PowerPoint プレゼンテーション

Size: px

Start display at page:

Download "PowerPoint プレゼンテーション"

もりよりうなだ
7 years ago
Views:

1 送信サイドからみた DMARC 使ってないドメインから設定してもいいんじゃない? 株式会社クオリティア平野善隆

2 自己紹介名前平野善隆所属主な活動株式会社クオリティアメール好きの方募集中!! M3AAWG JPAAWG IA Japan 迷惑メール対策委員会迷惑メール対策推進協議会 MRI Audax Randonneurs Nihonbashi

3 DMARC を設定するメリット 1. 自社のドメインをなりすましたメールが到達しないようにできる 2. SPF や DKIM が正しくないメールを追跡できる

4 なりすまし対策自社のドメインをなりすましたメールを到達させない example.jpからのメールは全部 DKIMかSPFがPASSするはずなのでそうではない場合は拒否してくださいね _dmarc.example.jp TXT "v=dmarc1; p=reject" DMARC 登場以前はスパムフィルタ業者にお願いするしかなかった

5 レポーティング SPF 範囲外からの送信や DKIM 署名が正しくないメールを追跡できる example.jpからのメールは全部 DKIMかSPFがPASSするはずなのでそうではない場合は教えてくださいね _dmarc.example.jp TXT "v=dmarc1;

6 設定方法

7 設定方法利用中のドメイン利用していないドメイン新規のドメイン

8 利用中のドメイン

9 DMARC の設定 _dmarc.example.jp TXT "v=dmarc1; p=none; レポートを受け取って様子を見る SPFやDKIMが正しく設定されていなければレポートが来る本物のなりすましのレポートも混ざります

10 SPF の設定 example.jp TXT "v=spf1 ip4: all" example.jp TXT "v=spf1 ip4: ip4: /24 -all" example.jp TXT "v=spf1 ip4: include:_spf.example.com -all"

11 最近の DKIM 事情 RFC8301: Cryptographic Algorithm and Key Usage Update to DomainKeys Identified Mail (DKIM) (2018/1 月 ) 署名も検証も rsa-sha256 を使いましょう (MUST) rsa-sha1 はやめましょう (MUST) 署名は 1024bit 以上 (MUST) 2048bit 以上 (SHOULD) 検証は 1024bit~4096bit(MUST) しかし 2048bit は DNS に書けるサイズ 255 バイトを超えてしまう

12 最近の DKIM 事情 RFC8463: A New Cryptographic Signature Method for DomainKeys Identified Mail (DKIM) (2018/9 月 ) Ed25519-SHA256 を使いましょう BASE64 後のサイズが 44 バイトしかないので DNS の問題もない署名側は実装しましょう (SHOULD) 検証側は実装必須 (MUST) 後方互換性のために署名は Ed25519-SHA256 と RSA-SHA256(1024bit 以上 ) を 2 つ記述する

13 DKIM の設定 rsa _domainkey.example.jp TXT v=dkim1; k=rsa; p=11qyaykcrfvs/7 ed _domainkey.example.jp TXT "v=dkim1; k=ed25519; p=migfma0gcsqgsib RSA-SHA256 と Ed25519-SHA256 の両方の署名を登録する

14 DKIM ヘッダ DKIM-Signature: v=1; a=ed25519-sha256; c=relaxed/relaxed; d=example.jp; s=ed ; t= ; h=from : to : subject : date : message-id : from : subject : date; bh=2jusoh9nhtvgcqwnr9briaprekqjo6sn7xikfjvozv8=; b=/gcrinpcqooifuhnqibq4pgh9kyik3aqudt9odqqehswheiug4d... DKIM-Signature: v=1; a=rsa-sha256; c=relaxed/relaxed; d=example.jp; s=rsa ; t= ; h=from : to : subject : date : message-id : from : subject : date; bh=2jusoh9nhtvgcqwnr9briaprekqjo6sn7xikfjvozv8=; b=f45dvwdfmbqdghjflxunb2hkfbcelryhdxgfpel8gw... From: Alice <[email protected]> ed25519 と rsa の両方の署名をヘッダに付ける From のドメインと d= は同じにする

15 DMARC の設定 ( 再び ) ここまで来ると必要なメールのレポートは来なくなっているはず p=rejectに変更! _dmarc.example.jp TXT "v=dmarc1; p=reject; rua=mailto:[email protected]; ruf=mailto:[email protected]"

16 利用中していないドメイン

17 パークドメインメールの送信に利用していないドメイン今日はこの意味で使います! 他社に取得されないように保持しているだけのドメイン終了したサービスやキャンペーンで使い終わったドメイン社名変更前のドメインメール受信はするけど送信しないドメイン Webサーバでのみ使用しているドメイン意識したこともないサブドメイン

18 パークドメインの DMARC 設定のススメ送信に使っていないなら躊躇なく p=reject できるはず!

