実務で使える メール技術の教科書 基本のしくみからプロトコル・サーバー構築・送信ドメイン認証・添付ファイル・暗号化・セキュリティ対策まで

6

−

3

—

—

DNSSEC

■ DANE を利用する

STARTTLS のダウングレード攻撃を防ぐため、6-1 節では MTA-STS を

使った方法について解説しました。しかし、DNS のキャッシュポイズニング

などで DNS サーバーのレコードを改ざんされると偽のメールサーバーを使用

され、MTA-STS を無効化できてしまいます。

また、MTA-STS では、証明書を使って送信先が正しいことを検証していま

した。ここで、Root CA までたどれるような偽の証明書が使われると、偽物

かどうかの区別ができず、悪意のある中間者はメールを詐取可能であることを

意味します。

そこで登場するのが、DNSSECを必須としたDANE という技術です。

DANE は MTA-STS と同様に受信側のメールサーバーが対応することで、送

信側のメールサーバーに対してダウングレード攻撃を防ぐために使われます。

DANE では、公開鍵証明書の認証局（CA）は使用しません。使用しても問

題ありませんが、通常の認証局のように検証はされないため、いわゆる「オレ

オレ証明書

※7

」でも問題ありません。

その代わりに、DNSSEC の「信頼の連鎖」を使って、公開鍵や証明書を

DNS の署名により正当性を検証します。つまり、DNSSEC の DNS ルート

サーバーからの信頼によって、DNS 情報が正しいことを確認します。

そして、具体的な証明書の内容は、DNS サーバーにテキストレコードとし

て追加します。このとき、「TLSA」という指定を追加するため、 ...