通信時のメールの暗号化(TLS)のハナシ

メールの暗号化は、2016年以降には普及して当たり前のことだと考えます。技術的にもコスト的にもすでに大したものとはなっていません。対応していないとすればそれはメールサービス提供者側の怠慢ともとられかねないでしょう。

メールサービスがインターネット上の通信が傍受されることの危険性がようやく身近なニュースから感じられるようになってきました。メールの送受信には、相手先に届く前にかならず自分の契約する、もしくは、自分に与えられたメールアドレスが定義する送信メールサーバーを通るわけです。この送信メールサーバーから送り先(届け先)のメールサーバーへの経路ももちろんインターネットであり、この間のいずれかの地点(正確にはなんというのかな)で傍受されることの危険性は、ずっと以前から唱えられてきました。もっといえば、最近もニュースでありましたが、メールのパスワードなどのアカウント情報を知ることができるレベルの職、さらに、メールサーバー管理者レベルであれば、逐一メールを覗き見することは可能です。大手企業がフィルタリングしている理屈にもかなうわけですが。故に、管理者には高い倫理観が求められます。名簿流出事件のように、機械やプログラムがどれだけセキュアで堅牢であっても、人的エラー、または、意図的な漏洩によりその高くて固い壁は木っ端微塵に吹っ飛びます。いや、別に吹っ飛びはしませんね。”意味を成さない”程度に留めておきます。

 

Google社のメールシステム「Gmail」がめざす堅牢性

Google Gmail : 通信時のメールの暗号化(TLS)
https://support.google.com/mail/answer/6330403?p=tls&hl=ja&rd=1

上のページがこれについて詳細に紹介しております。経路の危険性とセキュリティの標準化についてがとてもわかりやすいの一部抜粋引用して掲載させていただきます。

 

「Gmail は Transport Layer Security(TLS)を使用した暗号化通信をサポートしており、可能な限り、送受信メールを自動的に暗号化します。

ただし、相手側のメールサービスが TLS に対応していない場合、送受信されるメールは TLS で暗号化されません。」

これはとうぜんですね。相手方が対応してなければ意味がありません。

 

 

そして、Gmailでは相手方の状態も把握できるようになっています。

「受信したメールや送信しようとするメールに、開いた赤い錠のアイコン が表示される場合、そのメールは暗号化されていない可能性があります。

メールの作成中に赤い錠が表示される場合は、そのメールアドレスへは、納税申告書や契約書などの機密資料を送信しないでください。」

さらに、こうです。

「受信メールの閲覧時に赤い錠が表示される場合は、そのメールは送信時に暗号化されませんでした。通常、この場合は対処法がありません。特に慎重に扱うべき情報がメールに含まれている場合は、送信者にメールのサービス プロバイダへ連絡するよう伝えてください。」

通信の考え方ですが、基本的に双方のインフラのレベルに依存します。以前のエントリー「稲沢市で(愛知県でも)NPO法人として唯一(おそらく)、サイトすべてをSSL通信暗号化に対応させました。」の中でも述べましたが、セキュリティを向上するにはたいへんコストと労力がかかります。かかるからといえ、放置しておけるのは極私的な運用レベルでのハナシであり、企業・法人やショップ、官公庁、各機関にこそ高い意識を期待せざるを得ません。ただし、日本はセキュリティ後進国です。

つまりこういうことです。

「一部のメールが暗号化されない理由としては、メールをやり取りしている相手のメール プロバイダが、Transport Layer Security(TLS)と呼ばれるシステムを使用したメールの常時暗号化に対応していない場合、Gmail が暗号化に対応していても、メールが暗号化されない可能性があります。TLS 配信を行うには、送信者と受信者の両方のメール配信サービスで常に TLS を使用する必要があります。」

セキュリティは視認性の低い、度合いの測りにくい概念的なものもあります。SSLのハナシでも述べましたが、視覚的に認識できる何かは全体的なレベルの底上げにとってとても大切です。そして、Google社がこれを明示することにはたいへん意義があるはず。

 

「赤い錠が付いていないメールへの返信時に開いた赤い錠のアイコンが表示される場合は、メール プロバイダが Gmail ユーザーへのメールの送信には TLS を使用できるが、暗号化されたメールの受信には未対応であることを意味しています。」

 

あと、これに気をつけたいのですが、メールアドレスのドメインと送信元サーバーのドメインが違うことがあります。さらにいえば、日本国内の大手企業の広告メール、DMでもこのケースがたいへん多く見受けられます。なりすましの判定にユーザーが神経をすり減らす事って重要なのでしょうか。

●特殊な事例

「Gmail ではメールの作成時に、受信者側のメールサービスが暗号化に対応しているかどうかが確認されます。その結果、過去に未対応であった場合は警告が表示されます。これは、別のドメインのメールサービスを経由する独自の「From」アドレスを設定している場合など、メールが Gmail で直接送信されない状況では、正確に行われないことがあります。」

コメントを残す