メールが本質的に安全でない理由

Simple Mail Transfer Protocolは、信頼された小規模な学術ネットワーク向けに1982年に設計されました。セキュリティは要件に含まれていなかったため、メッセージは平文で送信され、経路上のどのサーバーからも読み取れます。数十年にわたる拡張で補修されてきましたが、この根本的な弱点が完全に解消されたことはありません。

メールを送信しても、受信者に直接届くことはほとんどありません。メールはDNSのMXレコードで特定される複数のMail Transfer Agentを経由します。経由する各サーバーは、メッセージを次へ渡す前に記録、コピー、変更できる存在です。

SMTP AUTHを使うとメールクライアントはサーバーにログインできますが、認証情報がBase64で送信されることが多く、簡単にデコードできます。TLSを使用しない場合、認証のやり取り全体がネットワーク上で見えてしまいます。現在も多くのレガシーサーバーが、信頼されたIP範囲からの認証なしリレーを受け入れています。

STARTTLSは、両方のサーバーが対応している場合に、平文のSMTP接続をTLSへアップグレードします。問題は、アップグレードのネゴシエーションが平文で行われることです。そのため、通信を傍受できる攻撃者はSTARTTLSの広告をひそかに削除し、平文接続を強制できます。これはSTARTTLSダウングレード攻撃と呼ばれます。

メールを処理する各サーバーは、IPアドレス、ソフトウェアのバージョン、タイムスタンプを含むReceivedヘッダーを追加します。これらのヘッダーを下から上へ読むと、メッセージの完全な経路をたどることができ、送信元のIPアドレスや内部メールインフラが明らかになることもあります。

DomainKeys Identified Mailは、送信ドメインの秘密鍵で作成した暗号署名を送信メールに追加します。受信者はDNSで公開された公開鍵を使って署名を検証します。DKIMは、メッセージが表示されたドメインによって署名されたことを証明しますが、本文を暗号化するものではなく、中継サーバーによる読み取りも防ぎません。

Sender Policy Frameworkは、ドメインに代わってメールを送信することを許可されたIPアドレスを列挙するDNS TXTレコードです。受信サーバーがSPFを確認し、承認されていない送信元を検出すると、メッセージを拒否したり、フラグを付けたりできます。SPFだけでは、ユーザーに表示されるFromヘッダーのなりすましを防げません。

DMARCは、チェックに失敗したときに受信サーバーが取るべき処理を指定することで、SPFとDKIMを基盤として機能します。何もしない（p=none）、スパムとして隔離する、完全に拒否する、といった処理を指定できます。DMARCレポートを使うと、ドメイン所有者は自分のドメインに代わって誰がメールを送信しているかを確認できます。SPF、DKIM、DMARCを組み合わせることで、多層的ななりすまし対策になります。

メール本文の暗号化を使用していても、経路上のすべてのサーバーからメタデータは見えてしまいます。サーバーはメッセージを経路制御して配信するために、To、From、Subjectヘッダーを読み取る必要があります。メタデータだけを通信分析することで、内容に触れなくても関係性、組織、コミュニケーションのパターンが明らかになる可能性があります。

前方秘匿性とは、現在の鍵が漏えいしても過去のセッションは漏えいしない性質です。標準的なメールでは、メッセージが長期間使用される鍵でサーバーに保存されるため、これを実現できません。メールサーバーの秘密鍵が一度でも入手されると、そのサーバー向けに暗号化された過去のメールをすべて復号できます。メールで何らかの前方秘匿性を実現するには、PGPなどのエンドツーエンド暗号化ツールが必要です。

メールはオープンで分散された設計になっているため、関係するすべてのサーバーを単一の組織が管理することはありません。DMARCやMTA-STSなどのセキュリティ拡張の導入は任意であり、普及状況にもばらつきがあります。レガシーサーバー、設定ミスのあるリレー、組織の変化への抵抗があるため、メールを完全に安全にするには送信側と受信側の双方による意図的な取り組みが必要です。

SMTPにおけるSTARTTLSの根本的な制約を最もよく表しているのは、次のうちどの説明でしょうか。

SMTPはセキュリティではなく利便性を重視して構築されており、メールはデフォルトでは複数のサーバーを平文で経由します。STARTTLSはダウングレードされる可能性があり、DKIMは署名しますが暗号化はしません。また、メタデータは常に見えてしまいます。DMARCはポリシーを適用しますが、メッセージの内容は保護しません。メールの真の機密性を確保するには、PGPやS/MIMEなどのエンドツーエンド暗号化ツールが必要です。