情報セキュリティマネジメント 2018年 春期 午前（科目A） 問10

送信ドメイン認証（SPF）【情報セキュリティマネジメント解説】

正解の理由

解法ステップ

1. 問題文で問われている用語を特定する（今回なら「SPF」）。
2. SPFの目的を思い出す：「送信元ドメインの詐称を検出して迷惑メールやフィッシングを防ぐ」。
3. 各選択肢のキーワードで仕組みを照らし合わせる。
   • 「ディジタル署名」はDKIMに一致する（SPFではない）。
   • 「送信元ドメイン情報と送信サーバのIPアドレスの突合」はSPFそのもの。
   • その他（上司の承認、一括アーカイブ）はメール運用の別機能でSPFと無関係。
4. 一番合致する選択肢を選ぶ（この場合はイ）。

選択肢別の誤答解説

• ア: 電子メールに付与されたディジタル署名を使う仕組みはDKIMです。DKIMはメール本文やヘッダに署名を付け、受信側が公開鍵で検証します。SPFは署名ではなく、送信に使われたサーバのIPとDNSのSPFレコードを比較します。
• イ: 受信サーバが送信元ドメインのDNSにあるSPFレコードと、実際に接続してきた送信サーバのIPアドレスを照合して詐称を確認する、これがSPFの基本です。
• ウ: 送信を上司の承認で保留するのは組織の業務ポリシーやワークフローの話で、SPFの機能ではありません。
• エ: すべてのメールをアーカイブするのはメールアーカイブ機能やコンプライアンス対策で、SPFとは無関係です。

よくある誤解

1. 「SPFはFromヘッダ（ユーザーに見える差出人）を直接検証する」
   • 実際にはSPFはSMTPセッションで使われるエンベロープ送信者（MAIL FROM）やReturn-Pathに基づいて検査します。ユーザーが表示するFromヘッダと一致しない場合があります。
2. 「SPFがあればメールのなりすましは完全に防げる」
   • SPFは有効な手段ですが、転送（フォワーディング）で破綻する場合や、Fromヘッダを偽る他の手法には無力です。DKIMやDMARCと組み合わせるのが望ましいです。
3. 「SPFの設定はメールサーバ側でするもの」
   • SPFレコードは送信ドメインのDNSにTXTレコードとして設定します。メールサーバではそのDNS情報を参照して検証します。

補足コラム

• SPFのDNSレコード例（よくある形式）：

v=spf1 ip4:203.0.113.10 include:mail.example.com -all

• v=spf1：SPFバージョン
• ip4:...：許可する送信元IP
• include:：外部サービス（例：メール配信業者）を許可する指定
• -all：記載以外はすべて拒否する（fail）
• 運用での注意点（職場での実務イメージ）
  • 社外のメール配信サービスやクラウドサービスを使うときは、必ずSPFレコードにそのサービスの送信IPやincludeを追加します。マーケティング部が外部ツールでメール送信する場合、総務やIT窓口に連絡してDNSを更新するルールを作ると実務がスムーズです。
  • DNSの参照（include）や多重の参照は、SPFで許されるDNSルックアップ回数（上限）があるため注意が必要です。

FAQ