応用情報・セキュリティを解く（H27春）前編

あしです。こんにちは。
今回は、平成 27 年度（2015 年度）春期の「応用情報技術者試験」の過去問（午後 問1 情報セキュリティ）を解いていきます。

テーマは、「電子メールのセキュリティ」です。
さっそくいきましょう。

解説

知識の確認

設問に入る前に、電子メールの基本知識を確認させてください。

これは、電子メールを送ってから届くまでの絵になります。各プロトコルについて、簡単に復習しておきます。

SMTP
利用者のパソコンから電子メールを送信するときや、メールサーバ間で電子メールを転送するときに使われるプロトコル
《基本情報技術者 H19 秋 午前, H16 秋 午前》

POP（Post Office Protocol）
メールサーバのメールボックスから電子メールを取り出すときに使用するプロトコル
《基本情報技術者 H24 春 午前, H20 秋 午前》

IMAP（Internet Message Access Protocol）
電子メールシステムにおいて、利用者端末がサーバから電子メールを受信するために使用するプロトコルであり、選択した電子メールだけを利用者端末へ転送する機能、サーバ上の電子メールを検索する機能、電子メールのヘッダだけを取り出す機能などをもつ
《情報セキュリティスペシャリスト H25 秋 午前2, ソフトウェア開発技術者 H20 春 午前》

ポート番号は、SMTP が TCP 25 番、POP が TCP 110 番、IAMP が TCP 143 番となります。
これを踏まえて、問題を解いてみましょう。

空欄 a

知識問題です。基本的には、知らなければ解けません。が、選択式なので、正解にはたどり着けます。以下の「参考」ボックスを参照してください。

メールサーバでのメール受信時の送信元メールアドレスが詐称されていないかのチェック
《p.6 T君のセリフ》

送信元 IP アドレスを基にチェックする技術（SPF）、又は受信メールの中の電子署名を基にチェックする技術（DKIM）
《p.6 T君のセリフ》

これを、「送信ドメイン認証」と呼びます。ということで、正解は、a. イ となります。

設問 3

国語力の問題です。情報量も少ないので、確実に正解したいです。
IMAP がどのようなプロトコルかについても、記載があります。IMAP を知らなかったという方、ここでおさえておきましょう。

T 君：当社ではメール受信のプロトコルとして、POP を利用してきました。新メールシステムでは、指摘事項（オ）に対応するために IMAP に変更し、社内 PC で開封したメールも含め、すべての受信メールが一定期間メールサーバに残るようにすることを考えています。

S 部長：なるほど。しかし、そうなると、① パスワードが流出した場合のリスクが高まることを認識しておく必要がある。

• POP や IMAP のパスワードがわかると、メールサーバにあるメールが参照できる
• POP のときは、『社内 PC で開封したメール』は、『メールサーバに残』らなかったところ、IAMP にしたら、『社内 PC で開封したメールも含め、すべての受信メールが一定期間メールサーバに残るように』なる

そこで、私は「未開封のメールだけでなく、開封したメールまで参照される可能性があるから」としました。
IPA の解答は、『開封済メールを含め全てのメールを読まれるおそれがあるから』となっています。そうですよね。これ以外、ないと思います。

設問 4

これも、国語力で正解が導けます。
表 3 を見なければならないので、情報量は多めです。なので、記述式ではなく、選択式にしたのだと思います。

S 部長：表 3 に従うと、業務に必要なメールまでチェックによって阻止されてしまうことがある。② それらのメールに対応するための機能も加えるように。

しょせんはシステムによるチェックなので、業務に必要なメールまで阻止されてしまう可能性は、どうしても残ります。ですので、それが必要なメールなのかどうかは、最終的には、受信した人が判断しなければなりません。

記号	選択肢	要・不要
ア	一時保管メールボックスに転送された受信メールの中から、受信者が必要なメールを取り出す機能	必要です。チェックにひっかかったメールの原本が格納されているのは、一時保管メールボックスだけです 受信者が必要だと判断したメールが取り出せないと困ります
イ	会社や顧客の重要情報を含む送信メールは、フィルタリングの対象となるが、事前に承認されたメールについては宛先に転送されるようにする機能	必要です。会社や顧客の重要情報を含んでいる情報を外部に送らなければならないとき、ただ返送されてしまっては困ります
ウ	フィルタリングによって阻止されたすべての送信メールについて、タイトル（主題）だけを宛先に転送する機能	不要です。ていうか、すでに、阻止されたメールの一部は、宛先に転送されるようになっています
エ	フィルタリングの内容を、社員が設定する機能	不要です。ていうか、逆に、まずいです。統制がとれなくなります（そして、確実に、フィルタリングはあるべき姿より緩くなります）

