DKIMとは？認証の仕組みとSPFやDMARCとの違いをわかりやすく解説
今回は、SPFと同じ送信ドメイン認証技術の一つで、スパムやフィッシングなどの不正なメール送信を防ぐために広く採用されている「DKIM」について説明します。
目次[非表示]
DKIM（DomainKeys Identified Mail）とは？
DKIMとは、電子署名を用いた送信ドメインの認証技術のことをいいます。「ディーキム」と呼ばれ、「DomainKeys Identified Mail」の略称です。詳しくは後述しますが、受信側のメールサーバでメールのヘッダーに付与された電子署名を、送信ドメインのDNSが公開する公開鍵（一般に公開されている暗号化に必要なもの）を使い照合することで、メールの送信者とメール本文の正当性を評価します。
正当な送信元ドメインとして認証するため、なりすましメール対策が実現できます。
【参考】
DKIMレコードとは？
DKIMレコードとは、DNSに登録する、電子メールに付与されている電子署名の公開鍵とそれに付随する情報です。
電子メールの送信元は、DKIMと呼ばれる電子署名処理で秘密鍵を用いて電子メールに署名を行います。電子メールの受信側は、メール送信元ドメインのDNSからDKIMレコードを取得し、その公開鍵を用いてDKIM署名の検証を行います。DKIMレコードは、電子署名を電子メール受信側で検証するために必要な情報のため、必ずメール配信システム側で指定された情報を登録する必要があります。
なお、電子署名は、秘密鍵と公開鍵が正しい対であると署名検証が成功します。署名の検証により、送信元ドメインから送られている事（なりすましされていない事）、電子メールの本文などが改ざんされていない事が確認できます。
送信ドメイン認証とは？
ご紹介した通り、「DKIM」は正当な送信元ドメインとして認証し、なりすましメール対策を防ぐ技術です。このような技術のことを「送信ドメイン認証」と呼びます。
「送信ドメイン認証」は今回ご紹介するDKIM以外にも、「SPF」や「DMARC」などがあります。違いについては後述しますが、いずれもなんらかの仕組みを利用して、送られたメールが正当な送信元であるかどうかを認証し、メールがなりすまされていないかを判断する技術です。送信ドメイン認証は、スパムメールやフィッシング詐欺などのメールの不正送信を防止するために重要な役割を果たしています。
また、メールの受信者は、正当な送信者からのメールであることを確認でき、セキュリティ上の問題を回避することができます。
DKIMの電子署名の仕組み
DKIMの「送信ドメイン認証」の特徴として、送信するメールへの電子署名の付与が挙げられます。
電子署名は、送信元メール配信サーバやメール中継サーバなどで、メールのヘッダーと本文を基にした情報（ハッシュ値）に送信者の秘密鍵を利用して作成されます。※図中(1)
そして、この電子署名をヘッダーに含めて、メールが送信されます。※図中(2)
送信先メールサーバ（受信サーバ）は、あらかじめ送信元ドメインを管理しているDNSサーバに公開している公開鍵を取得して、受け取ったメールの電子署名を検証します。※図中(3)、(4)
この際に検証に成功した場合、メールの送信元が正当であることを確認することができます。※図中(5)
この検証により、送信元ドメインが正当なものであることが確認された場合、メールの信頼性は向上しますが、送信元ドメインが偽装された場合、検証に失敗し、メールがスパム扱いされる可能性が高くなります。
DKIMの署名方法
DKIMには2つの署名方法があります。
第三者署名
第三者署名とは、メール送信元とは異なるサービスプロバイダーが、メールの署名をおこなう方式です。メール配信システム等を利用している場合、標準では第三者署名である場合が多いでしょう。第三者署名は、送信先メールサーバ（受信サーバ）側で、Fromアドレスと署名するドメインの関連性を検証する必要があります。
そのため、キャリアやプロバイダなど送信先メールサーバのセキュリティポリシーによっては、信頼性が下がる可能性があるので注意が必要です。
作成者署名
作成者署名とは、送信者ドメインと同じドメインで署名する方式です。メール送信元が自ら署名をおこなうため、第三者署名に比べてより信頼性の高いメール送信をおこなえます。
ただし、作成者署名を利用する場合には、秘密鍵の管理が重要です。秘密鍵が漏洩した場合、署名を偽装される可能性があるため、十分に注意しましょう。また、公開鍵がDNSに登録されていない場合や、適切な管理がされていない場合には、署名の検証ができないため、メールが受信できない場合があります。
DKIMとSPF、DMARCとの違いは？
ここまでDKIMとSPF、DMARCについて解説してきましたが、表でまとめると以下のようになります。
DKIM |
SPF |
DMARC |
|
特徴 |
送信メールに電子署名を付与して、なりすましメールでないことを証明 |
メール送信元のIPアドレスで、なりすましメールか否かを判断 |
SPF・DKIMの認証結果をもとに、メールの扱い方法を設定 |
設定の難易度 |
最も簡単で手間がかからない |
