筆者はつねづね不思議に思っているのであるが、メールほどセキュリティがおろそかにされているものはない。 盗聴、なりすまし、フィッシング、スパム、ウイルス、スパイウェア、架空請求にはじまり、誤配信による情報漏えいなどなど、様々な危険があるにもかかわらず、あまり改善されている気配がしないのである。 メールはWebと並んで最も利用が多く、また最も攻撃を受けやすいサービスである。しかし、WebのセキュリティがSSLやらアンチフィッシングやら、色々と進化しているのに比べて、驚くほど進化していない。いや、正確にいうと技術的には、すでに用意されているのに使われていないのである。 ここでちょっとメール関連のセキュリティについて、整理してみようと思う。第1回目では、メールにかかわるセキュリティ上のリスクについて、第2回目以降は、その対策について見てきた。引き続き今回は、多くのユーザーを悩ませるスパム対策などを見てみよう。2-4 スパム対策 スパムの対策には、いくつかのアプローチがある。 スパムのブラックリストのデータベースを活用し、該当するメールを自動的に排除する方法は昔からあった。以前は、これらのブラックリストのデータベースには精度があまりよくないという問題があった。本来は問題のないメールも排除対象になってしまったのである。しかし最近では、かなり精度が上がってきたということで、使用に耐えるようになってきたようである。 スパムのブラックリストによって、メールをフィルタリングするいわゆるスパムフィルタの製品としては、下記のようなものがある。Barracuda Spam Firewall http://www.barracudanetworks.com/ns/products/spam_overview.php SpamChecker http://www.canon-its.jp/product/spc/index.html HDE Anti-Spam http://www.hde.co.jp/has/ Z-Linux メールフィルタ http://www.3ware.co.jp/mailsolution/mailfilter.html Proofpoint http://security.sojitz-sys.com/proofpoint/index.html Active! hunter http://transware.co.jp/product/ah/ メールセキュリティ on-Demand http://www.hitachijoho.com/mail_ondemand/index.html One Office SPAM Filtering http://www.oneoffice.jp/mail/service/spam_f.html また、クライアント側でメールの受信時に、ルールに従ってスパムと推定されるメールを廃棄する方法もある。最近では、多くのメールソフトやアンチウイルスなどの常駐型のソフトにその機能がついている。 もうひとつのアプローチは、S/MIMEを活用した方法である。送信元を確認できるメール以外は受け取らないという方法である。S/MIMEで送信元が確認できるメールしか受信しなければ、スパムを受け取ることはない。メールゲートウェイあるいはクライアント側のメールソフトでそのようなルールを設定して自動的に破棄してしまうのである。単純だが、きわめて効果的である。問題はS/MIMEを採用している相手が少ないことだ。2-5 宛先間違い対策 人為的ミスによる宛先間違い場合の対策は、メールゲートウェイを利用したものが考えられている。 メールゲートウェイで特定の言葉やファイル名、送信先、送信内容をチェックするのである。機密情報に当たりそうなキーワードを含むメールが大量の送信先に送られる場合にストップするといった形でルールを設定して利用する。 こうしたキーワードによるフィルタリングに対応しているメールゲートウェイ製品には、下記のようなものがある。[メールフィルタ製品]デジタルアーツ m-FILTER http://www.daj.jp/bs/mf2/ キヤノンITソリューションズ GUARDIANWALL http://canon-its.jp/guardian/product/gw/index.html http://canon-its.jp/gb/index.html http://canon-its.jp/guardian/index.html Mailstream Flow Control http://www.sendmail.co.jp/ HDE Mail Filterhttp://www.hde.co.jp/mf/クリアスウィフト MIMEsweeper http://www.clearswift.co.jp/products/msw/smtp_appliance/microsite/ http://www.clearswift.co.jp/products/msw/smtp/ 2-6 BCCによる大量配信ミス 大量のメールを配信するには、専用のツールを使えば、こうした問題は起きる確率は低くなる。大量のメール配信用のソリューションとしては専用の配信システムを自社に導入する方法とASPで利用する方法のふたつがある。[メール配信システム]WEBCAS http://webcas.azia.jp/email/index.html エイケア http://www.a-care.co.jp/prd/anti-phishing.html HDE Customers Care http://www.hde.co.jp/cc/ [メール配信ASP]アウトバーン http://www.tricorn.net/ スパイラル http://www.smp.ne.jp/service/index.html Forcast http://www.forcast.jp/1u/index.html 2-7 余談であるが…メールのSSL採用の状況 大手プロバイダが率先して進める脆弱なメールサービス インターネットを個人で使っている人は、通常、どっかのプロバイダを利用しているわけである。このプロバイダ、特に大手プロバイダがメールのSSL対応をしてくれないのである。 こういう大手プロバイダの態度は、脆弱であることを十分知っていながら、リスクの高いサービスを提供する怠慢かつ悪質じゃないかと筆者は思うのである。WebでSSL通信だから安全、安心といいながら、盗聴可能なメールサービスには触れない確信犯的プロバイダが、なんでこんなに多いんだろう。[主なプロバイダのSSL対応状況]・so-net APOP対応、送信SSL対応、受信対応なし・nifty 有料オプション 通常利用できる範囲では対応せず http://support.nifty.com/support/manual/indexm.htm 月1,260円のセカンドメールProでは送受信ともにSSLに対応 http://www.nifty.com/mail/mailpro/mailersettei.htm ・OCN 対応せず http://help.ocn.ne.jp/ols/mail/10002_m_infochk.html ・ヤフーBB 対応せず https://ybb.softbank.jp/support/connect/hikari/mail/index.html ・BIGLOBE 有料オプション http://email.biglobe.ne.jp/ssl/index.html コスト的に大変なのかとも思うが、そんなこともないような気がする。なぜなら、レンタルサーバ業者では… 【執筆：Prisoner Langley】【関連記事】置き去りにされるメールセキュリティ(1) https://www.netsecurity.ne.jp/3_12604.html 置き去りにされるメールセキュリティ(2) https://www.netsecurity.ne.jp/3_12639.html 置き去りにされるメールセキュリティ(3) https://www.netsecurity.ne.jp/3_12665.html 【関連リンク】セキュリティコラムばかり書いているLANGLEYのブログ http://netsecurity.blog77.fc2.com/ ── ※ この記事は Scan購読会員向け記事をダイジェスト掲載しました 購読会員登録案内 http://www.ns-research.jp/cgi-bin/ct/p.cgi?w02_ssw