ということで、正解は、ア と イ です。

設問 5

・・・ 標的となった組織の複数のメールアドレスに届くことが多いので、一斉に、組織的に対応する必要があります。一人でも標的型攻撃メールと疑われるメールを受信した場合、メールシステムの管理者は、類似のメールが届いていないかを調査し、③ 不審なメールが届いた全ての受信者に対応を指示します。その後、・・・

私だったら、「メールに対し操作をしないよう」指示します。
が、IPA の解答は、『不審なメールの削除』でした。確かに、下線部 ③ に、『対応を指示します』とあるので、何らかのアクションが求められているのだと、後で気がつきました。

整理

今回は、次の 3 点をおさえてください。電子メールのセキュリティを出題する場合の、テッパンです。

SMTP による通信

なぜ送信元アドレスが詐称できてしまうのかについては、SMTP によって具体的にどのような通信が発生しているのかを見れば、一発でわかります。

下↓の絵を見てください。PC は、まず、メールサーバと TCP コネクション（送信先ポート 25 番）をはります。
その上で、コマンド（EHLO, MAIL, RCPT, DATA, QUIT など、まぁただのテキストです）を送信します。

その際、PC は、MAIL FROM で、送信元アドレスを送ります、RCPT TO で、送信先アドレスを送ります。メールサーバは、これらのアドレスを、封筒（エンベロープ）に書きます。
そして PC は、コマンド DATA により、電子メールの本文を送ります。

メールサーバは、これを封筒に入れて、次のメールサーバに転送します。
その後、メールサーバ間の転送は、「エンベロープの送信先アドレス」を見て行われます。

SMTP について、なんとなく、イメージがわきましたでしょうか？

これを踏まえると、次のようにして、送信元アドレスの詐称ができてしまうのです。

• RCPT コマンドで指定したエンベロープの送信元アドレスは、エラーが発生した場合などにしか使いません。詐称しても、何の問題もなく届きます
• 電子メール本文にある送信元アドレスは、電子メールの転送時には全く見ていません。詐称しても、何の問題もなく届きます

送信ドメイン認証

↓これだけおさえておけば、十分です。

下の絵は、SPF の例です。なんとなくのイメージを持っておくと、現場思考の際に役立つと思います。

メールサーバ ② は、電子メール受信時に、送信元ドメイン（※1）の DNS サーバに問い合わせ、正当な IP アドレスを取得します（※2）。これが、電子メールの送信元 IP アドレスと一致していることを確認することで、送信元の詐称を防ぎます。
※1. 受信した電子メールのエンベロープに指定されたドメイン（SMTP の MAIL FROM で指定したアドレスのドメイン）です
※2. SPF レコードを取得します。上の絵では、SPF レコードに、tasuwa.net に対応する認証アドレス 192.168.1.1 を指定しています（最後に -all があるため、192.168.1.1 のみとなります）

DKIM でも、流れは同じです。こちらは、デジタル署名を比較します。流れは、(1) DNS サーバに公開鍵を登録しておく、(2) 電子メールを送信する側が、電子メールにデジタル署名を付与する、(3) 受信側は、DNS サーバに問い合わせ、デジタル署名を検証する、です。

DKIM よりも、SPF の方が普及が進んでいます。ですので、SPF の方が、出題されやすいと思います。

OP25B

OP25B（Outbound Port 25 Blocking）とは、ISP（インターネット・サービス・プロバイダ）のメールサーバを経由しないで外へ向かう SMTP の通信を、ブロックする仕組みです。
これにより、ISP のネットワークを使う人（≒ 契約者）が、ISP のネットワークの外にスパムメール（迷惑メール）を送信させないようにします。

OP25B の動きは、下の絵の通りです。この絵では、ISP である ISP-A が、外向きの（ISP-A から出ていく）SMTP の通信をブロックしています。外向きの SMTP の通信ができるのは、ISP-A のメールサーバを経由した場合のみとなっています。

しかし、これでは、異なる ISP のネットワークを経由して電子メールを送信できません。そこで、「認証が通ったら、直接通信していいよ」という仕組みが採用されています。
具体的には、次の技術を用います。

• 7 層：SMTP-AUTH（認証つきの SMTP のイメージです）
• 4 層：TCP 587 番（サブミッションポートと呼ばれます）

↓こんなイメージです。

OP25B は、10 年以上前から（特に、日本の ISP は導入が早かった感覚です）普及していた技術であるため、これを機に、しっかりおさえておきましょう。

復習

それでは、本エントリで学んだことを、ざ～っと復習しておきましょう。

後半も、しっかりつぶしていきましょう。