19 分類メール送信なし / 受信あり受信専用ドメインメール送信なし / 受信なし /A レコードありメール以外の用途で使用されるドメインメール送信なし / 受信なし /A レコードなし使用されていないドメインメール送信あり / 受信なしスパマー用ドメインこれは取り扱いません

20 SPF の設定送信がある場合 example.jp TXT "v=spf1 ip4: all" 送信がない場合 example.jp TXT "v=spf1 -all" 送信がない場合 ( サブドメイン ) *.example.jp TXT "v=spf1 -all"

21 DKIM の設定送信がある場合 selector1._domainkey.example.jp TXT "v=dkim1; p= abcd " 送信がない場合 *._domainkey.example.jp TXT "v=dkim1; p=" = で止めます

22 DKIM の設定 ( サブドメイン ) サブドメインからの送信がない場合 *._domainkey.*.example.jp TXT "v=dkim1; p=" とは書けない! *.example.jp TXT "v=dkim1; p="

23 DMARC の設定 ( 受信がある場合 ) _dmarc.example.jp TXT "v=dmarc1; p=reject; rua=mailto:[email protected]; ruf=mailto:[email protected]" 同じ組織ドメインの場合サブドメインも含む a.b.c.d.example.jp の場合 _dmarc.a.b.c.d.example.jp を参照しなければ _dmarc.example.jp を参照する

24 DMARC の設定 ( 受信がない場合 ) _dmarc.example.jp TXT "v=dmarc1; p=reject; rua=mailto:[email protected]; ruf=mailto:[email protected]" example.jp._report._dmarc.example.com TXT "v=dmarc1"

25 メール受信がなく A や AAAA レコードがあるドメインの場合

26 MX レコード MX レコードがない場合のメール配送の動きについて RFC The lookup first attempts to locate an MX record associated with the name.... If an empty list of MXs is returned, the address is treated as if it was associated with an implicit MX RR, with a preference of 0, pointing to that host. 拙訳 ) まず ( メールアドレスのドメイン ) 名に対応した MX レコードを参照する... MX が空だった場合そのアドレスは暗黙的にそのホストを指す preference 値 0 の MX レコードとして扱われる

27 MX レコード MX レコードがない場合のメール配送の動きについてつまり MX レコードがない場合 A レコードを参照して配送する web サーバ等にメールが来る

28 Null MX RFC 7505 A "Null MX" No Service Resource Record for Domains That Accept No Mail (2015/6 月 ) example.jp MX 0. サブドメインでの受信がない場合 *.example.jp MX 0.

29 SOA レコード SOA にもメールアドレスがあるので届くアドレスを書きましょう example.jp SOA ns.example.jp hostmaster.example.com

30 参考文献 M 3 AAWG Protecting Parked Domains Best Common Practices (Updated December 2015)

31 新規のドメイン

32 DNS の設定 example.jp TXT "v=spf1 -all" *.example.jp TXT "v=spf1 -all" *.example.jp TXT "v=dkim1; p= _dmarc.example.jp TXT "v=dmarc1; p=reject; example.jp._report._dmarc.example.com TXT "v=dmarc1" example.jp. MX 0. *.example.jp. MX 0. パークドメインと同様に設定 TTL は短めにして必要に応じて変更

33 設定のまとめできるとこだけでも p=reject にしましょう

34 レポート編

35 やってみた今は使われていない transware.co.jp ドメインで DMARC を設定してみました

36 予想送信には使われていないしスパムは毎日のように届いているので transware.co.jpをなりすましたメールがあちこちで拒否されている様子が DMARCレポートでわかるだろう

37 結果レポートから判明した送信元社内から誤送信防止サービスのデモ環境から監視システムからえっ! 送信には使用されていないはずなのに

38 調査 <feedback> <record> <row> <source_ip> </source_ip> <count>54</count> <policy_evaluated> <disposition>none</disposition> <dkim>fail</dkim> <spf>fail</spf> </policy_evaluated> </row> <identifiers> <header_from>support.transware.co.jp</header_from> </identifiers> <auth_results> <spf> <domain>delivery.qualitia.co.jp</domain> <result>none</result> </spf> </auth_results> </record> </feedback> 送信元 IP アドレス = 社内から送信する全メールが経由するメールサーバヘッダの FROM ドメイン

39 わかったことヘッダFROMのドメインが support.transware.co.jp のメールを社内からgoogleに送信または転送しているらしいメールアドレスがわかるわけではない rufレポートがあればわかる

DNSとメール

DNSとメール Internet Week 2013 DNS DAY DNS とメール - 送信ドメイン認証の普及に伴う DNS の負荷影響 - Genki Yasutaka E-mail: [email protected] 自己紹介氏名 : 安髙元気 ( やすたかげんき ) 所属 : 楽天株式会社最初はメールシステムの開発運用に従事 DKIM 等の送信ドメイン認証技術を導入