[情報SEC]第18回 SMTPの脆弱性と対策

第18回　SMTPの脆弱性と対策

SMTPとは、Simple Mail Transfer Protocolの略で、その名の通り、
メール転送を目的としたプロトコルである。
名前にSimpleがついているたり、昔は複雑なもんだったんだろうか。

この本には唐突にMTAという言葉が出てくるが、MTAはMessage Transfer Agentの略で、
SMTPによるメール転送が実装されているプログラムのことを指す。
MTAはいくつもあるけど、圧倒的なシェアを持つのがSendmail。

この本もどうもこのSendmailを想定して論じているようだ。(当然だな。)
で、MTAの主な機能は二つ。
一つは、メールの投稿を受け付けること。

もう一つは、メールを目的のメールサーバに送ることだ。
セキュリティ上問題となっているが、恐らくはこれがSimpleの理由ではないかと思う。
たしかに、プロトコルが一種類しかないので、思想がシンプル。

クライアントからのメールの投稿も他のメールサーバからのメールの受信も
同じプロトコルでできる。
なのに、Sendmailときたら。なんであんなに機能てんこ盛りにしたんかね。

おかげでセキュリティホール多数。
この本には、「標準では無条件にメールの投稿要求を受け付ける仕組みになっている。」
とあるけど、最近のバージョンではデフォルトで無効になっとったはずだ。

理由は簡単で危険だから。
もちろん不便ではあるが。
大体この本、何をもって標準ではとゆうとるんだろう。

標準でそうなってないMTAも山ほどあるし。
なんか信用できない。この本の内容。
95%くらいは正しいと思うけど、鵜呑みはいかんの。

さて、もうひとつ書いてある脆弱性はユーザを認証する仕組みがない。ということ。
確かに。ふつーはPOPサーバ(メール受信用プログラム)も一緒に入ってる、
つまり、メール利用者はこのサーバにユーザがあるはずなので、ユーザ認証できるはず。

でも、ない。如何せんSimpleなので。そんな面倒な機能はないのだ。
そこで。最近のプロバイダでもPOP before SMTPなるものを入れてるところがある。
ぼくんちのso-netもその一つ。

これは、SMTPの受付をする前に、POPでの認証が必要ということだ。
POPでの認証後数分間SMTPでの通信ができるようになる。
だから、外部のプロバイダ経由で繋いだ場合、一度(用もないのに)メールの受信をしてから、送信する必要がある。

一時期メールだけso-netで、インターネット接続はCATV使ってた時期があって、
その時は、そんなことをしていた。
so-net直接続の場合、内部ネットワークということで、この制限はない模様。

さて。第三者中継について。
いわゆる踏み台ってやつだな。
まったく関係ないMTAにメールを投げて(投稿して)別なメールサーバが管理するユーザへメールを出す。

これをやると、誰が本当の送信元か特定するのが難しくなるため、
スパムメールやり放題。
特定するのが難しいのは、送信元メールアドレス(他にもいろいろな情報)を偽れるため。

なので、この踏み台にされたサーバより先には調査が進めない。
しかも、送信先がセキュア(対策済み)なメールサーバであっても、
中継サーバ自体が悪人ではないため(信用しない理由がない)、それを受け取ってしまうわけだ。

あまりにひどい(長期間対策をとらない)のはブラックリストに載ってそのサーバは悪人扱いされるけど。
最近のMTAは対策がされているけど、古いのをそのまま使っているようなもの、
特に個人のお遊び用とかはそのターゲットにされやすい。

もう一ヶ。暗号化の問題。
メールは平文(ひらぶん)つまり非暗号化状態でインターネットを流れる。
パケットをのぞき見すればメールの内容が読めるわけだ。

これに関してはメールソフトの対応＆普及を待つしかないのが現状。
S/MIMEやPGPなどの暗号化手順もあるけど、あまり一般には普及してない。
これからも普及する雰囲気はない。

簡単な手段としては、メール本文はあきらめて、添付ファイルを暗号化して、
添付して送るという手段もある。
秘密鍵方式なので(公開鍵をこの手段で使うことは...あるのか？)、特定の相手とだけの暗号化になる。

それでも、その二者間だけで比較的簡単に外に漏れては困る情報をメールでやりとりするには、
経済的にみても理にかなう方法ではないかと思う。
あとは、管理者がその事実を公表の上で、メールを盗み見るという手もある。

実際にそんな機能を持つものもうっとる。
抑制効果はあるでしょう。
メールは便利だけどセキュリティ的には甘い。そんなプロトコルです。

でも、普及したね。
すごいね。
携帯のも含めると、これなしでは生活できんくらい。(もちろん仕事もできん。)

時代の流れというか、人間の本質というか。
人がこういうサービスを求めていたということだな。
最近出てきた性悪説に対応を迫られて、つぎはぎ状態になってますな。大変だ。