情報セキュリティマネジメント 2016年 秋期 午前（科目A） 問28

ディジタル署名検証【情報セキュリティマネジメント解説】

正解の理由

解法ステップ

1. 「なりすましではないことを確認できる」とは何を意味するかを整理する（単に表示されるアドレスと本物かどうかは別問題）。
2. メールの表示情報（Fromヘッダや本文内の署名）は偽装できる点を理解する。
3. 第三者が発行し、検証可能な暗号的証明（ディジタル署名＋信頼できる証明書）であるかを確認する基準を探す。
4. 各選択肢がその基準を満たすか照らし合わせると、ウが該当する。

選択肢別の誤答解説

• ア: 送信元メールアドレスがECサイトで利用されているアドレスである。
  表示される送信元アドレスは簡単に偽装（なりすまし）できます。メールの「From」にECサイトのアドレスが書かれていても、それだけでは真正性は保証されません。
• イ: 送信元メールアドレスのドメインがECサイトのものである。
  ドメイン部分（@以下）もメールヘッダの改ざんや表示偽装で見かけ上合わせることができます。技術的な検証（署名や証明書）が無ければ信頼できません。
• ウ: ウ ディジタル署名の署名者のメールアドレスのドメインがECサイトのものであり、署名者のディジタル証明書の発行元が信頼できる組織のものである。
  正答。ディジタル署名によりメール内容と署名者の紐付けが検証できます。さらに証明書を発行した組織（CA）が信頼できれば、その署名者が正当な所持者であることまで担保されます。
• エ: 電子メール本文の末尾にテキスト形式で書かれた送信元の連絡先に関する署名のうち、送信元の組織を表す組織名がECサイトのものである。
  本文内のテキスト署名（単なる文字列）は簡単にコピー・改変できます。証明能力はなく、なりすまし防止にはならないため不適切です。

よくある誤解

1. 「送信元アドレスが合っていれば安全」
   → 表示されるFromアドレスは偽装できるため、それだけで安心してはいけません。必ず技術的検証（署名やSPF/DKIM/DMARC等）を確認します。
2. 「DKIMやSPFがあればディジタル署名と同じ」
   → DKIM（DomainKeys Identified Mail：メールの一部をドメインが署名する仕組み）やSPF（Sender Policy Framework：送信元IPの検証）は有用ですが、S/MIME等の個人／組織の証明書での署名とは目的や信頼の根拠が異なります。相互補完で使います。

補足コラム

• S/MIME（Secure/Multipurpose Internet Mail Extensions：メールを暗号化・署名する標準）や署名付きメールは、受信側のメールソフトが「署名が正当である」「証明書の発行元が信頼済み」と表示します。職場では、重要な取引や請求書メールに対して「署名済みであること」を受領基準にする運用を作ると安全です。
• 証明書発行元（CA）が信頼できるとは、CAが適切な本人確認をして証明書を発行していることを意味します。一般利用者はメールソフトの「信頼済みルート」にリストされているCAを基準にします。企業の場合は自社で証明書発行ポリシーを定め、外部CAと契約する運用が一般的です。
• 実務上は、（1）メールが署名されているか、（2）証明書の発行元が信頼済みか、（3）署名のメールアドレス／ドメインが一致しているか、の3点を確認します。加えて重要メールならリンク先のURLや添付ファイルの取り扱いルールも運用で定めます。

FAQ