情報セキュリティマネジメント 2019年 秋期 午前（科目A） 問07

SPF（送信ドメイン認証）【情報セキュリティマネジメント解説】

正解の理由

• ドメイン所有者がDNSに「どのメールサーバがそのドメインから送信してよいか」を記述する（SPFレコード）。
• 受信メールサーバは、送信元のIPとそのSPFレコードを照合し、許可されていなければ受信を拒否したりマークします。

解法ステップ

1. 問題文で「SPF」の略称と目的を思い出す（SPF = Sender Policy Framework）。
2. 各選択肢が「どの情報を使って検証するか」を比較する。
   • 署名を使うか（署名＝DKIM）、
   • 送信元ドメイン情報と送信サーバのIPを使うか（SPF）、
   • 送信側でのアーカイブや承認保留か（運用ルールでありSPFではない）。
3. 「送信元ドメイン情報と送信サーバのIPアドレス」を使う説明と一致する選択肢を選ぶ（イ）。

選択肢別の誤答解説

• ア: 電子署名を使う説明です。電子署名を使って送信ドメインの真正性を確認する仕組みはDKIM（DomainKeys Identified Mail：送信ドメインに鍵で署名する方式）であり、SPFとは別です。したがって誤りです。
• イ: 受信サーバが送信元ドメインのDNSにあるSPFレコードと、実際の送信サーバのIPを照合する、これがSPFの本質です。正解です。
• ウ: 送信サーバ側で全メールをアーカイブするというのはログ保存や記録の運用であり、SPFの機能とは関係ありません。誤りです。
• エ: 送信を上司の承認まで保留するのは組織のワークフロー（送信承認）の話で、SPFとは無関係です。誤りです。

よくある誤解

• 「SPFだけで完全になりすます攻撃を防げる」と思う誤解
  → SPFは有効ですが、メールの宛先ヘッダ（To:）や転送経路により検証が回避される場合があります。DKIMやDMARCと組み合わせるのが実務では推奨されます。
• 「SPFは送信メール自体に署名を付ける方式」だと思う誤り
  → SPFは署名を付ける方式ではなく、DNSのテキストレコード（TXT）に許可する送信元IPを列挙する方式です。署名方式はDKIMです。

補足コラム

• 実際のSPFの運用イメージ（職場での導入）
  • ドメイン管理者（社内ITまたはベンダー）がDNSにSPFレコードを追加します。例：自社のメール送信サービスやクラウドメールの送信IPを列挙します。
  • 受信側のメールサーバは、メール受信時に送信元IPがそのドメインのSPFレコードに含まれているかを確認します。含まれていなければ「softfail」「fail」などの結果を返し、受信拒否や迷惑メール判定に使います。
  • 実務では、まず「~all（ソフトフェイル）」運用で様子を見てから「-all（厳格拒否）」に移行するなど段階的な設定が用いられます。
• 簡単なSPFレコード例（DNSのTXTレコード）

v=spf1 ip4:203.0.113.5 include:mail.example.net ~all

• v=spf1：SPFバージョン
• ip4:203.0.113.5：このIPからの送信を許可
• include:mail.example.net：外部サービスの送信も許可
• ~all：その他は「ソフトフェイル（許可しないが厳密ではない）」を意味
• SPFは送信パス（メール中継）で正しく機能しないことがあるため、DKIM（電子署名）やDMARC（Domain-based Message Authentication, Reporting & Conformance：送信ドメインポリシー）と併用するのが現場での常識です。

FAQ