SPFより設定の手間がかかり、専門知識も必要 |
最も専門知識を必要とし、設定の負担も大きい |
対策の有効性 |
SPFより有効 |
3つのうちでは最も有効性は限られる |
最も有効 |
特徴や有効性が異なるので、違いを正しく把握して必要な対策をおこないましょう。
DKIMとSPFの違いは？
SPFは、IP アドレスを認証する技術であり、送信者ドメインの詐称を検知することができます。
一方のDKIMは電子署名を付与した認証技術であり、送信者のドメインだけでなく、メール本文の改ざんも検知することができます。それぞれの対応領域が異なるため、どちらかだけ対応していればいいというわけではありません。またECでの購買が当たり前となった今、メール送信元の信頼性だけではなく、メール本文の信頼性がとても重要になっています。
このため、SPF だけでなく DKIM にも対応し、メール本文の信頼性を上げていくことが重要です。
DKIMとDMARCとの違いは？
DMARCは、DKIMやSPFのような認証技術を使って、ドメインの偽装を防止するための技術です。具体的には、SPFとDKIMの認証結果を補強するための技術で、認証に失敗した「なりすまし」の可能性があるメールについて、ドメインの正当な所有者がどのように扱うのか設定でき、なりすましメールが受信者に届かないようにすることが可能です。
DMARCを用いることで、悪意のある第三者によって自社のドメインが「なりすましメール」に使われることを抑止することができます。
一方のDKIMはこれまでも解説している通り、メール送信者が自身のドメインの秘密鍵を用いてメッセージに署名することで、送信元やメッセージが改ざんされていないことを受信側が検証することができます。DKIMは、メールの改ざんを防止するための認証技術であり、DMARCは、認証に失敗した「なりすまし」の可能性がある危険なメールを、ドメインの正当な所有者がコントロールできる技術であると言えます。
DKIMやDMARCは、両方ともセキュリティ強化のために重要な技術であり、両者を併用することで、より高度なメールのセキュリティを確保できます。
DKIMを利用するメリット
DKIMのメリットをご紹介します。
送信者のメリット
- 送信者のドメインを装った、フィッシングのリスクを減らすことができます。
- 正当なドメインと判断されるためドメイン評価を上げることができ、迷惑メールと判定されにくくなると言われています。
受信者のメリット
- From アドレスを詐称したメールを容易に判別できるようになり、フィッシングにかかってしまう可能性を減らすことができます。
- 迷惑メールを判断しやすくなるため、正当なメールのみを受け取ることができます。
DKIMで注意するべきことは？
DKIMの導入にあたって、いくつか注意点があります。
①秘密鍵の管理をしっかりおこなう
DKIMには公開鍵と秘密鍵が必要で、これらの鍵の適切な管理が必要です。秘密鍵が漏洩した場合、不正アクセスによるなりすましや、署名が無効化されることがあるので、注意してください。
また、可能であれば、定期的に公開鍵と秘密鍵を更新するようにしましょう。
②DNSへ正しく設定をする
DKIMには、DNSへ公開鍵の設定が必要です。送信ドメインが複数存在する場合には、それぞれのドメインに対して、個別にDNSへ設定しましょう。
また、設定が完了した後には、必ず設定の確認をおこなってください。設定が正しくされていなかった場合、送信したメールがSPAM扱いされたり、逆に不正なメールが許可されたりすることがあります。
③テスト送信を実施しましょう
テスト送信をおこなうことで、正常に設定されているかどうかを確認することができます。本番配信をおこなう前に必ずテストするようにしてください。
迷惑メール・なりすましメールの現状
迷惑メールやなりすましメールは、現代の電子メールにおける深刻な問題の一つです。その配信数は年々増加しており、様々な手法が用いられています。無差別に大量配信されることが多く、受信者にとって不要な情報や迷惑な広告が送信される迷惑メールは、偽装されたリンクをクリックすることで、不正なウイルスやマルウェアに感染する危険性もあります。
正規の企業や組織から送信されたように見せかけて、個人情報を不正に入手したり、ウイルスを拡散したりするなりすましメールは、送信元のメールアドレスやドメインを偽装する技術が進化し、受信者が正当なメールと見分けるのが困難になっています。迷惑メールやなりすましメールの被害は、個人だけでなく企業や政府機関などでも発生しており、その被害額は膨大なものになっています。
DKIMでメールの正当性を評価しよう
DKIMの重要性をお分りいただけましたでしょうか？
メール配信サービスの導入される際は、DKIM対応しているか否かもぜひご確認ください。
ちなみにアララ メッセージはDKIM対応したメール配信が可能です。
■その他セキュリティ対策記事
・STARTTLSとは？メールを暗号化する仕組みをご紹介
・S/MIMEとは？電子メールのセキュリティ対策！
メール配信に関するお悩みや課題がございましたら、いつでもお気軽にお問い合わせください！引き続きよろしくお願いいたします！
関連コラム
