SPF と DKIM だけで大丈夫？ 本当は怖いドメイン名と E メール @ TwoGate Tech Meeting

Transcript

1. SPF と DKIM だけで大丈夫？ 本当は怖いドメイン名と E メール Naoki Ikeguchi @ TwoGate Tech Meeting
2. 自己紹介 • 豊田高専 3 年（中退予定） • PHP / TypeScript / C# / Rust • Symfony / Angular / ASP.NET • 三度の飯より JetBrains が好き • きのこの山 / Vim • Hire me! • https://github.com/siketyan • https://twitter.com/siketyan_dev
3. E メール SMTP SMTP IMAP POP MTA MTA MDA MUA MUA
4. E メールとドメイン名 • MTA は @ 以降のドメイン名の MX レコードから 送信先の MTA を特定する • twogate.com. IN MX 300 aspmx.l.google.com. 1 • 複数設定されている場合は Priority の高い順に使用される • SMTP には送信元の MTA を検証する機能がない • siketyan@twogate.com 名義でメールを送信することも可能 • 社員を騙ることができてしまう username@twogate.com
5. SPF (Sender Policy Network) • 送信元としてあり得 るノードを指定する • include で指定し たドメイン名から再 帰的に取り込む • ~ は softfail • - は fail • これで十分？ twogate.com 300 IN TXT " v=spf1 include:_spf.google.com include:amazonses.com include:sendgrid.net ~all "
6. DKIM (Domain Keys Identified Mail) • 公開鍵を DNS で公開しておく • MTA はメールに秘密鍵で署名をつけて送る • 受信した MTA は DNS のレコードをもとに署名を検証 google._domainkey.twogate.com 300 IN TXT " v=DKIM1; k=rsa; p=MIIBIjANBgkqhkiG9w0BAQEFAAOCAQ8A... "
7. Q. SFP や DKIM の検証に失敗 したメールはどうなる？
8. A. 場合による
9. DMARC (Domain-based Message Authentication, Reporting & Conformance) • SPF や DKIM の検証に失敗時の動作を決める • 検証結果のレポートを送る twogate.com 300 IN TXT " v=DMARC1; p=quarantine; // none, reject pct=100; // ポリシーの適用割合 rua=mailto:postmaster@twogate.com "
10. 疑問: DNS は信頼できるのか
11. DNS を守る技術 • DNSSEC (Domain Name System Security Extensions) • ゾーンのレコードセット (RRset) を親ゾーンが署名する • 問い合わせした側は親ゾーンの DS RRset で検証する • DNS over TLS • DNS over HTTPS • キャッシュサーバとの DNS 通信を暗号化する • ドメイン名による検証は DNS の信頼のもとに存在する
12. まとめ • E メールアドレスは容易に偽装できる • SPF で IP アドレスによる検証をしよう • DKIM で電子署名による検証をしよう • DMARC で検証失敗時の動作を指定しよう • DNS は絶対的に信頼できるものではない この資料は Speaker Deck で閲覧できます: https://speakerdeck.com/siketyan
13. 参考文献 • SPF, DKIMの特徴と違い | SendGrid 公式ブログ https://sendgrid.kke.co.jp/blog/?p=10121 • インターネット 10 分講座: DNSSEC – JPNIC https://www.nic.ad.jp/ja/newsletter/No43/0800.html • DNSに対する脅威とその分類～DNSセキュリティを考えるにあたって～ https://www.nic.ad.jp/ja/materials/iw/2014/proceedings/t7/t7-morishita.pdf • 送信ドメイン認証（SPF / DKIM / DMARC）の仕組みと、なりすまし メール対策への活用法を徹底解説 - エンタープライズIT [COLUMNS] https://ent.iij.ad.jp/articles/172/
14. 参考文献 • Domain-based Message Authentication, Reporting, and Conformance (DMARC) https://tools.ietf.org/html/rfc7489 • DNS security | Cloudflare UK https://www.cloudflare.com/en-gb/learning/dns/dns-security/ • Sender Policy Framework (SPF) for Authorizing Use of Domains in Email, Version 1 https://tools.ietf.org/html/rfc7208