ネットワーク・通信セキュリティ重要度:★★出題: AM2・PM1

メール中継制御 (第三者中継防止) と OP25B・SMTPS / STARTTLS

だいさんしゃちゅうけいぼうし / おーぴーにーごーびー / すたーとてぃーえるえす / Open Mail Relay Prevention / Outbound Port 25 Blocking (OP25B) / STARTTLS

スパムメールの踏み台化を防ぐオープンリレー（第三者不正中継）禁止設定、動的IPからの25番ポート直接送信遮断（OP25B）、およびサブミッションポート（587番）＋SMTP AUTH・STARTTLSによるメール経路保護。

3行速習ポイント

第三者中継（オープンリレー）禁止：外部から届いたメールのうち「宛先が自社ドメイン以外」のものを無条件に外部へ中継するとスパム踏み台になるため、宛先が自社ドメインのものだけを受信する
OP25B（Outbound Port 25 Blocking）とサブミッションポート：ボット感染PCからの直接スパム送信を防ぐためISPがTCP 25番を制御し、正規利用者はTCP 587番（サブミッションポート）＋SMTP AUTH（利用者認証）で送信
STARTTLSの注意点：平文ポート（25/587）で接続後にTLSへアップグレードする日和見暗号化であり、中間者によるSTARTTLSコマンド削除（ストリップ攻撃）にはMTA-STSやDANEで対策する

図メール配送・中継制御（オープンリレー防止・OP25B）と暗号化範囲（STARTTLS vs S/MIME）

MTA 中継制限

第三者不正中継（オープンリレー）の禁止

外部からの25番ポート受信は「宛先が自社ドメイン」のメールのみ許可

外部から届き外部ドメインへ出ていくメールを無条件中継するとスパム配信の踏み台になるため、MTA設定で第三者中継を完全拒否

↕

送信認証制御

OP25B とサブミッションポート (587番 + SMTP AUTH)

動的IPからの25番直送信遮断と、利用者認証付き587番ポート送信

マルウェア感染PCからの直接スパム送信をISPが遮断（OP25B）し、正規ユーザは587番ポートでSMTP AUTH認証とSTARTTLS暗号化を行って送信

↕

暗号化範囲の区別

STARTTLS（経路暗号化）vs S/MIME（E2E本文暗号化・署名）

中継サーバ間の通信路保護と、送信者から受信者までのメール本体保護

STARTTLSはサーバ間の通信経路のみを暗号化する（中継サーバ上では平文）。送信者から受信者までEnd-to-Endで本文秘匿・改ざん検知を行うにはS/MIMEを使用

💡 S/MIMEの鍵の使い分け：「デジタル署名＝送信者の秘密鍵（受信者が送信者の公開鍵で検証）」、「暗号化＝受信者の公開鍵（受信者が自身の秘密鍵で復号）」

企業のメールサーバ構成では、外部との配送を担うMTA（25番ポート）と、社員のメーラから送信を受け付けるMSA（587番サブミッションポートまたは465番SMTPS）の役割を明確に分け、なりすまし送信と不正中継を阻止します。

S/MIME（Secure/Multipurpose Internet Mail Extensions）：STARTTLSが「メールサーバ間の通信経路」のみを暗号化するのに対し、S/MIMEは送信者から受信者まで「メール本文そのものをエンドツーエンド（E2E）で暗号化・デジタル署名」する規格
S/MIMEにおける鍵の使い分け：送信者の「秘密鍵」でデジタル署名（送信元真正性・改ざん検知）を行い、受信者の「公開鍵」でメール本文の共通鍵を暗号化（機密性確保）する
BEC（Business Email Compromise：ビジネスメール詐欺）対策：取引先を装った振込先口座変更メールに対し、SPF/DKIM/DMARC検証、外部受信メールへの警告バナー表示、およびS/MIME署名や別経路（電話等）での確認を徹底