メールセキュリティトレイルマップ～DMARCやその先にある世界～

Copyright© QUALITIA CO., LTD. All Rights Reserved.
メールセキュリティ
トレイルマップ
～DMARCやその先にある世界～
株式会社クオリティア
平野善隆

View Slide

会社紹介
社名株式会社クオリティア
本社東京都中央区日本橋茅場町 3-11-10
資本金 8,500万円
設立 1993年10月
代表松田賢
⚫ メッセージング関連ソリューションの開発・販売
⚫ コミュニケーションの効率化とセキュリティの強化を支援
⚫ メッセージ関連のクラウド型サービス・ソフトウェアで提供
「コミュニケーション」「セキュリティ」の未来をお客様やパートナーと共創する
Q U A L I T Y M A K E S F U T U R E

View Slide

自己紹介
名前平野善隆
所属株式会社クオリティア
チーフエンジニア
資格等 Licensed Scrum Master
Certified Scrum Developer
主な活動 M3AAWG
JPAAWG
IA Japan 迷惑メール対策委員会
迷惑メール対策推進協議会
メッセージング研究所(MRI)
Audax Randonneurs Nihonbashi

View Slide

開発の様子
新製品研究開発の
チームです
チームメンバー
募集中！
開発チームTwitterアカウント

View Slide

メールセキュリティって
どこまでやったらいいの？

View Slide

メールセキュリティ技術
SPF
DKIM
誤送信
防止
無害化
Password
ZIP
Anti
Phishing Anti
SPAM
DNS
SEC
SMTP
AUTH
DANE
MTA-
STS
START
TLS
BIMI
ARC
DMARC
TLS-
RPT
Anti
Virus
Virus
Filter
Sand
box
安心
マーク
なんかいろいろあって
よく分からない

View Slide

何を何から守りたいのか

View Slide

何から守りたいのか
クオリティア
メール
サーバ
メール
サーバ
なりすまし
乗っ取り
盗聴
改ざん
盗難
漏洩
ウィルス
メール
サーバ
フィッシング

View Slide

•なりすまし・改ざん
•乗っ取り・踏み台
•盗聴
•スパム・マルウェア・フィッシング
•情報漏洩

View Slide

なりすまし・改ざん
から守る

View Slide

なりすまし・改ざんから守る
クオリティア
メール
サーバ
メール
サーバ
メール
サーバ
なりすまし
改ざん

View Slide

•SPF
•DKIM
•DMARC
•ARC
•BIMI

View Slide

SPFがないとき
192.0.2.1
203.0.113.1
Env From: [email protected]
From: [email protected]
Subject: お振り込みください
いつもお世話になっております。
・・・・
振り込みね。ポチっと。
×
クオリティア

View Slide

SPFがあるとき
192.0.2.1
AR: spf=pass
・・・・
qualitia.co.jp txt “v=spf1 ip4:192.0.2.1 –all”
Envelope FromからIPをチェック
○
本物だな。振り込みっと。
クオリティア

View Slide

SPFがあるとき
192.0.2.1
203.0.113.1
AR: spf=fail
・・・・
偽物っぽいなぁ
×
クオリティア

View Slide

だがしかし

View Slide

SPFがあっても
192.0.2.1
203.0.113.1
Env From: [email protected]悪徳グループ.example
AR: spf=none
・・・・
○○会社.example txt “v=spf1 ip4:192.0.2.1 –all”
クオリティア

View Slide

悪徳グループのSPFで認証
192.0.2.1
203.0.113.1
AR: spf=pass
・・・・
悪徳グループ.example txt “v=spf1 ip4:203.0.113.1 –all”
振り込み、ポチっと。
クオリティア

View Slide

SPF
•Envelope FromとIPアドレスが正しいか
どうかを確認できる
•RFC4408 (2006/04)
送信元IP = Envelope From = Header From
?

