動画：DMARC – その仕組み
DMARCの仕組みについて、短い動画を作成しました：
この動画は、DMARCに関するあらゆる情報を網羅した動画シリーズの一部です。
以下が議事録です：
この短い動画では、DMARCの仕組みについて解説しています。
DMARCは、既存の無料かつオープンな技術を用いて、メール送信者が自身のメールを容易に識別できるようにする方法を定めた技術仕様です。DMARCに準拠したメールは処理が非常に容易であり、メール受信者は、メールの基本的な身元を確認するための標準的な方法としてDMARCを採用しています。
DMARCは、電子メールとドメインを関連付けるために使用される2つの既存技術に基づいています。SPF（Sender Policy Framework）とDKIM（DomainKeys Identified Mail）は、それぞれ異なる仕組みで機能しますが、互いに補完し合い、電子メールとドメインとの関連付けを実現します。
SPFとDKIMは、長年にわたり存在している独立した技術であり、DMARCとは別個に利用することができます。SPFとDKIMは、それ自体で電子メールとドメインを関連付けることができます。DMARCの用語で言えば、SPFとDKIMは「認証済み識別子」を生成します。 DMARCは、SPFとDKIMの結果、すなわち「認証済み識別子」を、電子メールの内容、具体的には電子メールのFrom:ヘッダーに記載されているドメインと結びつけようとします。
メールの「From:」ヘッダーに記載されているドメインは、すべてのDMARC処理を結びつける要素となります。DMARCの「D」は「Domain-based（ドメインベース）」を意味しており、これでDMARCがどのドメインを対象としているのかお分かりいただけたかと思います。 しかし、誰でも（犯罪者を含め！）ドメインを購入してSPFやDKIMを設定できるため、SPFやDKIMの処理結果、つまり「認証済み識別子」は、DMARCに関連付けるためにはFrom:ヘッダーに記載されたドメインと関連付けられている必要があります。この概念は「識別子の整合（Identifier Alignment）」と呼ばれます。識別子を整合させることは、DMARCを導入する際の作業の大部分を占めることになります。
メールドメインの所有者がSPFやDKIMを正確に導入できるようにするため、DMARCでは、インターネット上でそのメールドメインがどのように利用されているかに関するフィードバックをドメイン所有者に送信する方法について規定しています。 このフィードバックには2つの形式があります。1つは、ドメインの全トラフィック（レポートを生成する組織から見た状況）を包括的に把握できるレポートであり、もう1つは、DMARCに100%準拠していない個々のメールの内容を一部伏せたレポートです。
これらの包括的なレポートはXML形式で作成されており、メッセージ数、IPアドレス、SPFおよびDKIMの処理結果などの情報が含まれています。一部の人間やほとんどのアンドロイドはXMLを直接読み取ることができますが、dmarcianはこれらのレポートの処理と、どのような手順を踏むべきかを特定することに特化しています。これにより、一般ユーザーもメール認証の専門家になる必要なく、DMARCを導入できるようになります。
個々のメールの編集済みコピーであるレポートは、DMARCに参加しているすべてのメール受信者が生成するわけではありません。メール受信者がこの種のレポートを生成しない理由は、主に以下の3つの分野に分けられます：
- 個々の電子メールには個人を特定できる情報が含まれている可能性があるため、プライバシー上の懸念が生じます。
- 報告書の量は非常に膨大になる可能性があります。
- レポートはあれば便利ですが、DMARCの導入プロセスを進める上で必須ではないことが分かっています。
最後に、プライバシーに関するあらゆる潜在的な法的責任を回避したいという理由から、こうしたレポートの提出をそもそも求めようとしない組織も少なくありません。とはいえ、こうしたレポートは、ドメインが直面している可能性のある具体的な悪用形態を明らかにする手がかりとなります。dmarcianは、これら2種類のフィードバックを処理することで、幅広いユーザー層にとってDMARCの導入を大幅に容易にします。
フィードバックレポートによって得られる可視性は……dmarcianのようなツールで処理されることで……ドメイン所有者がSPFやDKIMを極めて高い精度で導入することを可能にします。 メールドメイン所有者が、すべてのメール配信経路に SPF と DKIM を確実に導入したと確信したら、DMARC に準拠していないメールに対して措置を講じるよう、外部に通知することができます。講じることができる措置、あるいはドメイン所有者が公開できるポリシーとしては、メールを隔離するか、拒否するかのいずれかです。 隔離とは通常、DMARCチェックに失敗したメールをスパムフォルダに振り分けることを意味しますが、運用者が従来のスパムフォルダを実装していない場合、非準拠メールを処理する際にスパムフィルタリングの厳格度を高める可能性があります。一方、拒否とは、DMARCチェックに失敗したメールを即座にブロックすることを意味します。
ドメイン所有者は通常、リジェクトポリシーを採用するよう努めています。これによりドメインの不正利用が阻止され、結果として非常に強力なフィッシング対策となるからです。しかし、多くの関係者にとってさらに重要なのは、DMARC準拠のメールの方が処理がはるかに容易であるという点です。このため、メールを確実に配信したいと考える者にとって、DMARCは急速に必須要件となりつつあります。
DMARCの仕組みと、ドメインを活用してメールを容易に識別する方法について説明します。
dmarcianは、メールセキュリティの専門家チームを擁し、ドメインセキュリティを通じてメールとインターネットの信頼性を高めることを使命として、組織のドメインカタログの評価、およびDMARCの導入と長期的な運用管理を支援します。
弊社までお問い合わせいただくか、無料トライアルにご登録ください。導入およびサポートチームが、導入から運用まで全面的にサポートいたします。
