アプリケーション層・DNS・Web・音声 重要度:★★★出題: AM2・PM1・PM2
DNS名前解決と送信ドメイン認証（SPF / DKIM / DMARC）
でぃーえぬえすとそうしんどめいんにんしょう / DNS Resolution & Email Authentication (SPF / DKIM / DMARC)
権威DNSサーバとキャッシュDNSサーバの連携、およびTXTレコード・電子署名を用いてなりすましメールを検知する認証技術群。
3行速習ポイント
- SPFはSMTPのMAIL FROM（エンベロープFrom）のドメインのDNS TXTレコードを照会し、送信元メールサーバのIPアドレスの正当性を検証
- DKIMは送信側メールサーバが秘密鍵でメールヘッダ・本文に電子署名（DKIM-Signature）を付与し、受信側がDNS上の公開鍵で検証
- DMARCはSPFおよびDKIMの認証結果に加え、ヘッダFromドメインとの一致（アライメント）を検証し、失敗時の処置（隔離/拒否）を指示
図解
図送信ドメイン認証 3大技術（SPF・DKIM・DMARC）の役割
IP認証
SPF（送信元IP検証）
エンベロープFromドメインのTXTレコードと送信元IPを照合
電子署名
DKIM（電子署名検証）
秘密鍵で署名しDNS公開鍵で送信元正当性と非改ざんを検証
統合制御
DMARC（アライメント＆ポリシー）
ヘッダFromとの一致検証と認証失敗時の隔離・拒否ポリシー制御
概要と本質
DNSはA、AAAA、CNAME、MX（Preference値による優先度指定）、NS、PTR（逆引き）、SRV（ケルベロスやSIPのサービス位置指定）、TXTレコード等を提供します。標的型メール攻撃やフィッシング対策として、DNSのTXTレコードを活用したSPF・DKIM・DMARCの3点セットが不可欠となっています。
重要ポイント・コア概念
- DNS応答が512バイトを超える場合（またはEDNS0超過時）は、UDP/53での切り詰め（TCビット）検知後にTCP/53へフォールバックして再照会する
- DKIMではセレクタ（Selector）を分けることで、社内メールサーバと外部委託先メール中継サーバで別々の鍵ペアを安全に運用可能
- DNSラウンドロビンで負荷分散する際、送信元が少数の社内サーバに偏る場合はTTLを短く設定して名前解決要求を頻繁に発生させる
午後I・午後II記述試験での攻略ポイント
午後問題（令和6年春午後II問2など）では、SPFが検査する対象（SMTPのMAIL FROM）とDKIMの効果（正規のメールサーバから送信され改ざんされていないことの証明、および外部委託先とのセレクタ分離による鍵漏えい影響の局所化）が頻出です。
午後記述で使える加点キーワード（クリックでコピー）
この用語が出題された過去問を解く（1分演習）
即時アウトプットで定着ネットワークスペシャリスト 過去問演習で実践力を鍛える
