第5章 · セキュリティ実装技術·v1.0.0·更新 2026/7/9·読了目安 約16分
変更要約: 初版
5.2メール・DNSセキュリティと認証プロトコル
この節の要点
なりすましメール対策のSPF・DKIM・DMARC（送信ドメイン認証）とその役割分担、迷惑メール対策のSMTP-AUTH・OP25B/IP25B、DNSキャッシュポイズニング対策のDNSSECと迷惑送信元判定のDNSBL、認可の標準であるOAuth、無線LAN等の利用者認証プロトコルEAP/EAP-TLS/PEAP・RADIUS・PSKを、脅威に対してどの対策が有効かという観点で学びます。
なりすましメールとDNSキャッシュポイズニングは、いずれも「本物のふりをした偽物」を見抜けないことが根本原因です。CSIRTメンバーや設計者は、この脅威にはどの対策が有効かを正確に判別できなければなりません。特にSPF・DKIM・DMARCは名前が似ていて役割を混同しやすいため、それぞれが「何を検証し」「検証結果をどう使うか」を分けて理解することが本節の核心です。
5.2.1送信ドメイン認証（SPF・DKIM・DMARC）
- SPF（Sender Policy Framework）＝送信元メールサーバのIPアドレスが、送信ドメインがDNSに公開した正規の送信元IPリストに含まれるかを検証する。エンベロープFrom（SMTP通信上の送信元）のドメインを検証するため、メール転送でエンベロープFromが変わるとSPF検証が失敗しやすい弱点がある。
- DKIM（DomainKeys Identified Mail）＝送信側が秘密鍵でメールヘッダ・本文にデジタル署名を付与し、受信側がDNSで公開された公開鍵で署名を検証する。ヘッダFromのドメインの正当性とメール内容の改ざん検知を提供し、転送で内容が変わらない限り署名は維持されるためSPFより転送耐性が高い。
- DMARC（Domain-based Message Authentication, Reporting & Conformance）＝SPFとDKIMの検証結果（の少なくとも一方が合格し、かつヘッダFromのドメインと整合すること＝アライメント）を踏まえ、不合格時にメールをどう扱うか（none/quarantine/reject）を送信ドメイン側がポリシーとして宣言し、受信側に適用させる上位の枠組み。認証結果のレポートを送信ドメインへ返す仕組みも持つ。DMARC自体は独自の署名検証を行わず、SPF/DKIMの結果を「使う」立場である点が最重要。