ホーム > 情報処理安全確保支援士試験 > 2011年春期

情報処理安全確保支援士試験 2011年春期午前2 問05

SMTP-AUTHにおける認証の動作を説明したものはどれか。

ア：SMTPサーバに電子メールを送信する前に、電子メールを受信し、その際にパスワード認証が行われたクライアントのIPアドレスに対して,一定時間だけ電子メールの送信を許可する。

イ：クライアントがSMTPサーバにアクセスしたときに利用者認証を行い,許可された利用者だけから電子メールを受け付ける。（正解）

ウ：サーバは認証局のディジタル証明書をもち,クライアントから送信された認証局の署名付きクライアント証明書の妥当性を確認する。

エ：利用者が電子メールを受信する際の認証情報を秘匿できるように,パスワードからハッシュ値を計算して,その値で利用者認証を行う。

解説

SMTP-AUTH（SMTP Authentication）は、電子メールを送信する際に、SMTPサーバに対して利用者認証を行う仕組みです。この認証によって、不正なユーザによるメール送信（なりすましやスパム送信）を防止します。

SMTPサーバにアクセスしたときに認証を行う
SMTP-AUTHでは、クライアント（メール送信ソフト）がSMTPサーバに送信要求を行う際に、ユーザ名とパスワードなどの認証情報を提供して本人確認を行います。
これにより、許可された利用者だけがメール送信できるようになります。
認証に成功した利用者のみが送信を許可される
つまり、SMTPサーバへのアクセス時点で認証が行われ、送信前に利用者の正当性が確かめられる仕組みがSMTP-AUTHの基本です。

「電子メールを受信した際のパスワード認証で、そのクライアントIPアドレスに対して送信許可を与える」とありますが、SMTP-AUTHは送信時の認証であり、受信時の認証ではありません。
また、IPアドレス単位で認証を管理するのも仕様上誤りです。

「サーバが認証局の証明書をもち、クライアントの証明書を確認する」というのはTLSのクライアント認証やPKIの仕組みに関する説明で、SMTP-AUTHの基本的な動作とは異なります。SMTP-AUTHはユーザ名・パスワード認証が主流です。

「電子メール受信時の認証情報のハッシュ化」とありますが、SMTP-AUTHはメール送信（SMTP）時の認証であり、メール受信時はPOP3やIMAPでの認証になります。また、パスワードのハッシュ計算のみの説明もSMTP-AUTHの動作説明として不十分です。

以上の理由から、正解はイとなります。