View Slide

DKIM

View Slide

DKIMがないとき
AR: dkim=none
・・・・
クオリティア

View Slide

DKIM-Signature: v=1;
d=qualitia.co.jp; s=s1;
h=From:Subject;
b=abcdef・・・・
・・・・
DKIMがあるとき
署名して送ります
s1._domainkey.qualitia.co.jp txt “v=dkim1;p=ABCDEF...”
暗号化
Public Key
Private Key
hash
クオリティア

View Slide

h=From:Subject;
AR: dkim=pass
・・・・
DKIMがあるとき
安心して振り込みね。ポチっと。
複合化
Public Key
Private Key
hash
○
クオリティア

View Slide

d=qualitia.co.jp;
h=From:Subject;
・・・・
DKIMがあるとき
署名できない！
暗号化
Private Key
hash
×
クオリティア

View Slide

h=From:Subject;
Subject: 泥棒にお振り込みください
・・・・
DKIMがあるとき
署名したものを
改ざんします
Public Key
Private Key
クオリティア

View Slide

h=From:Subject;
Subject: 泥棒にお振り込みください
AR: dkim=fail
・・・・
DKIMがあるとき
改ざんされてるかも？！
複合化
Public Key
Private Key
hash
×
クオリティア

View Slide

だがしかし

View Slide

DKIMがあっても
AR: dkim=none
・・・・
Private Key
DKIMがないときと
変わらない
クオリティア

View Slide

もしかしたら？
AR: dkim=none
・・・・
あれ？クオリティアさん
普段、署名付いてるよね
Private Key
DKIMがないときと
変わらない
クオリティア

View Slide

d=悪徳グループ.example; s=aku;
h=From:Subject;
・・・・
DKIMがあっても
署名して送ります
aku._domainkey.悪徳グループ.example txt “v=dkim1;p=ABCDEF...”
暗号化
悪徳グループの
Private Key
Private Key
hash
クオリティア

View Slide

h=From:Subject;
AR: dkim=pass
・・・・
DKIMがあっても
ポチっと。
複合化
Public Key
Private Key
hash
○
Private Key
クオリティア

View Slide

DKIM
•ヘッダや本文に署名して改ざんを防止できる

View Slide

SPF DKIM の問題点
•SPFは第三者がEnvelope Fromをなりすま
してもspf=passしてしまう
•DKIMは第三者が署名してもdkim=passして
しまう

View Slide

DMARC

View Slide

DMARCなら
•Header Fromを基準に確認
•Header From
Envelope From
DKIM署名者
が一致することを確認

View Slide

悪徳グループのSPFで認証 (dmarc p=none)
192.0.2.1
203.0.113.1
AR: spf=pass, dmarc=Fail
・・・・
_dmarc.qualitia.co.jp txt “v=DMARC1; p=none”
dmarc=failだわ。
×
クオリティア

View Slide

悪徳グループのSPFで認証 (dmarc p=reject)
192.0.2.1
203.0.113.1
AR: spf=pass, dmarc=Fail
・・・・
× 届かない
_dmarc.qualitia.co.jp txt “v=DMARC1; p=reject”
×
クオリティア

View Slide

h=From:Subject;
AR: dkim=pass, dmarc=fail
・・・・
悪徳グループのDKIM署名
Public Key
Private Key
×
_dmarc.qualitia.co.jp txt “v=DMARC1; p=reject”
×届かない
クオリティア

View Slide

だがしかし

View Slide

h=From:Subject;
Subject: [○○ML:1234]久しぶりの投稿
AR: dkim=fail
こんにちは。おひさしぶりです。
・・・・
DKIM + メーリングリスト
大丈夫なのかなぁ。
複合化
Public Key
Private Key
hash
×
クオリティア

View Slide

ARC

View Slide

ARCがあれば
arc=passですね。
Private Key
クオリティア
メーリングリスト
サーバ
ml.example.jp
ARC-Seal: i=1; cv=none; d=ml.example.jp;...
ARC-Message-Signature: i=1; d=ml.example.jp;
h=from:subject:dkim-signature:...
ARC-Authentication-Result: i=1; ml.example.jp;
dkim=pass; spf=pass; dmarc=pass
DKIM-Signature: v=1; d=qualitia.co.jp; b=abcdef・・・・
Subject: [○○ML:1234]久しぶりの投稿
AR: dkim=fail, arc=pass
こんにちは。おひさしぶりです。
・・・・

