回答編集履歴
2
追記
answer
CHANGED
|
@@ -20,4 +20,55 @@
|
|
|
20
20
|
①が誤りですが、 25番ポートをSTARTTLS対応で待ち受けることにより、送信元の対応状況に応じて平文・暗号化通信いずれかが選択されます。
|
|
21
21
|
|
|
22
22
|
|
|
23
|
-
ただし、そもそもSTARTTLSははじめに平文通信を利用してSTARTTLS対応の確認を行いますので、その時点での安全性は担保されていません。
|
|
23
|
+
ただし、そもそもSTARTTLSははじめに平文通信を利用してSTARTTLS対応の確認を行いますので、その時点での安全性は担保されていません。
|
|
24
|
+
|
|
25
|
+
|
|
26
|
+
# 2017.06.01. 23:20 頃の追記
|
|
27
|
+
|
|
28
|
+
> ①MTA同士の暗号化においては、SMTP over SSLは使用されず、使用されるのであれば、SMTP STARTTLSが使用されるという認識で合っていますでしょうか。
|
|
29
|
+
|
|
30
|
+
これは「送信サーバ側の設定（ポリシー）による」というのが回答になります。
|
|
31
|
+
|
|
32
|
+
ただ現実的に送信側のサーバは特定のサーバあてのみ送信するわけでなく様々なサーバあてに送信することになるはずなので、相手先が SMTP over SSL である前提の送信方法よりも、相手に合わせる方法であるSTARTSSLの方が都合がいいことは多いでしょう。
|
|
33
|
+
|
|
34
|
+
|
|
35
|
+
> ②頂いた１つ目のリンク先を参照すると、SSLの証明書については、Submission用にはオレオレ証明書もありだが、受信MTAとしてはきちんと購入しましょうとあります。これは何か理由があるのでしょうか？
|
|
36
|
+
|
|
37
|
+
ここを理解するためにはSSL証明書がどのように有効性が確認されるのかを理解している必要がありますが、ご存知でしょうか。
|
|
38
|
+
|
|
39
|
+
|
|
40
|
+
## SSL証明書の有効性確認の仕組みについて
|
|
41
|
+
|
|
42
|
+
少し端折りますが。
|
|
43
|
+
一般的にSSL（TLS）証明書は、信頼されている認証局（CA）により署名された証明書であることが確認されます。
|
|
44
|
+
信頼されている認証局は、あらかじめ各サーバで設定されています。
|
|
45
|
+
例えば Symantec（旧VeriSign）で購入したSSL証明書が設定されているWebサイトをブラウザで閲覧した際、鍵マークが表示されるのは
|
|
46
|
+
|
|
47
|
+
- 「その証明書が有効である」とブラウザが判断したから
|
|
48
|
+
|
|
49
|
+
であり、判断理由は
|
|
50
|
+
|
|
51
|
+
- ブラウザが信頼している認証局による署名がある証明書だから
|
|
52
|
+
|
|
53
|
+
です。
|
|
54
|
+
同様にオレオレ証明書（自己署名証明書）が設定されているWebサイトを表示した際は、特に設定をいじっていない限り安全ではないサイトとされますが、これは
|
|
55
|
+
|
|
56
|
+
- ブラウザが信頼している認証局による署名が**ない**証明書だから
|
|
57
|
+
|
|
58
|
+
です。
|
|
59
|
+
これを「安全」と判断させるためには、その証明書を署名した証明書を「信頼する認証局」として登録することが必要になります。
|
|
60
|
+
|
|
61
|
+
## その上で、ご質問について
|
|
62
|
+
|
|
63
|
+
追記の 1. の回答とも関係しますが、受信側のサーバも様々なサーバからメール送信が行われることになります。
|
|
64
|
+
|
|
65
|
+
この時、送信側のサーバがクライアント、受信側のサーバがサーバとして、サーバ認証をSSL証明書を利用して行います。
|
|
66
|
+
受信側のサーバがオレオレ証明書を利用している場合、送信側のサーバは信頼できる証明書ではないと判断し送信を中止します。
|
|
67
|
+
これを回避するためには送信される可能性があるすべてのSMTPサーバにそのオレオレ証明書を信頼してもらう必要がありますが、これは非現実的です。
|
|
68
|
+
|
|
69
|
+
Submissionポート用はオレオレ証明書でも構わない、というのは、Submissionポートが利用されるのはメーラから送信用SMTPに利用するためであり、限られた接続元でのみ信頼できればいいものとなります。
|
|
70
|
+
メーラには「証明書の有効性チェックを無視する」設定があることも多いですので、その送信用SMTPサーバを利用する人の間で使い方のコンセンサスがとれていれば大きな問題にならないことも多いでしょう。
|
|
71
|
+
|
|
72
|
+
|
|
73
|
+
そういった背景でそのような説明がされているものと思います。
|
|
74
|
+
※今となっては Let's Encrypt もありますので、公開されているサーバでオレオレ証明書を利用する必要はほとんどないかと思いますが。。
|
1
書式の改善、補足
answer
CHANGED
|
@@ -2,11 +2,11 @@
|
|
|
2
2
|
|
|
3
3
|
そのため、送信側・受信側双方のSMTPサーバでSTARTTLSに対応していれば、暗号化通信によるメール転送が可能です。
|
|
4
4
|
|
|
5
|
-
参考） https://blog.nhiroki.net/2014/01/18/postfix-tls-setting
|
|
5
|
+
参考） [https://blog.nhiroki.net/2014/01/18/postfix-tls-setting](https://blog.nhiroki.net/2014/01/18/postfix-tls-setting)
|
|
6
6
|
|
|
7
7
|
|
|
8
8
|
よく知られている例でいえば、Gmail などでSTARTTLSによる受信に対応し始めており、送信元のSMTPサーバがSTARTTLSに対応しておらず平文で送られてきた場合はそのメールに警告を表示するといったことを始めています。
|
|
9
|
-
参考） https://japan.cnet.com/article/35073528/
|
|
9
|
+
参考） [https://japan.cnet.com/article/35073528/](https://japan.cnet.com/article/35073528/)
|
|
10
10
|
|
|
11
11
|
したがって、
|
|
12
12
|
|
|
@@ -17,4 +17,7 @@
|
|
|
17
17
|
|
|
18
18
|
> ②今、仕事で受信専用のメールサーバを立てる必要があります。①が正しいとすると、LISTENするポートは、25（SMTP平文を想定）のみとするのがセキュリティ的に正しいでしょうか。
|
|
19
19
|
|
|
20
|
-
①が誤りですが、 25番ポートをSTARTTLSで待ち受けることにより、送信元の対応状況に応じて平文・暗号化通信いずれかが選択されます。
|
|
20
|
+
①が誤りですが、 25番ポートをSTARTTLS対応で待ち受けることにより、送信元の対応状況に応じて平文・暗号化通信いずれかが選択されます。
|
|
21
|
+
|
|
22
|
+
|
|
23
|
+
ただし、そもそもSTARTTLSははじめに平文通信を利用してSTARTTLS対応の確認を行いますので、その時点での安全性は担保されていません。
|