メールセキュリティトレイルマップ (Mail Security Trail Map)

Copyright© QUALITIA CO., LTD. All Rights Reserved.
メールセキュリティ
トレイルマップ
～DMARCやその先にある世界～
株式会社クオリティア
平野善隆 <hirano@qualitia.co.jp>

会社紹介
社名株式会社クオリティア
本社東京都中央区日本橋茅場町 3-11-10
資本金 8,500万円
設立 1993年10月
代表松田賢
⚫ メッセージング関連ソリューションの開発・販売
⚫ コミュニケーションの効率化とセキュリティの強化を支援
⚫ メッセージ関連のクラウド型サービス・ソフトウェアで提供
「コミュニケーション」「セキュリティ」の未来をお客様やパートナーと共創する
Q U A L I T Y M A K E S F U T U R E

自己紹介
名前平野善隆
所属株式会社クオリティア
チーフエンジニア
資格等 Licensed Scrum Master
Certified Scrum Developer
主な活動 M3AAWG
JPAAWG
IA Japan 迷惑メール対策委員会
迷惑メール対策推進協議会
メッセージング研究所(MRI)
Audax Randonneurs Nihonbashi

開発の様子
新製品研究開発の
チームです
チームメンバー
募集中！
開発チームTwitterアカウント

メールセキュリティって
どこまでやったらいいの？

メールセキュリティ技術
SPF
DKIM
誤送信
防止
無害化
Password
ZIP
Anti
Phishing Anti
SPAM
DNS
SEC
SMTP
AUTH
DANE
MTA-
STS
START
TLS
BIMI
ARC
DMARC
TLS-
RPT
Anti
Virus
Virus
Filter
Sand
box
安心
マーク
なんかいろいろあって
よく分からない

何を何から守りたいのか

何から守りたいのか
クオリティア
メール
サーバ
メール
サーバ
なりすまし
乗っ取り
盗聴
改ざん
盗難
漏洩
ウィルス
メール
サーバ
フィッシング

•なりすまし・改ざん
•乗っ取り・踏み台
•盗聴
•スパム・マルウェア・フィッシング
•情報漏洩

なりすまし・改ざん
から守る

なりすまし・改ざんから守る
クオリティア
メール
サーバ
メール
サーバ
メール
サーバ
なりすまし
改ざん

•SPF
•DKIM
•DMARC
•ARC
•BIMI

SPFがないとき
192.0.2.1
203.0.113.1
Env From: taro@qualitia.co.jp
From: taro@qualitia.co.jp
Subject: お振り込みください
いつもお世話になっております。
・・・・
振り込みね。ポチっと。
×
クオリティア

SPFがあるとき
192.0.2.1
AR: spf=pass
・・・・
qualitia.co.jp txt “v=spf1 ip4:192.0.2.1 –all”
Envelope FromからIPをチェック
○
本物だな。振り込みっと。
クオリティア

SPFがあるとき
192.0.2.1
203.0.113.1
AR: spf=fail
・・・・
偽物っぽいなぁ
×
クオリティア

だがしかし

SPFがあっても
192.0.2.1
203.0.113.1
Env From: jiro@悪徳グループ.example
AR: spf=none
・・・・○○会社.example txt “v=spf1 ip4:192.0.2.1 –all”
クオリティア

悪徳グループのSPFで認証
192.0.2.1
203.0.113.1
AR: spf=pass
・・・・
悪徳グループ.example txt “v=spf1 ip4:203.0.113.1 –all”
振り込み、ポチっと。
クオリティア

SPF
•Envelope FromとIPアドレスが正しいか
どうかを確認できる
•RFC4408 (2006/04)
送信元IP = Envelope From = Header From?

DKIM

DKIMがないとき
AR: dkim=none
・・・・
クオリティア

DKIM-Signature: v=1;
d=qualitia.co.jp; s=s1;
h=From:Subject;
b=abcdef・・・・
・・・・
DKIMがあるとき
署名して送ります
s1._domainkey.qualitia.co.jp txt “v=dkim1;p=ABCDEF...”
暗号化
Public Key
Private Key
hash
クオリティア

h=From:Subject;
AR: dkim=pass
・・・・
DKIMがあるとき
安心して振り込みね。ポチっと。
複合化
Public Key
Private Key
hash○
クオリティア

d=qualitia.co.jp;
h=From:Subject;
・・・・
DKIMがあるとき
署名できない！
暗号化
Private Key
hash
×
クオリティア

h=From:Subject;
Subject: 泥棒にお振り込みください
・・・・
DKIMがあるとき
署名したものを
改ざんします
Public Key
Private Key
クオリティア

h=From:Subject;
Subject: 泥棒にお振り込みください
AR: dkim=fail
・・・・
DKIMがあるとき
改ざんされてるかも？！
複合化
Public Key
Private Key
hash
×
クオリティア

