初心者歓迎！ネットワークセキュリティ入門 第4回

ネットワークの脅威と対策を一から学ぼう

メールが抱える根本的な弱点とスパム対策

Webと同じく利用するユーザーの多いインターネットメール（以下メール）のセキュリティは重要な課題だ。特に、ウイルスやスパイウェアなどの送付も多いが、スパムメールや情報漏えいの問題も深刻だ。ここでは、メールの構造的な弱点とスパムメール対策について解説しよう。

メール送受信のメカニズム

　1990年代に登場したWebに比べて、メールは歴史も古く、成熟したアプリケーションである^※1。全世界でユーザーも多く、今ではPCだけではなく、携帯電話でも利用されている。こうしたメールはどのように送受信されているのだろうか？　ここではセキュリティについて解説する前に、現在採用されているメール送受信の仕組みをおさらいしておこう（図1）。

※1：円熟したアプリケーションである　1960年代には最初の電子メールプログラムが登場したともいわれており、1970年代にはFTPの拡張として現在のインターネットメールの技術が確立した1982年、TCP/IPとほぼ同時期にSMTPが開発され、その後RFCとなる。

図1　メールの送受信の仕組み

　まず、PC上のメールクライアントでメッセージを作成・編集し、宛先のメールアドレスを指定し、送信ボタンを押すと、まずは自らのドメインのメールサーバに送信を依頼する。このメールサーバは、あらかじめメールクライアントで指定されているものだ。

　メールを受け取ったメールサーバは、宛先のメールアドレスから自ドメインか、他のドメインかを判断。他ドメインであれば、そのドメインを管轄するメールサーバにメールを配送する。ここでは、メールアドレスから宛先のメールサーバのIPアドレスを特定するため、宛先ドメインのDNSサーバに問い合わせるという作業が発生する。

　受け取ったメールサーバは宛先となるユーザーのメールボックスに格納することになる。ここまではSMTP（Simple Mail Transfer Protocol）というプロトコルを用いて送信作業を行なう。

　そして、相手先のユーザーはサーバ上のメールボックスからメールをクライアントにダウンロードし、内容を読むことができる。この際、一般的に利用されるのがPOP3（Post Office Protocol）というプロトコルだ。

メールの仕組みが抱えるいくつもの弱点

　問題なのは、こうしたメールの送受信のメカニズムにセキュリティが組み込まれていないことだ。そのため、昔からさまざまな攻撃にさらされてきた。さらに最近ではスパムメール^※2、フィッシング、情報漏えいなど、多種多様な攻撃や脅威にさらされている。

※2：スパムメール　スパム（SPAM）は米国のホーメルフードが販売しているランチョンミートの商品名。スパムメールは、イギリスのコメディアンであるモンティ・パイソンの作品の中で、「日常的に繰り返し出される食事」という皮肉を込めて「SPAM！」を連呼するコントに由来しているという。

　なぜ、こうしたメールを用いた攻撃が横行するのだろうか（図2）。まず、メールを送信するためのSMTPでは、送信元のホストやサーバが認証されないという点が挙げられる。メールサーバの設定によっては、管轄しているドメイン以外のユーザーでも、勝手にメールサーバを利用できてしまうことになる。

図2　メールが抱えるセキュリティ面での弱点

　また、認証機能を持っているPOP3においても、パスワードはネットワーク上を平文で流れてしまう。そのため、このパスワードが傍受されたら、悪意の第三者にメールを勝手に読み出されてしまうことになる。

　さらに、メッセージが暗号化されていないため、経路上でのぞき見や改ざんが行なわれる可能性がある。メールは封筒に入った手紙ではなく、宛先や中身が誰でも読めるはがきに喩えられる。そのため、経路上の第三者が不正にメールを取得すれば、宛先や送信元はもちろん文面まで書き換えることが可能だ。つまり、メールのヘッダやメッセージは完全に信用できる情報とはいい難いのだ。

　実際、メールのセキュリティを脅かすさまざまな攻撃は、ほとんど送信元アドレスなどを偽って行なわれる。また、外部へのメール転送を許すサーバを踏み台にして、不正なメールを送信する。送信元が偽装されているため、攻撃者を特定するのが困難だ。

　送信元のメールアドレスなどが必ずしもあてにならず、しかも送信元の身元が証明されていないため、他人がなりすましを行なっても判断できない。文面などを見て、本人かどうかを判断するしかない。このようにメールには盗聴や改ざん、なりすましなどに対する耐性が仕組みとして備わっておらず、セキュリティという観点では、きわめて脆弱な仕組みといわざるをえない。そのため、メールサーバやメールプロトコルの強化で、こうした脆弱性を穴埋めする試みが行なわれてきた。

（次ページ、「ウイルス対策ソフトではスパムメールは防げない」に続く）