電子メールとDNSの認証

電子メールの送信元認証は、送信側のサーバやDNSの情報を用いて、メールが正当な送信元から送られたことを受信側が確かめる仕組みである。DNSの信頼性は、偽の応答を防ぐ対策と、DNSデータ自体に署名する仕組みによって支えられる。

送信元認証の仕組み（DKIMとSPF）

DKIMは、送信側のメールサーバがメールヘッダーに電子署名を付与し、受信側のメールサーバがDNSで公開された公開鍵を使ってその署名を検証する方式である。 署名が正しく検証できれば、署名対象のヘッダーや本文が変更されていないことと、署名ドメインが確認できる。 ただし、DKIMの検証が成功しても、表示上の差出人（From）のドメインが本物だとは限らない点に注意が必要である。

SPFは、送信元ドメインのDNSに公開された送信元IPアドレスなどを用いて、そのドメインから送信する権限があるかを評価する仕組みである。 メール本文やヘッダーに電子署名を付けるものではなく、改ざんの検知を行う方式ではない。

DNSの信頼性を守る仕組み

DNSキャッシュポイズニング攻撃は、攻撃者が偽の応答をキャッシュに登録させる攻撃である。その対策として、DNS問合せに使うヘッダーのID（トランザクションID）を固定せず、問い合わせごとに予測困難な値へランダム化する方法が有効である。 送信元ポート番号を53番に固定すると応答の照合に使える値が予測しやすくなるため、対策にならない。

DNSSECは、DNSのリソースレコードに付されたデジタル署名を検証し、送信者の正当性とデータの完全性を確かめる仕組みである。 DNSSECはキャッシュサーバの問合せ範囲の設定、セカンダリDNSによる冗長化、DNS更新要求の認証とは目的が異なる。 特に、共通鍵とハッシュ関数を用いてDNS更新要求を認証する仕組みはTSIGであり、ディジタル署名による検証を行うDNSSECとは区別する必要がある。