DKIMがあっても
AR: dkim=none
・・・・
Private Key
DKIMがないときと
変わらない
クオリティア

もしかしたら？
AR: dkim=none
・・・・
あれ？クオリティアさん
普段、署名付いてるよね
Private Key
DKIMがないときと
変わらない
クオリティア

d=悪徳グループ.example; s=aku;
h=From:Subject;
・・・・
DKIMがあっても
署名して送ります
aku._domainkey.悪徳グループ.example txt “v=dkim1;p=ABCDEF...”
暗号化
悪徳グループの
Private Key
Private Key
hash
クオリティア

h=From:Subject;
AR: dkim=pass
・・・・
DKIMがあっても
ポチっと。
複合化
Public Key
Private Key
hash○
Private Key
クオリティア

DKIM
•ヘッダや本文に署名して改ざんを防止できる

SPF DKIM の問題点
•SPFは第三者がEnvelope Fromをなりすま
してもspf=passしてしまう
•DKIMは第三者が署名してもdkim=passして
しまう

DMARC

DMARCなら
•Header Fromを基準に確認
•Header From
Envelope From
DKIM署名者
が一致することを確認

悪徳グループのSPFで認証 (dmarc p=none)
192.0.2.1
203.0.113.1
AR: spf=pass, dmarc=Fail
・・・・
_dmarc.qualitia.co.jp txt “v=DMARC1; p=none”
dmarc=failだわ。
×
クオリティア

悪徳グループのSPFで認証 (dmarc p=reject)
192.0.2.1
203.0.113.1
AR: spf=pass, dmarc=Fail
・・・・
× 届かない
_dmarc.qualitia.co.jp txt “v=DMARC1; p=reject”
×
クオリティア

h=From:Subject;
AR: dkim=pass, dmarc=fail
・・・・
悪徳グループのDKIM署名
Public Key
Private Key
×
_dmarc.qualitia.co.jp txt “v=DMARC1; p=reject”
×届かない
クオリティア

h=From:Subject;
Subject: [○○ML:1234]久しぶりの投稿
AR: dkim=fail
こんにちは。おひさしぶりです。
・・・・
DKIM + メーリングリスト
大丈夫なのかなぁ。
複合化
Public Key
Private Key
hash
×
クオリティア

ARC

ARCがあれば
arc=passですね。
Private Key
クオリティア
メーリングリスト
サーバ
ml.example.jp
ARC-Seal: i=1; cv=none; d=ml.example.jp;...
ARC-Message-Signature: i=1; d=ml.example.jp;
h=from:subject:dkim-signature:...
ARC-Authentication-Result: i=1; ml.example.jp;
dkim=pass; spf=pass; dmarc=pass
DKIM-Signature: v=1; d=qualitia.co.jp; b=abcdef・・・・
Subject: [○○ML:1234]久しぶりの投稿
AR: dkim=fail, arc=pass
こんにちは。おひさしぶりです。
・・・・

ARC
•The Authenticated Received Chain Protocol
•RFC8617 (2019年7月)
•メーリングリストサーバが受信したときに
DKIM=passやARC=passであれば、
ARCとして連番付きで再署名

運用

最近のDKIM事情
•RFC8301: Cryptographic Algorithm and Key Usage Update
to DomainKeys Identified Mail (DKIM) (2018/1月)
・署名も検証もrsa-sha256を使いましょう(MUST)
・rsa-sha1はやめましょう(MUST)
・署名は1024bit以上(MUST)、2048bit以上(SHOULD)
・検証は1024bit～4096bit(MUST)
※ しかし、2048bitはDNSに書けるサイズ255バイトを超えてしまう

最近のDKIM事情
•RFC8463: A New Cryptographic Signature Method for
DomainKeys Identified Mail (DKIM) (2018/9月)
・署名側は実装しましょう(SHOULD)
・検証側は実装必須(MUST)
・後方互換性のために署名はEd25519-SHA256と
RSA-SHA256(1024bit以上)を2つ記述する
Ed25519-SHA256を使いましょう
BASE64後のサイズが44バイトしかないのでDNSの問題もない

DKIMのKey Rotation
•DKIMキーの
ローテーション
も必要
https://www.m3aawg.org/sites/default/files/m3aawg-dkim-key-rotation-bp-2019-03.pdf