View Slide

ARC
•The Authenticated Received Chain Protocol
•RFC8617 (2019年7月)
•メーリングリストサーバが受信したときに
DKIM=passやARC=passであれば、
ARCとして連番付きで再署名

View Slide

運用

View Slide

最近のDKIM事情
•RFC8301: Cryptographic Algorithm and Key Usage Update
to DomainKeys Identified Mail (DKIM) (2018/1月)
・署名も検証もrsa-sha256を使いましょう(MUST)
・rsa-sha1はやめましょう(MUST)
・署名は1024bit以上(MUST)、2048bit以上(SHOULD)
・検証は1024bit～4096bit(MUST)
※ しかし、2048bitはDNSに書けるサイズ255バイトを超えてしまう

View Slide

最近のDKIM事情
•RFC8463: A New Cryptographic Signature Method for
DomainKeys Identified Mail (DKIM) (2018/9月)
・署名側は実装しましょう(SHOULD)
・検証側は実装必須(MUST)
・後方互換性のために署名はEd25519-SHA256と
RSA-SHA256(1024bit以上)を2つ記述する
Ed25519-SHA256を使いましょう
BASE64後のサイズが44バイトしかないのでDNSの問題もない

View Slide

DKIMのKey Rotation
•DKIMキーの
ローテーション
も必要
https://www.m3aawg.org/sites/default/files/m3aawg-dkim-key-rotation-bp-2019-03.pdf

View Slide

DKIMの運用
•新しい暗号方式への追従がめんどくさい
•Key Rotationめんどくさい
DKIM署名サービス絶賛開発中
近日公開予定！
注目

View Slide

BIMI

View Slide

BIMI
•DMARCがpassしたら、
送信ドメインの
管理者が指定した
ロゴを表示する
ロゴを表示
注目

View Slide

なりすまし・改ざんから守る（まとめ）
•SPF
•DKIM
•DMARC
•ARC
•BIMI

View Slide

•盗聴
•情報漏洩
乗っ取り・踏み台から守る

View Slide

乗っ取り・踏み台
から守る

View Slide

クオリティア
メール
サーバ
メール
サーバ
乗っ取り

View Slide

POP before SMTP

View Slide

POP before SMTP
POP3で認証が成功した場合のみ、
SMTPで送信できる
メールサーバ

View Slide

SMTP AUTH

View Slide

SMTP AUTH
SMTPでID/パスワード認証が成功した場合のみ、
送信できる
メールサーバ
RFC2554 (1999) → RFC4954 (2007)

View Slide

OP25B

View Slide

OP25B
•SMTP(Port587)でID/パスワード認証が
成功した場合のみ送信できる
•PCからPort25はブロックする
メールサーバ

View Slide

Multi Factor Authentication
多要素認証

View Slide

Multi Factor Authentication
SMTP AUTH、デバイス認証、生体認証などを
複数組み合わせて、認証できれば送信できる
メールサーバ
デバイス認証
+ 顔認証
OK

View Slide

デモ
作ってみた
注目

View Slide

デモ
メールサーバ
デバイス認証
+ 顔認証
OK

View Slide

デバイス + 顔認証
送
信
画
面
パ
ケ
ッ
ト
メールを送信

View Slide

送
信
画
面
パ
ケ
ッ
ト
スマホへ認証依頼

View Slide

送
信
画
面
パ
ケ
ッ
ト
顔認証

View Slide

送
信
画
面
パ
ケ
ッ
ト
認証中

View Slide

送
信
画
面
パ
ケ
ッ
ト
認証・送信完了

View Slide

多要素認証
SMTPの生体認証サービス
βユーザー募集！
注目

View Slide

乗っ取り・踏み台から守る（まとめ）
•POP before SMTP
•SMTP AUTH
•OP25B
•Multi Factor Authentication

