DMARCとは？その仕組みと設定方法、SPFやDKIMとの関係

SPF

SPF （Sender Policy Framework） はメール送信ドメインの認証技術のひとつで、送信者のドメインの詐称を防ぎ、送信ドメインの正当性を検証することができます。SPFにより、ドメインの所有者がそのドメインからメールを送信するために使用するメールサーバを指定することができます。メールを送信する企業は、ドメインネームシステム（DNS）でSPF レコード（TXT RR）を発行します。このレコードリストには、そのドメインを利用してメールを送信することが許可されているIP アドレスが含まれています。

メールの受信者は、DNS内の「Envelope from （Mail From, Mfrom, Return-Pathなどとも表記） 」ドメイン名を調べてSPFレコードを検証します。このドメインを利用してメールを送信しているIP アドレスがSPFレコードに記載されていない場合、そのメッセージはSPF認証に失敗します。

SPFには以下のような欠点があります。

• サービスプロバイダを変更したり、メールストリームを追加したりした場合、SPFレコードを更新し続けなければなりません。
• SPFに失敗したからといって、そのメッセージが常に受信トレイからブロックされるわけではありません。
• メッセージが転送されると、SPFは解除されてしまいます。
• SPFは、メッセージの表示名やメーラーに表示される「header from」アドレスを偽装するサイバー犯罪者からブランドを保護するものではありません。

SPFで保護されたドメインは、攻撃者にとって魅力的でなくなるため悪用されることが少なくなり、結果としてスパムフィルタによってブラックリスト化されにくくなります。

DKIM

DKIM (Domain Keys Identified Mail) は電子署名を用いて送信ドメインの認証をおこなう仕組みです。

攻撃者はメールコンテンツを改変( 例えば振り込み依頼であれば攻撃者の口座情報に変更) し、受信者をだますことがあります。DKIM を使用することで、受信側がコンテンツが改ざんされていないかを検証することができます。送信者は、メールのどの要素を署名プロセスに含めるかを決定します。メッセージ全体（ヘッダーと本文）を含めるか、メールヘッダーの1 つ以上のフィールドだけに集中するかを決めることができます。DKIM 署名の対象要素が転送中に変更された場合、DKIM 署名は認証に失敗するため、改ざんを検知することができます。

しかし、DKIMだけではメールのなりすましを効果的に防ぐことはできません。そのため、DKIMとともに、DKIMで検証されたメール送信元が、ユーザーが目にする送信者メール (MAIL FROM) と同一かを検証するDMARCと併用することを奨励しています。

DKIMには以下の欠点があります。

• DKIMは実装と管理が難しいため、採用している組織は少ないです。
• 採用率が低いために、DKIM署名がないからといってそのEメールが不正であると判断することができません。
• DKIMだけでは、送信者の身元を認証する普遍的に信頼できる方法とは言えません。
• DKIMドメインは技術者でないエンドユーザーには見えず、メーラーに表示される目に見える「header from」ドメインのなりすましを防ぐことはできません。

DMARC

DMARC（Domain-based Message Authentication Reporting & Conformance）は、なりすましメールを検知して防止するメールの検証の仕組みです。フィッシング や スパムメールでよく使われる、正当な組織から送信されたように見せかけて送信者アドレスを偽装したメールなどを阻止するのに役立ちます。DKIMとSPFの標準に照らして正規の電子メールを適切に認証し、その組織が管理するドメインから発信されたと見られる詐欺行為を、顧客の受信箱に届く前にブロックすることを保証します。しかし、DMARCで防ぐことができないメール詐欺もあります。

• DMARCは、メール詐欺攻撃の約30％で使われるドメインのなりすましに有効な対策です。しかし、表示名詐欺や類似ドメインを用いた詐欺メールから守るものではありません。