こんにちは。株式会社クオリティア マーケティング部です。
政府の運用廃止が発表され一般企業にも広がる脱PPAP。そんな脱PPAPのソリューションを謳うサービスも数を増やし、各社が特徴を出すためにさまざまな機能を開発しています。その中で、この記事では「パスワード通知を別のMTAから送付する」という機能について、その効果を解説していきます。
PPAPとはパスワード付きZipファイルを利用したメールのファイル送付方法ことです。送付ファイルの盗聴と暗号化ファイルからのウイルス感染の2つのリスクがあることから2020年政府での運用が廃止されたことをきっかけに、脱PPAPの動きが一般企業にも広がっています。
PPAPでは送付するファイルをZip暗号化して、そのファイルとパスワードを別々のメールで送付します。その際ファイルとパスワードが同じ経路を通るため、メールが盗聴されていた場合にパスワードも盗聴されファイルが流出する恐れがあるとされています。
PPAPに代わるファイル送付方法として「添付ファイル分離」という機能を持った脱PPAPソリューションが数多く存在しています。これらは送付されたメールの添付ファイルをサーバー上に分離してそのURLをメール本文に追記して、別メールでパスワードを自動的に送付してくれる機能です。
脱PPAPソリューションの中には「パスワード通知を別のMTAから送付する」という機能を持ったものもあります。これらはファイルとパスワードが違う経路を通ることで盗聴への対策になっているとされています。
しかし同じようにメールで送付しているこの機能は本当に盗聴の対策になっているでしょうか。
まずは脱PPAPソリューションを入れる前のメール配送の構成を考えます。
MTAとはメール転送システムのことで、一般的にメールは送信のMTAから受信のMTAへと配送されます。
この場合、送信のMTAまたは受信のMTAのどちらかが盗聴されていた場合、ファイルとパスワードがともに盗聴されてしまい、暗号化されたファイルでも情報が流出することになります。
つまり盗聴による情報漏えいのリスクがあると言えます。
次に「パスワード通知を別のMTAから送付する」脱PPAPソリューションの場合を考えます。脱PPAPソリューションは送信と受信の間に入り動作するMTAになります。別のMTAからパスワードを送付する場合はさらに一つMTAが追加されることになります。
この時、ファイルとパスワードは一見別の経路を辿っているように見えます。
しかし送信MTAを盗聴されている場合は暗号化される前のファイルが盗聴されてしまいます。
さらに受信MTAが盗聴されている場合も矢印の位置は違いますが同じようにメールで送付されているので、同様に盗聴が可能であることがわかります。
つまり「パスワード通知を別のMTAから送付する」機能を使った場合でも、送信MTAと受信MTAは盗聴による情報漏えいのリスクがあると言えます。
通常のメールの場合とパスワードを別MTAから送付した場合を比較した時に、ともに送信MTAと受信MTAが変わらず盗聴リスクにさらされていることがわかります。では「パスワード通知を別のMTAから送付する」という盗聴対策は全く意味がないということでしょうか。
ここで各MTAが盗聴されていた場合のファイルの盗聴リスクについて表でまとめました。
このように比較した時「パスワード通知を別のMTAから送付する」機能は、脱PPAPのMTAと別送MTAのどちらかが盗聴されていた場合には盗聴を防止する効果があると言えます。
しかし一般的にサービス提供者が用意している脱PPAPソリューションのMTAは厳重な管理下に置かれています。そのためこれらのMTAは第三者から盗聴されることは現実的には不可能であるはずです。
そのため「パスワード通知を別のMTAから送付する」という機能はほとんど無意味であると言えます。
ここまでMTAでの盗聴について考えてきましたが、経路途中での盗聴の場合は意味があるのではという考えもあるかと思います。そちらについては、別の記事にてメール盗聴の困難性について解説しています。
メール盗聴の困難性についてはこちら
参考：【脱PPAP解説】メールの盗聴ははたして可能なのか？
クオリティアが提供するActive! gate SSには「パスワード通知を別のMTAから送付する」という機能はついていません。その代わりに脱PPAP対策としてTLS通信への対応を推奨しています。
通信を暗号化するTLS通信であればどの経路で盗聴されていたとしても通信自体が暗号化されているため情報漏えいする心配がありません。さらにTLS通信であれば、そもそも添付ファイルを暗号化する必要もないためPPAPのもう一つの問題であるウイルス感染の問題も解決することができます。
脱PPAPにはTLS通信を有効活用して手間のかからないファイル送付を実現するActive! gate SSのTLS確認機能がおすすめです。
この記事が気に入ったら
いいね！しよう
メールソリューションに関する
ご質問・資料請求などございましたら
お気軽にお問い合わせください。
お電話からのお問い合わせ
03-5623-2530フォームからのお問い合わせ
資料請求ダウンロードお見積り依頼・ご質問・ご相談はこちらから新規のお客様・パートナー様既存のお客様・パートナー様