View Slide

•盗聴
•情報漏洩
盗聴から守る

View Slide

盗聴
から守る
盗聴から守る

View Slide

盗聴から守る
クオリティア
メール
サーバ
メール
サーバ
盗聴
改ざん
盗難
盗聴から守る

View Slide

ZIP暗号化
盗聴から守る

View Slide

ZIP暗号化
クオリティア
メール
サーバ
メール
サーバ
盗聴
改ざん
盗難
パスワード
盗聴から守る

View Slide

STARTTLS
盗聴から守る

View Slide

STARTTLS
クオリティア
メール
サーバ
メール
サーバ
盗聴
改ざん
メールサーバー間を暗号化する
盗聴から守る

View Slide

だがしかし
盗聴から守る

View Slide

STARTTLS非対応の場合
クオリティア
メール
サーバ
メール
サーバ2
盗聴
改ざん
サーバーやクライアントが対応
していなければ暗号化なしで
配送される
メール
サーバ1
盗聴から守る

View Slide

乗っ取られた場合
クオリティア
メール
サーバ
メール
サーバ
暗号化に対応していても無意味
メール
サーバ
ARP
BGP
・・・
盗聴から守る

View Slide

MTA-STS
盗聴から守る

View Slide

MTA-STS
•STARTTLSを必ず使って配送する
•TLS1.2以上を必ず使う
•証明書が有効でなければ配送しない
•RFC8461 (2018/09)
盗聴から守る

View Slide

MTA-STSがあるとき
クオリティア
メール
サーバ
メール
サーバ
暗号化に対応
していなければ送らない
_mta-sts.qualitia.co.jp. IN TXT "v=STSv1; id=20191114123000Z;"
version: STSv1
mode: enforce
mx: mx1.qualitia.co.jp
max_age: 1296000
https://mta-sts.qualitia.co.jp/.well-known/mta-sts.txt
＝盗まれない
盗聴から守る
ポリシー

View Slide

だがしかし
届かなかったことを知りたい
盗聴から守る

View Slide

TLS-RPT
盗聴から守る

View Slide

TLS-RPTがあるとき
クオリティア
メール
サーバ
メール
サーバ
暗号化に対応していなければ
レポートを送る
RFC8460 (2018/09)
version: STSv1
mode: enforce
max_age: 1296000
_smtp._tls.qualitia.co.jp. IN TXT "v=TLSRPTv1;rua=mailto:[email protected]"
盗聴から守る

View Slide

注意！
クオリティア
メール
サーバ
メール
サーバ
version: STSv1
mode: enforce
max_age: 1296000
_smtp._tls.qualitia.co.jp. IN TXT "v=TLSRPTv1;rua=mailto:[email protected]"
暗号化に対応して
いないので
レポートが送れない！
盗聴から守る

View Slide

Report Using HTTPS
クオリティア
メール
サーバ
メール
サーバ
version: STSv1
mode: enforce
max_age: 1296000
_smtp._tls.qualitia.co.jp. IN TXT "v=TLSRPTv1;rua=https://api.qualitia.co.jp/v1/tlsrpt"
HTTPSも使えます
https://api.qualitia.co.jp.jp/v1/tlsrpt
POST
盗聴から守る

View Slide

だがしかし
盗聴から守る

View Slide

DNSハイジャッキング
クオリティア
メール
サーバ
メール
サーバ
MTA-STSを無効化
メール
サーバ
DNS
盗聴から守る

View Slide

不正な認証局
クオリティア
メール
サーバ
メール
サーバ
メール
サーバ
ARP
BGP
・・・
公開鍵証明書認証局(CA)
署名
qualitia.co.jp
qualitia.co.jp
署名
問題のある
送信者からは正しく見える
信頼
盗聴から守る

