正解：ウ
各選択肢の解説
ア取引先の転送サーバのIPアドレスを、自社の正規の送信元としてSPFレコードに追加する。
誤り。SPFレコードに載せたサーバから送られたメールは、すべて自社の正規のメールとして 合格します。他社のサーバを載せると、そこから送られた別人のメールまで合格になります。 転送先も相手ごとに違うので、一覧で追いかけることもできません。
イ自社と取引先のメールサーバの間の通信を、TLSで暗号化するように設定する。
誤り。TLSが守るのは経路上の盗聴や改ざんです。送信元ドメインの検証の結果は 暗号化しても変わらず、転送サーバのIPアドレスがSPFレコードに無いことも同じです。
ウ送るメールにDKIMの電子署名を付け、検証用の公開鍵を自社ドメインのDNSに公開する。
正解。DKIMの署名はメールそのものに付いて運ばれるので、転送で送ってくるサーバが 変わっても、内容が書き換えられなければ受信側は署名を検証できます。
エSPFレコードの判定を厳しくし、一覧に無いサーバからのメールは拒否するよう示す。
誤り。転送されたメールが失敗するのは、送ってくるサーバが一覧に無いからです。 判定を厳しくすると、本物のメールが転送先でかえって拒否されやすくなります。
理解を深めるために
消印で見るか、封をした印鑑で見るか
SPFは「当社の郵便はこの郵便局からしか出しません」と公表しておき、受け取った人が消印と照合する 仕組みです。ところが、受け取った人がその手紙を別の住所へ転送すると、消印は転送した郵便局のものに 変わり、照合に失敗します。DKIMは、手紙そのものに送り主の印鑑を押して封をする仕組みです。 どの郵便局を経由しても、封が破られていなければ印鑑で本物と確かめられます。
なぜDKIMは転送に強いのか
- SPF: 送ってきたサーバのIPアドレスを、送信元ドメインのDNSに公開された一覧と照合する。 転送されると「送ってきたサーバ」が転送サーバになるので、一覧に無く失敗しやすい
- DKIM: 送信側のサーバがメールのヘッダーと本文に電子署名を付け、検証用の公開鍵をDNSに公開する。 受信側は、どのサーバから届いたかに関係なく、署名を検証できる
署名はメールに付いて運ばれるので、単純な転送なら検証が成り立ちます。ただし、途中で件名や本文を 書き換えるメーリングリストなどでは署名の検証に失敗することがあります。 SPFの一覧に他社のサーバを足すのは、検証を通すために正規の範囲を広げてしまう対応で、逆効果です。
混同しやすいものとの違い
| 仕組み | 何で確かめるか | 転送されたとき |
|---|---|---|
| DKIM | メールに付いた電子署名 | 書き換えが無ければ検証できる |
| SPF | 送ってきたサーバのIPアドレス | 転送サーバが一覧に無く失敗しやすい |
| TLS | （送信元は確かめない。経路を暗号化する） | 検証の結果は変わらない |
試験では、確かめる材料が「どこから届いたか」なのか「メールに付いた署名」なのかで見分けます。 経由するサーバが変わる場面では、署名で確かめるDKIMが効きます。