午前I問題
電子メールの送信元を偽装する攻撃手法に関する記述として、適切なものはどれか。
ア）SMTPプロトコルにはエンベロープFromの送信者を検証する仕組みが標準で組み込まれている。
イ）攻撃者は正規のドメインを詐称したFromヘッダを持つメールを容易に送信できる。
ウ）POP3による受信時にはサーバ証明書の検証が行われるため、送信元偽装は原理的に不可能である。
エ）SMTPS（SMTP over TLS）を利用すれば、送信元アドレスの詐称は自動的に防止される。
午前I の解答・解説を見る
正解： イ）
解説：
- ア）不正解。SMTPは元々送信者検証の仕組みを持たず、Fromヘッダやエンベロープ送信者を自由に設定できる設計になっている。
- イ）正解。SMTPには送信者検証機構がないため、攻撃者は任意のドメインをFromに詐称したメールを容易に作成・送信できる。これがフィッシングやビジネスメール詐欺（BEC）の温床となっている。
- ウ）不正解。POP3はメール受信プロトコルであり、送信元検証とは無関係。サーバ証明書の検証はTLS通信の暗号化・サーバ認証に関わるものであり、メールヘッダの送信者偽装対策にはならない。
- エ）不正解。SMTPSは通信経路を暗号化する仕組みであり、Fromヘッダの内容自体の真正性を検証するものではない。送信元詐称対策にはSPF/DKIM/DMARCなど別の仕組みが必要。
午前II問題
送信ドメイン認証技術に関する記述のうち、DKIM（DomainKeys Identified Mail）の説明として最も適切なものはどれか。
ア）送信元IPアドレスをDNSのTXTレコードに登録されたリストと照合し、許可された送信サーバか判定する。
イ）メール本文とヘッダの一部を送信側の秘密鍵で電子署名し、受信側が公開鍵で検証することで改ざんとなりすましを検知する。
ウ）SPFとDKIMの認証結果を基に、認証失敗時の受信側の処理方針（拒否・隔離等）をドメイン管理者が指定する。
エ）受信メールサーバがエンベロープFromのドメインに対してPTRレコードの逆引きを行い、正当性を確認する。
午前II の解答・解説を見る
正解： イ）
解説：
- ア）不正解。これはSPF（Sender Policy Framework）の説明。送信元IPアドレスをDNSのTXTレコードと照合する仕組み。
- イ）正解。DKIMは電子メールに電子署名を付与する技術。送信側メールサーバがヘッダー・本文の一部から生成したハッシュ値を秘密鍵で署名し、
DKIM-Signatureヘッダに格納する。受信側はDNSに公開されたDKIM公開鍵（セレクタで指定）で署名を検証し、途中経路での改ざんの有無となりすましを検知する。 - ウ）不正解。これはDMARC（Domain-based Message Authentication, Reporting and Conformance）の説明。SPFとDKIMの結果を組み合わせ、認証失敗時のポリシー（none/quarantine/reject）を指定する。
- エ）不正解。PTRレコードの逆引きは送信元IPからホスト名を得る仕組みで、DKIMとは異なる。一部のスパム対策では利用されるが、DKIMの認証方式ではない。
午後問題
A社は自社ドメイン a-corp.example を騙るフィッシングメールが取引先に送られる被害が発生し、送信ドメイン認証の導入を検討している。現在、SPFレコードは設定済みだが、DKIMとDMARCは未設定である。セキュリティ担当のBさんは以下の方針を立てた。
- DKIM鍵ペアを生成し、公開鍵をDNSのTXTレコードとして公開する
- 送信メールサーバでDKIM署名を有効化する
- DMARCレコードを設定し、段階的にポリシーを強化する
設問1
DMARCポリシーを導入する際、いきなり p=reject（認証失敗メールを拒否）を設定するのではなく、最初は p=none（監視のみ）から始めて段階的に強化すべきとされる。その理由を50字以内で述べよ。
設問1の解答・解説を見る
正解例： 正規の送信元を洗い出さないまま拒否設定にすると、自社の正規メールも配送不能になる可能性があるため。
解説・採点基準（計15点）：
| 採点項目 | キーワード | 配点 |
|---|---|---|
| 正規メールへの影響懸念 | 正規メールが届かなくなる／誤って拒否される | 8点 |
| 段階導入の目的 | 送信元の把握・レポートによる監視・洗い出し | 7点 |
DMARCの rua タグで指定した宛先にレポートが送られてくるため、p=none の段階で自社が認識していない送信元（クラウドサービス、外部委託の配信システム等）がないかを確認し、SPF/DKIMの設定漏れを解消してから p=quarantine → p=reject へと段階的に厳格化するのが定石である。
設問2
DKIM署名において、送信メールサーバの秘密鍵が漏えいした場合に取るべき対応を、DNS設定の観点から40字以内で述べよ。
設問2の解答・解説を見る
正解例： DNSに登録したDKIM公開鍵レコードを削除または無効化し、新しい鍵ペアに更新する。
解説・採点基準（計15点）：
| 採点項目 | キーワード | 配点 |
|---|---|---|
| 既存公開鍵の無効化 | DNSレコードの削除・無効化 | 8点 |
| 新規鍵への更新 | 新しい鍵ペアの生成・再設定 | 7点 |
DKIMはセレクタ（selector._domainkey.a-corp.example 等）ごとに公開鍵を管理できるため、漏えい時は該当セレクタのTXTレコードを速やかに無効化し、新しいセレクタ・鍵ペアに切り替えることで、漏えいした秘密鍵による不正な署名を無効化できる。
重要キーワード
| 用語 | 説明 |
|---|---|
| SPF | 送信元IPアドレスをDNSのTXTレコードと照合する送信ドメイン認証技術 |
| DKIM | 電子署名によりメールの改ざん検知となりすまし防止を行う技術 |
| DMARC | SPF/DKIMの結果に基づき認証失敗時のポリシーを指定する仕組み |
| エンベロープFrom | SMTP通信上の実際の送信者情報。ヘッダFromとは別に存在 |
| BEC | Business Email Compromise。取引先や経営者になりすます標的型メール詐欺 |
| DNSレコード（TXT） | SPF/DKIM/DMARCの設定情報を公開するために利用するDNSレコード種別 |
まとめ
- 午前I視点： SMTPには送信者検証の仕組みがなく、送信元詐称が容易であるという前提知識を押さえる
- 午前II視点： SPF（IPアドレス照合）・DKIM（電子署名）・DMARC（ポリシー指定）の役割の違いを正確に区別する
- 午後視点： DMARC導入時の段階的なポリシー強化（none→quarantine→reject）の理由と、鍵漏えい時のDNS対応手順を説明できるようにする