Mailサーバー => セキュアメールサーバー構築 > １．SMTP 認証について
出先から自分のメールサーバーに送信を依頼したい場合や、外部の特定のユーザーにSMTPの利用を許可したい場合、Sendmail 8.9の章で 紹介した方法では出来ません。これは、SPAM対策のため外部からのSMTPの利用は一切禁止するように設定されているためです。
Sendmail- 8.11から正式にSMTP AUTHが実装されたのでこれを使いSendmailにSMTP認証機構を実装し、外部から安全にSMTPを利用できるメールサーバーを構築する方法を紹介しています。
ご注意
この記事は Sendmail 8.9 から継承して 2001年 5月 まで更新されていた内容です。Sendmail 8.12 から大幅に使用が変更されたため、新たに再編集しています。
参照 => FedoraCore と Sendmail-8.12 でメールサーバーを構築する
POPサーバーには、ユーザーIDとパスワードという認証システムがありますが、Sendmailに限らず元来MTAにこの認証機能はなく、送信を依頼さ れれば、どこからの依頼でもメールの送信を請け負うのが一般的な仕様でした。
インターネット人口が増えるに連れ、これらの特性を悪用し身元を偽り他人の メールサーバーに大量のメールを送りつける者が現れはじめました。サーバーダウン、オーバーフロー、迷惑メール送信を目的とした俗に言うSPAMメールと 呼ばれるものです。
対策としてローカルユーザーにのみSMTPの利用を認めそれ以外は全て禁止するのが一般的でした。sendmailには、smtpに対しuser, from,ip,domainなど利用を許可する例外を設ける設定がありますが、これでは接続元が特定できなければSMTPの利用を基本的には許可できま せん。
外部からの接続元が特定できないケース、例えば、プロバイダ経由で接続し、SMTPを利用したい場合には対応できず、SMTPに認証機構が必須とな ります。
SMTPに認証機構を設けるには" POP before SMTP " と " SMTP AUTH "の2通りの方法があります。この両者の性格は全く異なります。
POPにはユーザー、パスワードを認証する仕組みがあります。この認証に成功した者に一時的にSMTPの利用を許可しようというのがPOP before SMTPです。仕組みを簡単に説明すると、maillogを監視するプログラムを間に走らせ、pop認証に成功したログを見つけると一定時間そのIPアド レスにSMTPの利用を許可します。一定時間が過ぎると記憶したIPアドレスはメモリから解放されるようになり、送信を許可せよと書かれた設定も削除され ます。苦肉の策と言えますが、この方法は以下の理由からAUTH SMTPより多く利用されています。
サーバー管理者からみたメリットとデメリット
メリット
利用者の環境 （ MUA ) を限定する必要がなく、不特定多数にサービスを提供するのに向いています。例えばサービスプロバイダなど。
デメリット
・セキュリティホールそのものである
POP beffore SMTPの導入目的のほとんどが、クライアントにMUA（メーラー）を限定させたくないケースだと思います。POP認証は通常、平文認証で行われるため、 外部ネットワークから接続した場合、POP認証が盗聴されればSMTP認証も盗聴されることになります。これはセキュリティホールそのものと言えます。対策として、POPの認証を暗号化で行うAPOPの導入も考えられますが、これでは利用できるメーラーが限定されてしまいます。
利用者（クライアント側）からみたメリットとデメリット
メリット
・
メールクライアントを選ばない
POPで認証許可されるため、SMTP認証機能を持たないメーラーでも利用が可能です。YBBなど、既存のWebメールサービスと連携し、メールクライア ントを利用出来るようにしているサービスプロバイダや、何処からでもメールサーバーにアクセス可能をうたっているプロバイダで利用されているケースがあり ます。
デメリット
・操作性がわるい。
メールを送信する前に必ず受信を行わなければならないためです。これらを自動で行うメーラーも存在します。これらの機能はOutlook,Netscapeにはありません。
メールサーバープログラム自体にSMTPに認証システムを組み込むことになります。
sendmailでは3.10以降対応していますが、cfに完全に対応していないため3.11以降をインストールします。
サーバー管理者からみたメリットとデメリット
メリット
・MTAそのものに認証機構を組み込むため、設定が" POP berfore SMTP "に比べ遠回しでない。
・認証プログラムにSASLを利用するので、認証の暗号化が可能で安全に外部ネットワークからの利用を許可できる。
デメリット
・ユーザーの環境を限定してしまう
最近SMTP認証をサポートしたMUAは増えてきているものの、扱える暗号化アルゴリズムが
・APOP ＆ DIGEST-MD5/CRAM-MD5（Becky!など）
・SSL & SSL （Netscape/Outlookなど）
POP beffore SMTPの導入目的のほとんどが、クライアントにMUA（メーラー）を限定させたくないケースだと思います。POP認証は通常、平文認証で行われるため、 外部ネットワークから接続した場合、POP認証が盗聴されればSMTP認証も盗聴されることになります。これはセキュリティホールそのものと言えます。対策として、POPの認証を暗号化で行うAPOPの導入も考えられますが、これでは利用できるメーラーが限定されてしまいます。
利用者（クライアント側）からみたメリットとデメリット
メリット
・
メールクライアントを選ばない
POPで認証許可されるため、SMTP認証機能を持たないメーラーでも利用が可能です。YBBなど、既存のWebメールサービスと連携し、メールクライア ントを利用出来るようにしているサービスプロバイダや、何処からでもメールサーバーにアクセス可能をうたっているプロバイダで利用されているケースがあり ます。
デメリット
・操作性がわるい。
メールを送信する前に必ず受信を行わなければならないためです。これらを自動で行うメーラーも存在します。これらの機能はOutlook,Netscapeにはありません。
" POP before SMTP" " と "AUTH SMTP" を比較してみると、その場凌ぎの対策 "POP before SMTP" " と先進技術の " AUTH SMTP " と言えると思います。今後はおそらく "AUTH SMTP" に移行していくものと思われます。
多くのユーザーを抱え、MUAを限定できないケースで外部に利用を認める場合"POP before SMTP"以外選択肢がありません。ちなみにYahoo!BBは既存のインフラを利用しており、"POP before SMTP" による接続となっています。外部ネットワークからこの方式で接続が可能なため、非常に危険なメールサーバーであると言えます。
ここで紹介する内容は自組織ユーザと利用者が限られるケースを対象にし、
これらの暗号化認証を導入し、セキュアメールサーバーを構築します。このため利用できるMUAはBecky!などに限定されます。
この標題のトップへ １ / ８ 