DKIMの運用
•新しい暗号方式への追従がめんどくさい
•Key Rotationめんどくさい
DKIM署名サービス絶賛開発中
近日公開予定！
注目

BIMI

BIMI
•DMARCがpassしたら、
送信ドメインの
管理者が指定した
ロゴを表示する
ロゴを表示
注目

なりすまし・改ざんから守る（まとめ）
•SPF
•DKIM
•DMARC
•ARC
•BIMI

•盗聴
•情報漏洩
乗っ取り・踏み台から守る

乗っ取り・踏み台
から守る

クオリティア
メール
サーバ
メール
サーバ
乗っ取り

POP before SMTP

POP before SMTP
POP3で認証が成功した場合のみ、
SMTPで送信できる
メールサーバ

SMTP AUTH

SMTPAUTH
SMTPでID/パスワード認証が成功した場合のみ、
送信できる
メールサーバ
RFC2554 (1999) → RFC4954 (2007)

OP25B

OP25B
•SMTP(Port587)でID/パスワード認証が
成功した場合のみ送信できる
•PCからPort25はブロックする
メールサーバ

Multi Factor Authentication
多要素認証

Multi Factor Authentication
SMTP AUTH、デバイス認証、生体認証などを
複数組み合わせて、認証できれば送信できる
メールサーバ
デバイス認証
+ 顔認証
OK

デモ
作ってみた
注目

デモ
メールサーバデバイス認証
+ 顔認証
OK

デバイス + 顔認証
送
信
画
面
パ
ケ
ッ
ト
メールを送信

送
信
画
面
パ
ケ
ッ
ト
スマホへ認証依頼

送
信
画
面
パ
ケ
ッ
ト
顔認証

送
信
画
面
パ
ケ
ッ
ト
認証中

送
信
画
面
パ
ケ
ッ
ト
認証・送信完了

多要素認証
SMTPの生体認証サービス
βユーザー募集！
注目

乗っ取り・踏み台から守る（まとめ）
•POP before SMTP
•SMTP AUTH
•OP25B
•Multi Factor Authentication

•盗聴
•情報漏洩
盗聴から守る

盗聴
から守る
盗聴から守る

盗聴から守る
クオリティア
メール
サーバ
メール
サーバ
盗聴
改ざん
盗難
盗聴から守る

ZIP暗号化
盗聴から守る

ZIP暗号化
クオリティア
メール
サーバ
メール
サーバ
盗聴
改ざん
盗難
パスワード
盗聴から守る

STARTTLS
盗聴から守る

STARTTLS
クオリティア
メール
サーバ
メール
サーバ
盗聴
改ざん
メールサーバー間を暗号化する
盗聴から守る

だがしかし
盗聴から守る

STARTTLS非対応の場合
クオリティア
メール
サーバ
メール
サーバ2
盗聴
改ざん
サーバーやクライアントが対応
していなければ暗号化なしで
配送される
メール
サーバ1
盗聴から守る

乗っ取られた場合
クオリティア
メール
サーバ
メール
サーバ
暗号化に対応していても無意味
メール
サーバ
ARP
BGP
・・・
盗聴から守る

MTA-STS
盗聴から守る

MTA-STS
•STARTTLSを必ず使って配送する
•TLS1.2以上を必ず使う
•証明書が有効でなければ配送しない
•RFC8461 (2018/09)
盗聴から守る

MTA-STSがあるとき
クオリティア
メール
サーバ
メール
サーバ
暗号化に対応
していなければ送らない
_mta-sts.qualitia.co.jp. IN TXT "v=STSv1; id=20191114123000Z;"
version: STSv1
mode: enforce
mx: mx1.qualitia.co.jp
max_age: 1296000
https://mta-sts.qualitia.co.jp/.well-known/mta-sts.txt
＝盗まれない
盗聴から守る
ポリシー

だがしかし
届かなかったことを知りたい
盗聴から守る

TLS-RPT
盗聴から守る

TLS-RPTがあるとき
クオリティア
メール
サーバ
メール
サーバ暗号化に対応していなければ
レポートを送る
RFC8460 (2018/09)
version: STSv1
mode: enforce
max_age: 1296000
_smtp._tls.qualitia.co.jp. IN TXT "v=TLSRPTv1;rua=mailto:reports@qualitia.co.jp"
盗聴から守る

注意！
クオリティア
メール
サーバ
メール
サーバ
version: STSv1
mode: enforce
max_age: 1296000
_smtp._tls.qualitia.co.jp. IN TXT "v=TLSRPTv1;rua=mailto:reports@qualitia.co.jp"
暗号化に対応して
いないので
レポートが送れない！
盗聴から守る

