Upgrade to Pro
— share decks privately, control downloads, hide ads and more …
Speaker Deck
Features
Speaker Deck
PRO
Sign in
Sign up for free
Search
Search
Gmail の「メール送信者のガイドライン」強化から 1 ヵ月、今後予想されるメールセキュリテ...
Search
HIRANO Yoshitaka
March 12, 2024
Research
1
720
Gmail の「メール送信者のガイドライン」強化から 1 ヵ月、今後予想されるメールセキュリティの変化とは
Gmailの「メール送信者のガイドライン」の概要について話します。
また、今後予想されるメールセキュリティの変化について、なりすましのない世界の観点でお話しします。
HIRANO Yoshitaka
March 12, 2024
Tweet
Share
More Decks by HIRANO Yoshitaka
See All by HIRANO Yoshitaka
そのメール、ちゃんと届いていますか?DMARC・DKIM・SPFをしっかり運用管理してドメインの信頼を守る
hirachan
2
120
MIMEと文字コードの闇
hirachan
2
1.6k
メールとAIシリーズ:プライバシー保護のための次世代技術~NLPの未来と大規模言語モデル活用術
hirachan
2
68
Whoisの闇
hirachan
3
480
メール暗号化はSTART TLSで安心?!見落としがちな脆弱性と今すぐ取るべき対策
hirachan
1
140
自由自在にカスタマイズ!Go言語で作る あなただけのメールサーバー
hirachan
1
140
RM8回完走でもPBPはツライ
hirachan
1
120
LEL2017の思い出とLEL2025最新情報
hirachan
1
310
TLS1.0/1.1廃止に向けて JPAAWG 6th Open Round Table議事録
hirachan
2
110
Other Decks in Research
See All in Research
インドネシアのQA事情を紹介するの
yujijs
0
200
SkySense : A Multi-Modal Remote Sensing Foundation Model Towards Universal Interpretation for Earth Observation Imagery
satai
3
170
DeepSeek を利用する上でのリスクと安全性の考え方
schroneko
3
1.4k
Dynamic World, Near real-time global 10 m land use land cover mapping
satai
3
280
JSAI NeurIPS 2024 参加報告会(AI アライメント)
akifumi_wachi
5
1k
ノンパラメトリック分布表現を用いた位置尤度場周辺化によるRTK-GNSSの整数アンビギュイティ推定
aoki_nosse
0
310
3D Gaussian Splattingによる高効率な新規視点合成技術とその応用
muskie82
4
2k
数理最適化と機械学習の融合
mickey_kubo
15
8.3k
定性データ、どう活かす? 〜定性データのための分析基盤、はじめました〜 / How to utilize qualitative data? ~We have launched an analysis platform for qualitative data~
kaminashi
6
970
RapidPen: AIエージェントによるペネトレーションテスト 初期侵入全自動化の研究
laysakura
0
1k
90 分で学ぶ P 対 NP 問題
e869120
16
7.2k
公立高校入試等に対する受入保留アルゴリズム(DA)導入の提言
shunyanoda
0
4.8k
Featured
See All Featured
Become a Pro
speakerdeck
PRO
28
5.4k
Designing Dashboards & Data Visualisations in Web Apps
destraynor
231
53k
CoffeeScript is Beautiful & I Never Want to Write Plain JavaScript Again
sstephenson
160
15k
Automating Front-end Workflow
addyosmani
1370
200k
XXLCSS - How to scale CSS and keep your sanity
sugarenia
248
1.3M
Agile that works and the tools we love
rasmusluckow
329
21k
Speed Design
sergeychernyshev
30
970
Creating an realtime collaboration tool: Agile Flush - .NET Oxford
marcduiker
30
2.1k
YesSQL, Process and Tooling at Scale
rocio
172
14k
Chrome DevTools: State of the Union 2024 - Debugging React & Beyond
addyosmani
6
650
Templates, Plugins, & Blocks: Oh My! Creating the theme that thinks of everything
marktimemedia
30
2.4k
Build The Right Thing And Hit Your Dates
maggiecrowley
35
2.7k
Transcript
Gmail の「メール送信者のガイドライン」 強化から 1 ヵ月、 今後予想されるメールセキュリティの変化とは Vade Japan 株式会社 平野善隆
2 自己紹介 名前 平野 善隆 所属 Vade Japan 株式会社 Hornetsecurity
Principal Messaging Engineer 学歴 奈良先端科学技術大学院大学 情報科学研究科 自然言語処理学 趣味 長距離の自転車大会(1,200kmとか、2,000kmとか) バンド演奏 主な活動 M3AAWG JPAAWG
はじめに
4 2023年10月3日 米Yahoo, Gmailが大量送信者に厳しくすると発表
5 • 現状のおさらい • 現状の対応方法 • なりすましのない世界 もくじ
現状のおさらい
迷惑メールとは?
