情報セキュリティマネジメント 2019年 秋期 午前（科目A） 問28

SMTP-AUTH認証【情報セキュリティマネジメント解説】

正解の理由

解法ステップ

1. 「送信者をドメインAのメールサーバで認証する」という要件を確認する。ポイントは「送信時」「送信サーバ側での認証」であること。
2. 各選択肢が何をする仕組みか短く整理する。
   • APOP：受信（POP系）の認証拡張。
   • POP3S：受信（POP3）をSSL/TLSで保護する方式。
   • S/MIME：メール本文の暗号化・署名（配信経路の認証ではない）。
   • SMTP-AUTH：送信（SMTP）時の利用者認証。
3. 「送信サーバで利用者を認証する」条件に合うのはSMTP-AUTHだけと判断する。

選択肢別の誤答解説

• ア: APOP
  • APOP（Authenticated Post Office Protocol：POPの認証拡張）は、メールを受信する際にPOPサーバでの認証で使われる方式です。受信時の本人確認であり、送信時に送信サーバで認証する目的とは異なります。
• イ: POP3S
  • POP3S（Post Office Protocol version 3 over SSL/TLS：受信メールを暗号化する方式）は、受信プロトコルPOP3をSSL/TLSで保護するものです。暗号化や受信時の安全性向上はしますが、送信サーバ側での送信者認証の仕組みではありません。
• ウ: S/MIME
  • S/MIME（Secure/Multipurpose Internet Mail Extensions：メールの暗号化と署名の仕組み）は、メール本文の機密性や送信者の署名（なりすまし検出に役立つ）に使います。しかしこれは配信経路上や送受信者間でのメッセージ保護であって、送信を許可するために送信サーバでログイン認証する仕組みではありません。
• エ: SMTP-AUTH（正解）
  • SMTP-AUTHは送信（SMTP：Simple Mail Transfer Protocol）時にユーザー認証を行う拡張です。メールクライアントが送信サーバへ認証情報（ユーザー名・パスワード、またはトークン）を提示して送信を許可されます。これにより第三者による無許可のメール送信（オープンリレー）を防ぎます。

よくある誤解

• SMTPとSMTPS（またはSMTP-AUTH）を混同する
  • SMTPSはSMTPをTLSで暗号化して通信を保護する方式で、認証の有無とは別です。SMTP-AUTHは認証の仕組みで、通常はTLS（STARTTLSやSMTPS）と併用して安全に認証情報を送ります。
• S/MIMEの署名があれば送信者認証は不要と考える
  • S/MIME署名はメッセージの送信者が間違いなく鍵の所有者であることを示せますが、送信サーバが「その人に送信を許可するか（SMTPでのログイン）」を判断する用途とは別です。運用上は両方使うケースもあります。
• POP系の認証方式は送信時にも使えると思う
  • POP（受信プロトコル）での認証は受信サーバへの認証であり、送信サーバへの送信許可はSMTP-AUTHのように別途認証が必要です。

補足コラム

• 実務でのイメージ：会社のメールソフト（Outlookやスマホのメールアプリ）を設定する際、送信サーバの設定に「送信サーバは認証が必要」「受信と同じ設定を使う」といったチェックがあることが多いです。これがSMTP-AUTHを有効にする操作です。管理者はメールサーバで「誰が送信を許可されるか」をユーザアカウントで管理します。
• 最近の動向：パスワード認証の代わりにOAuth2などトークン方式を用いてSMTP-AUTH相当の認証を行うサービスも増えています。また、認証情報はTLSで保護して送るのが推奨です（STARTTLSやSMTPSを併用）。

FAQ