送信ドメイン認証（SPF・DKIM・DMARC）

3つの違い

どれも，送信元ドメインの管理者が自分のドメインの DNS に情報を登録しておき， 受信側がそれを引いて確かめる，という点は同じです。違うのは何を登録し，何で確かめるかです。

見分けるときは，「IP アドレス」が出てきたら SPF，「デジタル署名」が出てきたら DKIM， 「失敗したときの処理方針」が出てきたら DMARC です。

SPF と DKIM には得手不得手があります。SPF は IP アドレスで確かめるので，メールが転送されて 別のサーバから届くと失敗しやすくなります。DKIM は署名がメールに付いて運ばれるので， 本文やヘッダーが書き換えられない限り，転送されても検証できます。 DMARC は両方の結果を受けて，失敗したときの扱いを送信側のドメイン管理者が指定できるようにしたものです。

送信ドメイン認証ではないもの

選択肢には，同じスパムメール対策でも仕組みの違うものが混ぜてあります。 いずれも，送信ドメイン認証の説明として選ぶと誤りです。

• SMTP-AUTH・サブミッションポート（587番）：メールを送る利用者を，送信側のメールサーバが ID とパスワードで認証する
• POP before SMTP：先に POP で認証できた利用者に，一定時間だけ送信を許す
• OP25B：ISP が，自社の動的 IP アドレスから外部の25番ポートへの直接の通信を止める
• S/MIME：送信者本人が自分の秘密鍵でメールに署名する（DKIM は送信者ではなくメールサーバが署名する）

前の3つは「送る側で，送ってよい人かを確かめる」対策で， 送信ドメイン認証は「受け取る側で，名乗っているドメインが本物かを確かめる」対策です。

試験での問われ方

当サイトが収録している午前の問題のうち，SPF・DKIM・DMARC か送信ドメイン認証という語が出てくるのは30問です。 ほとんどが情報処理安全確保支援士とネットワークスペシャリストの午前Ⅱで，午前Ⅰにも出ています。

• DKIM の説明を選ぶ（8問）。支援士の午前Ⅱで繰り返し出ている定番です。 正解は「送信側メールサーバでディジタル署名を電子メールのヘッダに付加して，受信側メールサーバで検証する」など。 ほかの選択肢は SMTP-AUTH（利用者の認証），SPF（IP アドレスの検証），OP25B（25番ポートの遮断）の説明です。
• SPF で受信側が行うこと（4問）・導入時に送信側が行う設定（2問）。 受信側は「SMTP 通信中にやり取りされる MAIL FROM コマンドで与えられた送信ドメインと送信サーバの IP アドレスの適合性を検証する」， 送信側は「DNS サーバに SPF レコードを登録する」が正解です。
• 説明から名前を選ぶ（3問）・記述の正誤（1問）。 処理方針を指定するのは DMARC，署名を使うのは DKIM，と上の表の見分け方で解けます。 DMARC の選択肢の「受信メールサーバが受信メールをなりすましと判定したとき，受信メールサーバは送信元メールサーバに当該メールを送り返す」というポリシーは誤りです（そういうポリシーはありません）。
• 誤りの選択肢として出てくる（12問）。サブミッションポートの目的（正解は SMTP-AUTH）で4問， DNS のカミンスキー攻撃の対策（正解は送信元ポート番号のランダム化）で3問， ブロックチェーンに必須の技術（正解はハッシュ関数）で3問，リフレクタ攻撃に悪用されるサービスで2問です。 SPF が「メールの送信元を確かめる仕組み」だと分かっていれば，どれも消せます。

出題された過去問（30問）

リンク先の年度ページで，問題と解説を読めます。