8 ニセモノのメールは迷惑メール ニセモノのメール Amazonアカウント凍結のお知らせ 尊敬するお客様
9 迷惑メールとは? 毎日新製品のメールが来て 楽しいなぁ♪ 毎日毎日メールが来て もううんざりだよ=3
10 人によって定義がバラバラ 迷惑メール ではない 迷惑メール
11 • 偽者の可能性のあるメールは迷惑メールである • 0.3%以上「迷惑メール報告」がある送信者からのメールは、 迷惑メールである • 広告メールは「迷惑メール報告」されないように、 「登録解除」できるようにし、欲しい人だけが受信すればよい Gmailによる「迷惑メール」の再定義
ニセモノでないことの証明
13 送信元IPの逆引きホスト名の正当性 192.0.2.5 example.com DNS 悪い人が管理 Received: from example.com (example.com.
[192.0.2.5]) Receivedヘッダ に表示 exampleの ふりをするぞ
14 送信元IPの逆引きホスト名の正当性 192.0.2.5 example.com DNS 悪い人が管理 exampleの ふりをするぞ DNS 203.0.113.7
example.com の人が管理 逆引きホスト名 のIPが元のIPと合 わない example.comがなりすまされている、とわかる
15 送信元IPの逆引きホスト名の正当性 203.0.113.7 example.com DNS DNS 203.0.113.7 203.0.113.42 example.com の人が管理
逆引きホスト名 のIPが元のIPと 合っている example.comがなりすまされていない、とわかる 203.0.113.42
16 送信ドメイン認証 • SenderID RFC4406 2006年 • SPF RFC4408 2006年
→ RFC7208 2014年改訂 • DKIM RFC4871 2007年 → RFC6376 2011年改訂 • DMARC RFC7489 2015年 → draft-ietf-dmarc-dmarcbis-30 (近々改訂?) • ARC RFC8617 2019年 • BIMI draft-brand-indicators-for-message-identification-04 進行中 DMARCができてから9年 ➔ そろそろ機が熟した
17 17 実は突然厳しくしたわけではない 2023年3月のSender guidelinesのページ https://web.archive.org/web/20230322220545/https://support.google.com/a/answer/81126
22 • ヘッダFromのドメインとDKIMの署名者を一致させる + DKIM PASS • ヘッダFromとEnvelope Fromのドメインを一致させる +
SPF PASS ヘッダFromドメインの正当性 アラインメントを 一致させる DMARCと同様だが、 SPF, DKIMの両方を要求する場合、 結果としてDMARCより厳しい
23 • 経路を暗号化することでメールサーバ間の改ざんが防がれる 経路の暗号化 Vade 改ざん できない START TLS
24 • 送信元IPのFCrDNS対応 • SPFをPassさせる • DKIMをPassさせる • ヘッダFromのアラインメント •
DMARCの設定 • 経路の暗号化 ニセモノでないことの証明
登録解除
26 List-Unsubscribe-Post: List-Unsubscribe=One-Click List-Unsubscribe: <https://登録解除URL> 配信リストからの登録解除
27 登録解除に誘導される 迷惑メール報告しようとすると 登録解除を用意す ると、迷惑メール 報告されにくい
送信者の対応方法
29 A. メール送信者のガイドラインに対応させる ➔ なりすまされる心配がない B. Gmail以外のアドレスで受け取ってもらう • 送信ドメイン認証などに対応していない脆弱な環境のみに届く ➔
受信者にとってなりすましが届くリスク C. ホワイトリストに入れてもらう • 悪い人に「なりすませますよ」と教えているようなもの ➔ 受信者にとってなりすましが届くリスク 送信者として (認証系)
