平成21年度秋期 情報処理安全確保支援士 午前Ⅱ 問3

メールを出す前に、送信ポスト（SMTPサーバー）に身分証を提示する

メール送信時の認証技術「SMTP-AUTH（SMTP認証）」の問題だよ。昔のメール送信システム（SMTP）には誰でもメールを送れるという弱点があったから、スパムメールの踏み台にされやすかったんだ。そこで、メールを送信する時にもIDとパスワードでユーザー認証を行って、正規のユーザーだけがメールを出せるようにした仕組みだよ。

この問題で問われていること

メール送信時のプロトコル「SMTP」そのものにユーザー認証を追加した仕組み（SMTP-AUTH）の定義を選ぼう。「POP before SMTP」のような別方式との違いも整理しておこう。

SMTP-AUTH の役割

メール送信時に SMTP サーバが ID とパスワードなどで利用者認証を行います。これにより第三者中継の抑止にもつながります。

クライアント -> SMTP サーバ\n送信前に認証\n認証済み利用者のみ送信可

確認ポイント

• POP before SMTP は受信認証後に送信許可する別方式です。
• クライアント証明書確認の説明ではありません。
• SMTP サーバにアクセスした時点で認証する選択肢を選びます。

正解

イ

出典

問題文と解答は IPA 公開の過去問題冊子・解答例を基にしています。

選択肢ア

これは不正解だよ。これはPOP before SMTPの説明で、先にメール受信の認証に成功したIPアドレスだけ、しばらく送信を許可する方式なんだ。たとえると、建物に入った人の住所札を見て「この人は少しの間だけ発送口も使ってOK」とする感じで、送信時にSMTPサーバで直接ログインするSMTP-AUTHとは違うよ。

選択肢イ（正解）

これが正解だよ。SMTP-AUTHは、クライアントがSMTPサーバへメールを送るときに利用者認証をして、許可された人だけ送信できるようにする仕組みなんだ。たとえると、郵便局の投函口を誰でも使える状態にせず、受付で会員証と暗証番号を確認してから手紙を預かるイメージだよ。

選択肢ウ

これは不正解だよ。これは「証明書で本人確認する方式」の説明で、メール送信時にIDとパスワードでログインするSMTP-AUTHとは別物なんだ。たとえると、窓口で会員証を見せて確認してもらう話であって、メール送信用の受付でユーザー名とパスワードを入れる話ではないよ。

選択肢エ

これは不正解だよ。これはメールを受信するときに、パスワードそのものを流さずハッシュ値などで確認する方式の説明だね。SMTP-AUTHは「送信するとき」の認証なので、郵便を出す受付で本人確認する話なのに、これは郵便受けを開けるときの鍵の話になっているよ。