Report Using HTTPS
クオリティア
メール
サーバ
メール
サーバ
version: STSv1
mode: enforce
max_age: 1296000
_smtp._tls.qualitia.co.jp. IN TXT "v=TLSRPTv1;rua=https://api.qualitia.co.jp/v1/tlsrpt"
HTTPSも使えます
https://api.qualitia.co.jp.jp/v1/tlsrptPOST
盗聴から守る

DNSハイジャッキング
クオリティア
メール
サーバ
メール
サーバMTA-STSを無効化
メール
サーバ
DNS
盗聴から守る

不正な認証局
クオリティア
メール
サーバ
メール
サーバ
メール
サーバ
ARP
BGP
・・・
公開鍵証明書認証局(CA)
署名
qualitia.co.jp
qualitia.co.jp
署名
問題のある
送信者からは正しく見える
信頼
盗聴から守る

DANE
盗聴から守る

DANE
•公開鍵証明書認証局(CA)を利用しない
•使用してもよい
•オレオレ証明書でもOK
•DNSSECを利用する
•RFC7672 (2015/10)
盗聴から守る

DANE
クオリティア
メール
サーバ
メール
サーバ
CAの代わりにDNSSECを利用
DNSSEC
不要
ルートDNS
DNSSEC
信頼
盗聴から守る
_25._tcp.mx1.qualitia.co.jp. IN TLSA 3 0 1 2B73BB905F…"
mx1.qualitia.co.jp

だがしかし
設定や運用が大変！
盗聴から守る

MTA-STS TLS-RTP DANEの運用
•DNSSECの運用が大変
•そもそもDNSSECが使えない
•Key Rotationめんどくさい
•レポート解析したくない
メール利用者のための
権威DNSSECサービス絶賛開発中
近日公開予定！
注目
盗聴から守る

盗聴から守る (まとめ)
•暗号化ZIP
•STARTTLS
•MTA-STS
•TLS-RPT
•DANE-TLS
•DNSSEC
•DANE-S/MIME (おまけ)
盗聴から守る

•盗聴
•情報漏洩
スパム・マルウェア・フィッシングから守る

スパム・マルウェア・
フィッシング
から守る

スパムやマルウェアなどから守る
メール
サーバ
メール
サーバ
なりすまし
スパム
ウィルス
フィッシング

受信メールのセキュリティ
•スパムフィルタ
•ウィルスフィルタ

だがしかし
ウィルスが暗号化されている！
ウィルスフィルタで検知できない！

パスワードで解凍してウィルスチェック
パスワードで解凍
ウィルスチェック
サンドボックスで
チェック
安全なもののみ
ダウンロード
注目

•盗聴
•情報漏洩
情報漏洩から守る

情報漏洩
から守る

誤送信防止
•メール一時保留
•To, Cc → Bcc変換
•パスワード付きZIP

WebDownload
クオリティア
メール
サーバ
メール
サーバ
分離
添付ファイル
注目

EMAILを守るための技術
•盗聴
•情報漏洩
SPF DKIM DMARC ARC BIMI
POP before SMTP SMTP AUTH MFA
STARTTLS MTA-STS TLS-RPT DANE DNSSEC
AntiSPAM AntiVirus SandBox Active! zone
一時保留 PasswordZIP WebDownload Active! gate

紹介した製品・サービス
•BIMI対応ウェブメール製品
•DKIM署名サービス
•SMTPの生体認証製品・サービス
•権威DNSSEC+メール設定支援サービス
•TLSレポート解析サービス
•パスワード付きファイルのウィルスチェック製品
•誤送信防止用添付ファイル分離製品・サービス
βユーザ募集！

ご清聴ありがとうございました
• BIMI対応ウェブメール製品
• DKIM署名サービス
• SMTPの生体認証製品・サービス
• 権威DNSSEC+メール設定支援サービス
• TLSレポート解析サービス
• パスワード付きファイルのウィルスチェック製品
• 誤送信防止用添付ファイル分離製品
ご清聴ありがとうございましたアンケートお願いします

メールセキュリティトレイルマップ (Mail Security Trail Map)

Recommended

Recommended

More Related Content

Similar to メールセキュリティトレイルマップ (Mail Security Trail Map)

Similar to メールセキュリティトレイルマップ (Mail Security Trail Map) (20)

More from Yoshitaka Hirano

More from Yoshitaka Hirano (7)