとDNSに登録されたIPアドレスを照合し、合わなければ詐称を疑う。

第三者中継：無関係なメールを運ばない

第三者中継（オープンリレー）とは、自社と関係のない人が、自社のメールサーバを使って関係のない相手にメールを送れてしまう状態です。郵便局が、近所の人でも宛先の人でもない見知らぬ人の手紙を預かって配ってしまうようなものです。迷惑メールの 踏み台 にされるため、メールサーバでは 第三者中継を禁止 します。

判定ルールは3つの条件がすべてそろうこと です。

  1. 接続元IPアドレスが 社外
  2. 送信者のドメインが 他社
  3. 受信者のドメインが 他社

どれか1つでも自社なら、それは通常の業務です（社内からの送信、または社外から自社宛ての受信）。

なお、「ゾーン転送の制限」はDNSサーバ、「ディレクトリ一覧の禁止」「CGIの実行制限」はWebサーバの設定です。メールサーバの不正利用防止とは関係ありません。

①接続元IPが社外？はい②送信者ドメインが他社？はい③受信者ドメインが他社？はい3つそろう＝第三者中継禁止する（踏み台防止）いいえどれか1つでも自社通常の業務
第三者中継の判定。3つの条件を上から順に確かめ、すべて「はい」なら第三者中継、どれか1つでも自社なら通常の業務。

誤送信対策とコンテンツフィルタリング：送る前に止める

誤送信対策 は、宛先の間違いによる情報漏えいを防ぐ対策です。送信時に 宛先アドレスの確認を求める のが代表例です（スパム対策や不正中継対策とは別物です）。

コンテンツフィルタリング は、登録した キーワード と送信メールを自動で照合し、情報漏えいの疑いがあるメールを検知して 発信を止める 対策です。「添付ファイルが無いから検査しない」「外部サーバからの送信は検査しない」のように 例外を作る選択肢は誤り です。

標的型攻撃メール：あなたの仕事に似せてくる

標的型攻撃メール は、特定の組織や人を狙い、受信者の業務に関係がありそうな件名・本文 で信用させて、添付ファイルやリンクを開かせる攻撃です。人の心理のすきを突く ソーシャルエンジニアリング の一種です。

種類 送り先 特徴
標的型攻撃メール 特定 の組織・人 業務に関係ありそうな件名・本文
フィッシング 不特定多数（無差別） 金融機関などを装い、偽サイトへ誘導
架空請求メール 不特定多数（無差別） 債権回収会社などを装い、振込を迫る
広告メール 不特定多数 件名に「未承諾広告※」と表示

「無差別」と書いてあれば標的型ではありません。

例題 1

ログから第三者中継を見つける

自社の中継用メールサーバで，接続元 IP アドレス，電子メールの送信者のメールアドレスのドメイン名，及び電子メールの受信者のメールアドレスのドメイン名から成るログを取得するとき，外部ネットワークからの第三者中継と判断できるログはどれか。ここで，AAA.168.1.5 と AAA.168.1.10 は自社のグローバル IP アドレスとし，BBB.45.67.89 と BBB.45.67.90 は社外のグローバル IP アドレスとする。a.b.c は自社のドメイン名とし，a.b.d と a.b.e は他社のドメイン名とする。また，IP アドレスとドメイン名は詐称されていないものとする。
接続元 IP アドレス電子メールの送信者のメールアドレスのドメイン名電子メールの受信者のメールアドレスのドメイン名
アAAA.168.1.5a.b.ca.b.d
イAAA.168.1.10a.b.ca.b.c
ウBBB.45.67.89a.b.da.b.e
エBBB.45.67.90a.b.da.b.c

ア AAA.168.1.5 / a.b.c / a.b.d
イ AAA.168.1.10 / a.b.c / a.b.c
ウ BBB.45.67.89 / a.b.d / a.b.e
エ BBB.45.67.90 / a.b.d / a.b.c

出典：平成30年度 秋期 基本情報技術者試験 午前 問45

解き方と答えを見る
  1. 前提を整理する：自社IPアドレスは AAA.168.1.5 / AAA.168.1.10、社外は BBB.〜。自社ドメインは a.b.c、他社は a.b.d / a.b.e。
  2. 条件①「接続元が社外」で絞る：接続元がBBB.〜なのはウとエ。アとイは社内から送っただけなので除外する。
  3. 条件②「送信者が他社」：ウ（a.b.d）、エ（a.b.d）ともに他社。まだ2つ残る。
  4. 条件③「受信者が他社」：ウは a.b.e（他社）、エは a.b.c（自社）。エは社外の人が自社宛てに送ってきた通常の受信なので除外する。
  5. 3条件すべて（社外IP・送信者が他社・受信者が他社）を満たすのはウだけ。

答え：ウ（BBB.45.67.89 / a.b.d / a.b.e）。社外から、他社の差出人が他社宛てに出すメールを中継しているので、第三者中継と判断できる。

要点（試験直前に読む）

  • S/MIME＝メールの暗号化（受信者の公開鍵）＋ディジタル署名（送信者の秘密鍵）。署名で分かるのは「本人が送った」「改ざんされていない」ことだけ。
  • 送信時の認証＝SMTP-AUTH。APOPとPOP3Sは受信側（名前にPOPが付く）。
  • SPF＝受信サーバが、送信元IPアドレスとDNSに登録されたIPアドレスを照合し、ドメイン詐称（なりすまし）を検知する。署名を使うのはDKIM。
  • 第三者中継＝「社外IP」「送信者が他社」「受信者が他社」の3つがすべてそろったもの。対策は第三者中継の禁止。
  • 誤送信対策＝宛先の確認を求める。コンテンツフィルタリング＝キーワードと照合して発信を停止する。
  • 標的型攻撃メール＝業務に関係ありそうな件名・本文。「無差別」はフィッシングや架空請求。

