今号では、送信元を偽装した迷惑メールへの対策について取り上げる。電子商取引が普及する中で、スパムやフィッシングなどによってユーザアカウントとパスワードを盗み出して行なう詐欺行為が横行している。また、メールを使用した「なりすまし」なども多発している。このような偽装されたメールを排除してスパムメールなどを減らすため、送信元のドメインが正しいものであるかを受信側で判断できるようにする送信ドメインの認証技術としてDMARC（Domain-based Message Authentication, Reporting and Conformance）の採用が広がってきた。
　
Comcast、GoogleやMicrosoftなどメールサービス事業者や関連企業がスパムやフィッシングメールの撲滅に取り組む「DMARC.org」を2012年1月に発足させ、送信元を偽装したメールを排除し、送受信者間で正当なメールのやりとりを確実に実現するための仕様を策定し、2015年3月にDMARCの基本部分がIETFのRFC 7489として公開された。海外ではGmail、Microsoft、Twitterなどが既にDMARCを採用している。また、日本でもキャリアやISPでサービスの一部に採用している。
これまで利用者は受信したメールが本物か偽物かわからないことが多く、メールサービス事業者では、そのメールの妥当性を仕分けることが困難だった。それゆえメールの信頼性を高めるには、受信者から何らかの手段で届いたことを送信者へ通知する仕組みが必要であった。

DMARCは、一般的に知られているSPF (Sender Policy Framework）という「メールの送信元ドメインが詐称されていないかどうかを検査するための仕組み」とDKIM（Domain Keys Identified Mail）という「受信したメールが正当な送信者から送信され、改竄されていないかどうかを見分けられる電子署名方式の送信ドメイン認証技術」を使用して、メール認証方式を標準化している。

SPFは、IETFにおいてRFC 4408として標準化されている。電子メールのプロトコルSMTP（Simple Mail Transfer Protocol）を使った通信において送信者のドメインの正当性を検証する技術を一般に「送信ドメイン認証」と総称するが、SPFはそのひとつであり、送信側のホストIPアドレスを基に認証を行なうIPアドレスベースの認証方式である。

DKIMは、IETFにおいてRFC 4871およびRFC 5672として標準化されている。さらに、DKIMの規格を補うDKIM-ADSP（DKIM-Author Domain Signing Practices）という標準があり、RFC 5617で標準化されている。DKIMでは送信側でメールに電子署名を付加し、受信側でその電子署名を照合するという方法で送信者のドメインの認証を行う。メッセージのヘッダや本文をもとに電子署名を生成するため、中継メールサーバなどで電子署名または電子署名のもとになったメールのデータが変更されなければ、たとえメールが転送されても転送先において認証できる。

DMARCでは、メール送信者が自分のメールがSPFやDKIMで保護されていることを受信者に知らせ、メールがSPF/DKIMのどちらの保護もされていなければ、メールを受信しないように設定することができ、受信者が悪意のあるメールの受信を拒否することが可能になる。
ただし、現状では通常利用できていた便利な機能、例えばメーリングリストや自動転送などいくつかのケースで認証が失敗する場合があり、これらの改善に向けた検討が継続されている。

（本内容は、『ケーブル新時代』（発行：NHKエンタープライズ）2016年1・2月合併号に掲載されたものです。）