30 A. 登録解除機能を付ける • 読みたくない人は登録解除できる → 迷惑メール報告されない → ただし、興味がないと登録解除されてしまう B.
登録解除機能をつけない • 読みたくない人は迷惑メール報告する → 読みたい人にも届かなくなってしまう 送信者として (登録解除)
なりすましのない世界へ
32 送信者は対応しないと届かない ISP 1 ISP 2 本物のメールだけ たぶん本物 たぶん本物 たぶん本物
たぶん本物 届かないと困るので 対応する
33 ほとんどの送信者が対応する ISP 1 ISP 2 本物のメールだけ たぶん本物 たぶん本物 たぶん本物
たぶん本物
34 攻撃者としては? ISP 1 ISP 2 本物のメールだけ 本物 ニセモノ 本物
ニセモノ 届かないので 攻撃対象を変える
35 脆弱なところを狙う ISP 1 ISP 2 本物のメールだけ 本物 ニセモノ 本物
ニセモノ 届かないので 攻撃対象を変える
36 受信者としては ISP 1 ISP 2 本物のメールだけ 本物 ニセモノ 本物
ニセモノ このISP 嫌だ なりすましの問い 合わせが大変なの でGmailをオススメ
37 受信者はより安全なところへ移動する ISP 1 ISP 2 本物のメールだけ 本物 ニセモノ 本物
ニセモノ 迷惑メール 来なくていいね
38 ISPとしては ISP 1 ISP 2 本物のメールだけ 本物 ニセモノ 本物
ニセモノ 送信者は全員対応して るし、DMARCとかやっ てもいいんじゃない?
39 ISPも送信ドメイン認証等に対応 ISP 1 ISP 2 本物のメールだけ 本物 ニセモノ 本物のメールだけ
40 最終的に ISP 1 ISP 2 本物のメールだけ 本物のメールだけ 本物のメールだけ やべ
なりすませない なりすましのない世界
41 • 送信者 • 送信ドメイン認証を設定し、登録解除の仕組みを提供 • 受信側ISPなど • 送信ドメイン認証等により本物のメールのみを受け取る •
登録解除のUIを提供する ➔ 結果として不要なメールのを受信しなくてよくなる • 受信者 • 安全なサービスを見極めて使う 近い将来
42 突然の送信ドメイン認証 普及率の増加 インターネット協会 DMARC普及状況調査より
43 さっそくSoftBankが4月からDMARC対応
なりすましのない世界では
45 SPF + アラインメント ➔ ヘッダFromのドメインなど DKIM + アラインメント ➔
ヘッダFromのドメインなど DMARC ➔ ヘッダFromのドメイン 何に対してのなりすまし防止? なりすまされないのは、 ヘッダFromであって 送信者そのものではない
送信元ドメインが本物である世界 なりすましのない世界では
47 From: Security Days運営事務局 <
[email protected]
> Subject: 事前登録確認のお知らせ 以下のURLから登録内容を確認してください どちらがほんもののお知らせでしょうか From:
Security Days運営事務局 <
[email protected]
> Subject: 事前登録確認のお知らせ 以下のURLから登録内容を確認してください DMARC PASS DMARC PASS
48 From: Security Days運営事務局 <
[email protected]
> Subject: 事前登録確認のお知らせ 以下のURLから登録内容を確認してください どちらがほんものでしょうか From:
Security Days運営事務局 <
[email protected]
> Subject: 事前登録確認のお知らせ 以下のURLから登録内容を確認してください DMARC PASS DMARC PASS こちらは確実に本物だと分かる (f2ff.jpを知っていれば)
49 From: マイクロソフトサポート <
[email protected]
> Subject: アカウント確認のお知らせ 以下のURLから登録内容を確認してください Lookalike Domain From:
