86767
なりすましメール対策について調べています。  
自分で調べた結果、SPFがエンベロープFromの偽装の対策になることまでは理解できたのですが、  
なりすましメール送信者の立場で考えた時に、エンベロープFromを偽装する必要性がよくわかりませんでした。

ようはエンベロープFromは偽装せずにヘッダFromを偽装すれば攻撃者としては充分目的を達成できるのでは？と感じてしまうのです。  
SPFの仕組みだと、ヘッダFromだけを偽装している場合には全く機能しないと解釈しています。

  * 自前でドメインとメールサーバーを管理する、ということがそもそも難しいことなのでしょうか？
  * エンベロープFromを偽装するメリットは何かあるのでしょうか？
  * ヘッダFromだけを偽装しているケースへの対処方法はあるのでしょうか？

メールやドメインについては疎いため、とんちんかんな質問かもしれませんがよろしくお願いいたします。  
プログラミングではないのでそもそもスタック・オーバーフローでする質問ではないかもしれませんが・・・
CC BY-SA 4.0
2022-03-08T05:38:42.783
86750
2022-03-09T03:16:13.720
17238
question
mail
SPFとなりすましメール対策について
> エンベロープFromを偽装するメリットは何かあるのでしょうか？

一例として、「バックスキャッター」というスパムメール送信に利用されます。  
envelope from=<スパムメールを送りたいメールアドレス>, envelope to=<存在しないメールアドレス>
にして、あるメールサーバーに送りつけます。  
このメールサーバーが User unknown で即時拒否すればいいのですが、一旦受け取ったあとに User unknown
となる構成の場合、バウンスメールが envelope from 宛に送られます。

このバウンスメールの送信元IPアドレスは、利用されたメールサーバーのもの、あるいは、その組織の別のメールサーバーのものになるので、ブラックリストに入ったとしてもスパム送信者には被害がないことになります。

> ヘッダFromだけを偽装しているケースへの対処方法はあるのでしょうか？

Sender-ID (spf2.0) や DKIM があります。  
SPF でも実装によってはヘッダ From も見るものもあるようです。
CC BY-SA 4.0
2022-03-08T08:55:14.233
86754
2022-03-08T08:55:14.233
4603
86750
answer
現在では、ヘッダーFromとエンベロープFromが一致しないと  
大体のメールソフトやセキュリティソフトは迷惑メール判定や警告されることが多いです。

ただしそれだと、正規のドメインの管理者が別のサーバからメール配信したいときなどに困ってしまうので、我々のメールはこのIPから送りますよというリストを公開するという手法をとっています。これがSPFになります。

エンベロープが偽装していようが偽装していないが関係なく、  
許可されていないIPからの送信は迷惑メール判定してもらって構わないという手法になります。

ただいまのクラウド時代に特定のIPだけに絞ったやり方はわりに合わない、IPも偽装されるような高度な攻撃の対応としてDKIMという電子署名を利用したIPを利用しないドメイン認証方式を採用したりします。  
またそれらを組み合わせてより強固なDMARCというセキュリティ対策を導入することもできます。

> 自前でドメインとメールサーバーを管理する、ということがそもそも難しいことなのでしょうか？

この回答については難しいです。  
運用者のスキルや環境また要件（メールを使ってどういったことをやりたいのか）によるところが大きいです。ただし、よくわからないなら外注するかPaasをおとなしく利用したほうが良いでしょう。

> エンベロープFromを偽装するメリットは何かあるのでしょうか？

他の方の回答でもありますが「バックスキャッター」という方式がありますので偽装すると成立する攻撃があります。ただメールサービスによってはエンベロープFROMのドメインとIPが正引き逆引きが正しく行えるかチェックしているサービスもあります。

> ヘッダFromだけを偽装しているケースへの対処方法はあるのでしょうか？

ヘッダーだけ偽装しているケースに関してはそもそもヘッダーFROMとエンベロープFROMが一致していないと警告されるべきかなと思います。SPFを設定していればそもそも不許可のIPからの場合は弾かれます。  
例えばGmailですと「経由」の文字が出てきます。  
[Gmail
送信者の横に表示される詳細情報](https://support.google.com/mail/answer/1311182?hl=ja#zippy=%2C%E9%80%81%E4%BF%A1%E8%80%85%E5%90%8D%E3%81%AE%E6%A8%AA%E3%81%AB%E7%B5%8C%E7%94%B1%E3%81%A8%E3%83%89%E3%83%A1%E3%82%A4%E3%83%B3%E5%90%8D%E3%81%8C%E8%A1%A8%E7%A4%BA%E3%81%95%E3%82%8C%E3%82%8B)

あとはDKIM等の利用を考えてみるとよいでしょう。
CC BY-SA 4.0
2022-03-09T03:16:13.720
86767
2022-03-09T03:16:13.720
22665
86750
answer