こんにちは。株式会社クオリティア マーケティング部です。
PPAPの問題点の一つに「同じ経路でパスワードを送っても盗聴対策にはならない」という意見があります。つまりメールには盗聴される可能性があることが前提になっています。そのうえで「パスワードを別のMTAから送る」「ワンタイムパスワードを使う」というような盗聴対策を行っている脱PPAPのサービスがありますが、そもそもメールの盗聴は本当に可能なのでしょうか。この記事ではメール通信経路上での盗聴は本当に可能なのかということを解説していきたいと思います。
メール盗聴は通信傍受であり、犯罪行為です。本記事は通信の安全性を示し、より良いコミュニケーション方法を実現するために執筆されるものであり、メール盗聴を奨励するものではありません。
PPAPの問題点として挙げられている通り、インターネット上のメールは盗聴可能であるというような風潮があります。それは2000年代に入ってもメールの通信プロトコルであるSMTP(Simple Mail Transfer Protocol)が暗号化されていないことが原因でした。送信者のPCからメールサーバーまでを暗号化する仕組み(SMTPs)はありましたが、インターネット上を通る通信はいわゆる平文通信で暗号化されていませんでした。
そのため、メールはインターネット上でメールの盗聴が可能であると言われていました。
2013年に、アメリカの元CIA職員だったエドワード・スノーデンがマスコミに語った内容の中には米国政府の指示として国内の複数の主要プロバイダーが自分たちの設備に盗聴の仕掛けを施し、フィルタに掛かった情報を政府に提供していたという内容が含まれていました。
つまり米国政府程度の権力がありプロバイダーの協力を得ることができれば、メールの盗聴は確かに可能であったと言えます。
弊社が調べるかぎり実際にメール盗聴が行われていたとされる事件はこの一つだけでした。
実際にメールを盗聴できる方法としてはパケットキャプチャーという方法があります。パケットキャプチャーとは、中継用の通信機器であるルーターやスイッチにツールを接続することでネットワークを流れるパケットを収集することです。通常はネットワーク障害などのトラブルの調査をしたいネットワーク管理者や、セキュリティの問題をテストしたいセキュリティ技術者などに利用されていますが、これを悪用することでメールの盗聴が可能になります。
しかし中継用の通信機器はプロバイダーの管理下にあり、機器の設置されるデータセンターの立地情報は非公開情報として厳重に管理されています。また国内のデータセンターの数は6万以上あると言われており、その中から目的の通信機器を見つけることは困難です。
仮に場所が絞ることができたとしても、データセンターには厳重なセキュリティが施されています。たとえ正規の関係者であっても事前申請し、写真付き身分証明書の提示、大量の監視カメラの視線の元、荷物チェックを受けます。パケットキャプチャーを取るためのツールを持ち込むにはこれらの物理的なセキュリティを突破する必要があります。
仮に国家権力がプロバイダーに圧力をかけて、あるいは厳重な警備を突破してパケットキャプチャーができるようになり通信の傍受が可能になったとして、すべてのメールが盗聴可能になるかと言えばそうではありません。
なぜならば現在のメール通信はほとんど暗号化されているからです。2024年現在、メールの通信暗号化率は90％を超えており、通信を傍受できたとしてもほとんどのメールは暗号化されているため盗聴することができない状態にあります。
ここまでメール盗聴の方法について考えてきました。
仮に盗聴できたとしても現在ではほとんど暗号化された情報しか手に入れることはできません。暗号化された情報をもとの意味ある文に戻すためには莫大な時間が必要になるとされており盗聴した情報を活用することができません。
盗聴するために必要になる、国家権力並みの権力や厳重なセキュリティを突破して盗聴するためのコストに比べて、得られる情報の少なさからメールの盗聴は作業効率が非常に悪いです。
そのため、現代においてはメール盗聴の可能性は低いと言えます。
脱PPAPで盗聴対策を考える場合に、まず考えなければいけないことは自社のメールサーバーが通信暗号化に対応しているかということです。
脱PPAPソリューションで盗聴対策できるのは、メール全体の中で添付ファイル部分だけです。メールの盗聴がある前提でファイル部分だけセキュリティを強化して、メール本文はなにもせずに盗聴される状態にしておくのはいい状態であると言えません。
通信が暗号化されていれば、メール本文も添付ファイルも暗号化されているので、メール盗聴のリスクを大幅に軽減されます。
そのため脱PPAPを検討する際は、まずは通信暗号化に対応して、そのうえで添付ファイルに対するセキュリティが必要かどうかを検討するとよいでしょう。
クオリティアが提供するActive! gate SSのTLS確認機能は、受信サーバーとの通信がTLS通信（暗号化通信）に対応しているかに応じて自動的に送付方法を切り替える機能です。
暗号化通信に対応している場合は、添付ファイルをそのまま送ることができ、受信者がファイルを確認するために余計な手間をかける必要がなくなります。
暗号化通信に非対応の場合は、Webダウンロードに自動的に切り替わるため添付ファイルの安全性を高めることができます。
資料請求はこちらお問い合わせはこちらActive! gate SSについてはこちら
この記事が気に入ったら
いいね！しよう
メールソリューションに関する
ご質問・資料請求などございましたら
お気軽にお問い合わせください。
お電話からのお問い合わせ
03-5623-2530フォームからのお問い合わせ
資料請求ダウンロードお見積り依頼・ご質問・ご相談はこちらから新規のお客様・パートナー様既存のお客様・パートナー様
