メールでSMTPでの送信について

2010/10/18 00:22

このQ&Aのポイント

メールアドレスさえ知っていれば、誰でもそのメールアドレスになりすますことができるのではと思うんです。
メールアドレスが分かると、自然とSMTPサーバー名も分かってしまうので、容易になりすますことができてしまうように思います。
これをどうにか防ぐ方法はないでしょうか。

marutone
お礼率100% (140/140)

その他（メールサービス・ソフト）
回答数2
ありがとう数2

みんなの回答 （2）
専門家の回答

質問者が選んだベストアンサー

ベストアンサー

麻野なぎ（@AsanoNagi）
ベストアンサー率45% (763/1670)

2010/10/18 12:43 回答No.2

まず、メールの差出人とは、単に、From: の処に書いたアドレスという以上の意味はありません。ついでに、今の時点では、From のアドレスと、SMTP サーバーのドメインとは整合しなくても送信できる場合が多いです。 ※実際、メールアドレスと、SMTPサーバーとは、必ずしも一致しない「正当な」使い方もあります。 ※私も、メールアドレスを確保しているサービスと、SMTP サーバーを使わせてもらっているサービスとは無関係なので、両者は一致していません。つまり、「From: の処を（というか、メールソフトの差出人の処を）適当に書き換えて」「いつも使っていSMTP サーバー経由で」送信すれば、簡単になりすましが可能です。 ※逆に言えば、アナタの処に届いたメールの From: に何が書いてあっても、「本当にその人からのメールか」を確かめるすべはないわけです。最近よくある、フィッシング詐欺などは、これで、いかにも銀行からのメールであるようになりすますわけです。さて、これを受けて、最近いくつかの銀行が「当行からのメールは、デジタル署名されています」という運用を始めました。これを使うと、確かに、From: に書いてあるアドレス宛のメールを受け取ることのできる人がそのメールを書いた事がわかります。 ※非常に面倒な表現をしていますが、今の仕組みだと、デジタル署名のレベルによっては、「本当にその銀号からのメール」までは保証できないです（まあ、銀行なら、底まで保証できるレベルの署名を使うでしょうけど）これは個人でも使用できて、最近のメールソフトなら、S/MIME という仕組みに対応しているものが増えています。 ※S/MIME の仕組みでは、こちら側がデジタル署名をするのは、自分自身がデジタルＩＤを取得するだけでＯＫです。 ※もうひとつ、暗号メールを送るためには、相手がデジタルＩＤを持っている必要があります。では、なぜ、SMTP ではユーザー名もパスワードも不要なのでしょうか？これは、インターネットのメール送信の仕組みと関係があり、不要というよりは、ユーザー名やパスワードをつけられなかったのです。普通に使う分には、SMTP というのは、ユーザーのパソコンとプロバイダのSMTPサーバーの間のことに思えます。これだと、ユーザー名やパスワードをつけても問題なさそうです。しかし、実際にはSMTPという仕組みはもっと広範囲に使われていて、たとえば、プロバイダ間のメール授受にも使われています。つまり、送信側のユーザー → 送信側プロバイダのSMTPサーバー → 受信側プロバイダのSMTPサーバー　という流れで、プロバイダ間の SMTP サーバーも、この仕組みを使っています。すると、メールというのは、その仕組みから、「どこから来ても受け取れる」必要があります。言い換えると、全世界のどのプロバイダのSMTPサーバーからメールが送り届けられるかわからないということです。こうなると、「全世界のすべてのプロバイダのSMTPサーバーのユーザー名とパスワードを保存する」というのは不可能です。しかも、明日には新しいプロバイダが増えているかもしれません。こういうわけで、SMTPには、ユーザー名やパスワードが存在しないのです。ただし、こうなると、迷惑メールもチェーンメールも送り放題ということで、最近は、ユーザーが自分の所属していないプロバイダの（たとえば、出張中でいつもと違うプロバイダ経由でつなぐとかも含めて）SMTPサーバーを使う場合には、少し仕様を変えて（接続ポート番号とか）、認証が必要になっているのが普通です。 ※ちなみに、今では、SMTPの認証手順もほぼ統一化されています（たまに、多少オプションが異なるくらい）

質問者