View Slide

DANE
盗聴から守る

View Slide

DANE
•公開鍵証明書認証局(CA)を利用しない
•使用してもよい
•オレオレ証明書でもOK
•DNSSECを利用する
•RFC7672 (2015/10)
盗聴から守る

View Slide

DANE
クオリティア
メール
サーバ
メール
サーバ
CAの代わりにDNSSECを利用
DNSSEC
不要
ルートDNS
DNSSEC
信頼
盗聴から守る
_25._tcp.mx1.qualitia.co.jp. IN TLSA 3 0 1 2B73BB905F…"
mx1.qualitia.co.jp

View Slide

だがしかし
設定や運用が大変！
盗聴から守る

View Slide

MTA-STS TLS-RTP DANEの運用
•DNSSECの運用が大変
•そもそもDNSSECが使えない
•Key Rotationめんどくさい
•レポート解析したくない
メール利用者のための
権威DNSSECサービス絶賛開発中
近日公開予定！
注目
盗聴から守る

View Slide

盗聴から守る (まとめ)
•暗号化ZIP
•STARTTLS
•MTA-STS
•TLS-RPT
•DANE-TLS
•DNSSEC
•DANE-S/MIME (おまけ)
盗聴から守る

View Slide

•盗聴
•情報漏洩
スパム・マルウェア・フィッシングから守る

View Slide

スパム・マルウェア・
フィッシング
から守る

View Slide

スパムやマルウェアなどから守る
メール
サーバ
メール
サーバ
なりすまし
スパム
ウィルス
フィッシング

View Slide

受信メールのセキュリティ
•スパムフィルタ
•ウィルスフィルタ

View Slide

だがしかし
ウィルスが暗号化されている！
ウィルスフィルタで検知できない！

View Slide

パスワードで解凍してウィルスチェック
パスワードで解凍
ウィルスチェック
サンドボックスで
チェック
安全なもののみ
ダウンロード
注目

View Slide

•盗聴
•情報漏洩
情報漏洩から守る

View Slide

情報漏洩
から守る

View Slide

誤送信防止
•メール一時保留
•To, Cc → Bcc変換
•パスワード付きZIP

View Slide

WebDownload
クオリティア
メール
サーバ
メール
サーバ
分離
添付ファイル
注目

View Slide

EMAILを守るための技術
•盗聴
•情報漏洩
SPF DKIM DMARC ARC BIMI
POP before SMTP SMTP AUTH MFA
STARTTLS MTA-STS TLS-RPT DANE DNSSEC
AntiSPAM AntiVirus SandBox Active! zone
一時保留 PasswordZIP WebDownload Active! gate

View Slide

紹介した製品・サービス
•BIMI対応ウェブメール製品
•DKIM署名サービス
•SMTPの生体認証製品・サービス
•権威DNSSEC+メール設定支援サービス
•TLSレポート解析サービス
•パスワード付きファイルのウィルスチェック製品
•誤送信防止用添付ファイル分離製品・サービス
βユーザ募集！

View Slide

ご清聴ありがとうございました
• BIMI対応ウェブメール製品
• DKIM署名サービス
• SMTPの生体認証製品・サービス
• 権威DNSSEC+メール設定支援サービス
• TLSレポート解析サービス
• パスワード付きファイルのウィルスチェック製品
• 誤送信防止用添付ファイル分離製品
ご清聴ありがとうございましたアンケートお願いします

View Slide

メールセキュリティトレイルマップ～DMARCやその先にある世界～

メールセキュリティトレイルマップ～DMARCやその先にある世界～

HIRANO Yoshitaka

More Decks by HIRANO Yoshitaka

Other Decks in Technology

Featured

Transcript

メールセキュリティ トレイルマップ ～DMARCやその先にある世界～

メールセキュリティ トレイルマップ ～DMARCやその先にある世界～

HIRANO Yoshitaka

More Decks by HIRANO Yoshitaka

Other Decks in Technology

Featured

Transcript

メールセキュリティトレイルマップ～DMARCやその先にある世界～

メールセキュリティトレイルマップ～DMARCやその先にある世界～