SSLとメール送信によるセキュリティについて

Question

お世話になっております。

個人で開発を進めているのですが、メールに関するセキュリティがいまいち分からなくて、どうするか悩んでいます。
メールを使用したい部分は以下の内容です。

・登録時のメールアドレスの確認
・登録情報の送信

SSL化することでサーバーとの通信を暗号化できるということは理解したのですが、メールは暗号化されないという意見が調べていたら出てきます。
一方で、例えばサーバーの契約時などで登録情報などが送られてくることもありますし、Yahooはパスワードを廃止し、メールに記載する確認コードなどで認証していくように進めていくようです。そもそもgoogleのUSBセキュリティキーなど、パスワードの入力自体を省いていくのが今後の傾向なのかもしれないと思います。
USBのセキュリティキーなどを使わない方法でパスワードを省く認証はメール（SMS）等を必要とすると思うのですが、メールにどこまでの個人情報を記載してよいものなのでしょうか。

こういった情報を送る際は、SSL化とは別になにかしらセキュリティ対策をしているものなのでしょうか。
現在開発はPHPで行っており、「PHPMailer」（github:https://github.com/PHPMailer/PHPMailer）を使用させていただいております。
またSSLとは関係ないのですが、登録時に入力したメールアドレスがすでに登録済みか確認し表示しているのですが、第三者が知っているメールアドレスを入力し、登録しているかを確認できるため、これはよくないという内容を読みました。
しかし、入力時に表示するというだけで、重複するメールアドレスがあった場合、入力時に確認しなくても結局は登録を弾くので第三者が適当なメールアドレスを試せるのは同じではないでしょうか(他に良い方法があるのか思いつかなくてこちらも悩ましいです)。
githubやdropboxなどはっきり確認しているサービスも多いので大丈夫なのかな、とは思っていますが、ご意見をお聞かせいただけたら嬉しいです。

何卒、よろしくお願いいたします。

Comments

[退会済みユーザー]

回答とは大して関係ないのでこちらで、POP・IMAPも通信に TLS または SSL を使えます。セキュリティを気にする人はそれを利用します。

Answer 1

メールアドレス重複チェック等で確認できなくする方法。

1. メールアドレスだけ入力させる。
2. 受付完了画面を出す。
3. メールアドレス宛に登録URL(トークン付き）を送信する。　※　登録済みだったらメールアドレス宛に登録済みの旨のメールを送信
4. 上記URLからアクセスさせてメールアドレスは変更不可にし登録を行う。

という手法を撮ってるようですね。
メールアドレスの有効性と同時に確認できます。

Comments

[Newbi]

お忙しい中、ご回答ありがとうございます！
メールアドレスでリンクを踏んでから登録するサービスを利用したことがあるのを思い出しました。
重複すること自体、頻度の高いことではないですし、メールで伝えるほうが良いかもしれません。
メールの暗号化ができるということも初めて知りました。基本的に個人情報は載せない方向にしようと思いますが、勉強になりました。

ご回答ありがとうございました。
今後とも何卒よろしくお願いいたします。

Answer 2

重複アドレス登録でのよくある実装としては、ユーザー登録の流れとして

1. メールアドレスのみをフォームに入力させる
2. システムはそのメールアドレスへ仮登録フォームのリンクが書かれたメールを送信する

すでに登録されているメールアドレスの場合、ユーザーに重複登録である旨のメールを送信する。

1. ユーザーは仮登録フォームへ情報を登録し、送信する
2. システムは本登録用リンクが書かれたメールを送信する
3. ユーザーは本登録リンクを開いて登録完了。

こうすれば悪意ある第３者からはサービスにすでに登録されているかどうかがわかりません。もちろん悪意ある第３者が攻撃対象のメールアカウントにアクセスできない前提です。

ただ、例に上がったようなdropboxとか誰でも使っていそうなサービスは上記のような周りくどいプロセスを踏んでもあまり意味がないように感じます。

また多要素認証でSMSやメールを使用する場合ですが、私の知っている範囲ではパスコードが書かれているメールには個人情報が極力かかれていないようになっているようです。
たまたまYahooのワンタイムパスワードメールが残っていたので見てみたら、パスコードと有効期限しか書いていませんでした。記憶の限りAppleもGoogleも同様です。

登録情報の送信についても、画面で確認させればいいのであって、わざわざメールで登録内容をオウム返しする必要はないと思います。
「ご登録ありがとうございました。Have a good day!!」的なメールで十分かと。

メールの暗号化はクライアント、サーバ双方が対応していれば POP over SSL 、S/MIME のような仕組みもありますが、S/MIMEはそもそも普及していないし、POP over SSL は通信経路全てで暗号化されることが保証されているわけではないので「メールは常に悪意ある第３者に読まれる可能性がある」ことを念頭に個人情報は極力記載しない方向で考えていただければ良いかと思います。

Comments

[Newbi]

お忙しい中、ご回答ありがとうございます！
メールで個人情報を伝えるのは控えようと思います。パスワードの忘れ等をできるだけ防ぎたかったので、メールで伝えようとした次第です。
メールアドレスが重複するようなケースは複垢を持とうとするか、悪意のある場合でない限りそこまで頻度の高いことではないと思いますので、入力時のチェックは外し、メールで伝えるように変更したいと思います。

Yahooのメール認証も試してみました。YahooはIDとメール認証（ワンタイムパスワード）という形にしているんですね。そこで疑問に思ったのですが、メール認証のみでログインすることはあまりよくないものでしょうか。
メールアドレスを入力してもらい、記載してあるパスワードでログインをしてもらうというだけではセキュリティ上困る理由があるのだろうかと思いました。できるだけユーザーの入力を省いたり、パスワード忘れなどを防ぎたいと思っているのですが、もしかしたらメールアドレスのみで構わないのでは、と思いつつ、見たことないなと不思議に思っています。
今回は質問内容が違うので、別の質問でお尋ねしてみたいと思います。

重ねまして、ご回答ありがとうございました。
今後とも何卒よろしくお願いいたします。

[hope_mucci]

一つだけ補足を。
>メール認証のみでログイン
について、「パスワード定期変更不要論」と合わせてメールのワンタイムパスワード認証だけでいいんじゃないかというムーブメントが発生してきています。件のYahooもオプションでワンタイムパスワードのみの認証へ切り替えられるようです。
http://www.itmedia.co.jp/news/articles/1805/18/news123.html

一方で、パスワードそのものが全く不要というわけではなく、例えばプロフィールを変更しようとしたときに一緒にパスワードを要求するような仕組みは残るでしょう。あくまでログインするときのお話になります。
ただ、そのような流れに反論する声ももちろんあるので、まずは質問する前に「パスワード不要論」「パスワード定期変更」「パスワード認証廃止」などで検索しベースの議論を掴んでいってほしいです。