ひっかけ

  • 「BASE64でメールを暗号化」→ BASE64は符号化で、誰でも元に戻せる。暗号化ならS/MIME。
  • 「S/MIMEで内容が事実だと確認できる」「マルウェアの感染を防げる」「改ざんされた内容を復元できる」→ どれもできない。分かるのは送信者の本人性と、改ざんが無いことだけ。
  • 「受信者の公開鍵を使わずに、受信者だけが読める暗号化メールを送れる」→ 誤り。暗号化には受信者の公開鍵が必要。
  • SPFの選択肢に「ディジタル署名」「ハッシュ値」→ それはDKIM。「DNSBLに照会」はブラックリストの話。SPFは「IPアドレスの照合」。
  • 第三者中継の判定で、受信者が自社のログ（エ）を選ばせる → それは社外から自社宛ての通常の受信。3条件すべてが「外」かどうかを確認する。

用語（18）

S/MIME Secure / Multipurpose Internet Mail Extensions
公開鍵証明書を使い、メールの暗号化とディジタル署名を行う方式。
⚠ BASE64は符号化で暗号化ではない。SMTP-AUTHは送信者の認証で、本文は守らない。
ディジタル署名 でぃじたるしょめい
送信者が自分の秘密鍵で付け、受信者が送信者の公開鍵で検証することで、本人性と改ざんの有無を確かめる仕組み。
⚠ 暗号化は受信者の公開鍵を使う。署名は送信者の秘密鍵を使う。内容が事実かどうかは保証しない。
公開鍵証明書 こうかいかぎしょうめいしょ
公開鍵とその持ち主の対応を、認証局（CA）が保証する電子的な証明書。
BASE64 ベースろくじゅうよん
バイナリデータを、メールで送れる英数字などの文字に変換する符号化方式。
⚠ 誰でも元に戻せるので暗号化ではない。暗号化ならS/MIME。
SMTP Simple Mail Transfer Protocol
メールを送信したり、メールサーバ間で転送したりするためのプロトコル。
⚠ POP3・IMAPは受信（取り出し）用。
SMTP-AUTH SMTP Authentication
メールの送信時に、送信側のメールサーバが利用者をIDとパスワードで認証する仕組み。
⚠ APOPとPOP3Sは受信側。「送信時」「送信側サーバで認証」ならSMTP-AUTH。
POP3 Post Office Protocol version 3
メールサーバに届いたメールを、受信者のPCへ取り出すためのプロトコル。
⚠ 送信はSMTP。
APOP Authenticated Post Office Protocol
POP3でメールを受信するときに、パスワードをそのまま流さずハッシュ化して認証する方式。
⚠ 受信時の認証。送信時の認証はSMTP-AUTH。
POP3S POP3 over SSL/TLS
POP3の通信全体をTLSで暗号化して、受信を保護する方式。
⚠ 守るのは受信の通信路だけ。メール本文そのものの暗号化・署名はS/MIME。
SPF Sender Policy Framework
受信側のメールサーバが、送信元ドメインのDNSに登録されたIPアドレスと、実際の送信元IPアドレスを照合し、ドメインの詐称を検知する仕組み。
⚠ DKIMはディジタル署名で検証する。DNSBLはブラックリストへの照会。
DKIM DomainKeys Identified Mail
送信側がメールにディジタル署名を付け、受信側がDNSの公開鍵で検証して、送信元ドメインの詐称や改ざんを検知する仕組み。
⚠ SPFはIPアドレスで照合する。「署名」「ハッシュ」が出たらDKIM。
DNSBL DNS-based Blackhole List
迷惑メールを送るIPアドレスのブラックリストを、DNSの仕組みで照会できるようにしたもの。
⚠ SPFは「正規のサーバか」を照合し、DNSBLは「悪いサーバか」を照会する。
OP25B Outbound Port 25 Blocking
プロバイダが、自網の利用者から外部のメールサーバ（25番ポート）への直接の通信を遮断する、迷惑メール対策。
⚠ 誤送信対策ではない。送信者に宛先を確認させるのは誤送信対策。
第三者中継 だいさんしゃちゅうけい（オープンリレー）
社外から、自社と無関係な送信者・受信者のメールを自社のメールサーバが中継してしまうこと。迷惑メールの踏み台になる。
⚠ 受信者が自社なら通常の受信、接続元が自社なら通常の送信。
コンテンツフィルタリング（電子メール） こんてんつふぃるたりんぐ
登録したキーワードと送信メールを自動で照合し、情報漏えいの疑いがあるメールを検知して発信を止める対策。
⚠ 「添付が無ければ検査しない」など、例外を作る説明は誤り。
標的型攻撃メール ひょうてきがたこうげきめーる
特定の組織や人を狙い、業務に関係がありそうな件名・本文で添付ファイルやリンクを開かせる攻撃メール。
⚠ フィッシングや架空請求は無差別に送られる。「無差別」とあれば標的型ではない。
ソーシャルエンジニアリング そーしゃるえんじにありんぐ
技術ではなく、人の信頼や油断といった心理のすきを突いて情報を盗んだり、操作をさせたりする手口。
フィッシング Phishing
金融機関などを装ったメールで偽のWebサイトへ誘導し、IDやパスワードなどを入力させてだまし取る手口。
⚠ 無差別に送るのがフィッシング。特定の相手の業務に似せるのが標的型攻撃メール。

このレッスンの過去問

このレッスンで稽古する
← 通信を守るプロトコル（TLS・IPsec・SSH・無線LAN）
利用者認証の要素と生体認証 →