Amazon <
[email protected]
> Subject: アカウント確認のお知らせ 以下のURLから登録内容を確認してください DMARC PASS DMARC PASS しかし、現実はそうではない
50 • そもそも使用しないのがよい • ブランド所有者と調整、同意を得る • WHOISのプライバシーサービスを使用しない • ブランド所有者は使用しているドメインの全リストを管理する •
Lookalike Domainの所有権をブランド所有者に移管する Lookalikeドメインを使用する場合のベストプラクティス
51 • BIMI ブランドとドメインを紐付ける技術 これ
52 • DMARCがPASSしている • DMARCのポリシーがp=quarantine以上 • VMC証明書がPASSしている • 組織の存在証明 •
担当者の存在証明 • ドメインとの紐付け証明 • ロゴの商標登録証明 BIMIの表示条件
53 • 送信者 • ブランドとドメインを紐付けるため、BIMIにロゴを登録 • 受信側ISPなど • BIMI認証が通ったものに対して、ロゴを表示し受信者に情報を提供する •
送信元ドメインの評価をし、受信者に安全なメールを届ける • 受信者 • ロゴを見れば本物かどうかがわかる • 安全なサービスを見極めて使う 少し未来
54 JPドメインのBIMIの普及状況 インターネット協会 DMARC普及状況調査より
送信者のブランドが表示される世界
56 ロゴなりすましできないのか?
57 似たようなロゴは存在できる Minitt 立命館大学 Pandora 楽天 Meta PayPal
58 • 送信元ドメインがなりすまされていない世界ではドメインの評価ができる • ドメインが信頼できるかどうか見極める必要がある • ドメインとブランドの紐付け • 長年利用されているドメインは高評価 •
スパム報告の少ないドメインは高評価 などなど ドメインの評価
59 Gmailユーザは自分の画像を変更できる これ
60 • BIMIのロゴは送信元ドメインに紐付いたもの • 送信者のアバターは送信者に紐付いたもの • 本来混在させるべきではない • これからWebMailを作る方や、BIMIを実装する方は、ぜひ考慮を BIMIのロゴと送信者のアバター
さいごに
62 62 • ガイドライン・FAQの変更をチェックできるサイト • https://hirano.cc/no-auth-no-entry ガイドラインの変更について
63 今日帰ったらやること • 送信者 • DKIM, SPF + アラインメントを設定 ができるなら、
DMARC p=reject, p=quarantine を書くことができます! • 受信側ISPなど • 送信者が希望するDMARCポリシー通りに動作するように検討しましょう • 登録解除のUIの提供を検討しましょう • 受信者 • 安全なサービスを見極めて使いましょう
64 Vade Japan ブースもお立ち寄りください
65 • Email sender guidelines https://support.google.com/a/answer/81126?hl=en • Email sender guidelines
FAQ https://support.google.com/a/answer/14229414?hl=en • Gmailの送信者のガイドラインの強化がもたらす未来 https://qiita.com/hirachan/items/f668511783c6e0663cb2 • BIMIを使ってメールにロゴを表示する方法 https://qiita.com/hirachan/items/f904edd03abf25a83004 https://qiita.com/hirachan/items/4922ae25a3d0602a140a https://qiita.com/hirachan/items/85d0983ebfa0e5034041 参考文献