テーマ、知りたいこと
SPFの存在意義についてわからなくなりました。
存在意義について教えてください。
背景、状況
SPFは下記の手順で認証する認識です。
1.ドメインのDNSサーバーのSPFレコードに
送信許可があるメールサーバーのIPアドレスを登録する
2.受信したメールサーバーは送信した
「メールサーバーのIPアドレス」「ドメイン」を取得する
3.受信したメールサーバーはドメインのDNSサーバーのSPFレコードを取得し
SPFレコードのIPアドレスの範囲に「メールサーバーのIPアドレス」があるかチェックする
範囲内の場合、正当と判断する
範囲外の場合、不当（なりすまし）と判断する
DNSサーバーのSPFレコードが自由に編集可能な環境の場合、
SPFの検証を突破することができ、欠陥があるため存在意義がわからなくなりました。
たとえば
正当なメールアドレスがseitou@sample1.com、
なりすましメールアドレスがhutou@sample2.comで、
sample2.comのDNSサーバーのSPFレコードに
hutou@sample2.comに紐づくメールサーバーのIPアドレスが登録され
hutou@sample2.comでなりすまされたケースを考えると、
受信したメールサーバーは
sample2.comのDNSサーバーのSPFレコードのIPアドレス範囲と
送信したメールサーバーのIPアドレスを評価するため
検証が突破されるように思います。
回答6件
#1
総合スコア146175
投稿2025/01/11 09:14
編集2025/01/11 09:15DNSサーバーのSPFレコードが自由に編集可能な環境の場合、
DNSが自由に編集できるという状況下では、DNS認証を通してSSL証明書すら発行できます。
そんなセキュリティがガバガバすぎる状況を前提とするなら、「無意味」以外の結論は得られません。
#3
総合スコア146175
投稿2025/01/12 04:35
編集2025/01/12 04:48攻撃者が自身でDNSサーバーを構築できた場合
そんなことをできるとすれば、「攻撃者がSSL証明書を発行する」「攻撃者が自分で偽Webサイトを用意して誘導する」など、何でもできてしまいます。
そんな状況下では、SPFのみならずどんな形であれセキュリティを成立させることはおよそ不可能です。
あらゆるセキュリティが崩壊した状態では、SPFの有効無効を論じる以前の問題です（「SPFが無意味になる」という事実そのものは正しいけれど、他の問題のほうが莫大すぎて、SPFだけ議論することに価値がない状況です）。
#4
理解することができました。
わかりやすい説明をありがとうございます。
#6
総合スコア18
投稿2025/01/15 01:15
sample2.comのメールサーバーを使って、hutou@sample2.comのエンベロープアドレスでメールを出すのであれば、それはなりすましなのでしょうか？
sample2.comのメールサーバーでseitou@sample1.comのエンベロープアドレスでメールを出すのであれば、なりすましと言えるでしょうけれど、その場合はsample1.comのSPFで判断されます。
sample1.comがseitou@sample1.comのエンベロープアドレスでのメールを、自身のメールサーバーからのものであると宣言しているのがSPFですから、sample1.comにとっては意味のあるものだと思います。
あなたの回答
tips
プレビュー
バッドをするには、ログインかつ
こちらの条件を満たす必要があります。