日本国内におけるDKIM普及取組の現状と課題
Japan DKIM Working Group (dkim.jp)
http://www.dkim.jp
e-mail:email: info@dkim.jp
info@dkim jp
Tel: 050-5817-7650

1本日の講演者• 赤桐 壮人 (あかぎり たけひと)– 楽天株式会社– インターネットエンジニアリング推進室 室長– dkim.jp 議長• 島貫 和也 (しまぬき かずや)
– ヤフー株式会社
ヤフ 株式会社– R&D統括本部 フロントエンド開発1本部– dkim.jp
dkim jp Board member

2Copyright©Japan DKIM Working Group. all right reserved.

目次

1
2
3
4
5

DKIM とはdkim.jp の紹介
DKIM の普及の現状
企業への DKIM 導入の課題
まとめ

3Copyright©Japan DKIM Working Group. all right reserved.

本日のテーマDKIM 普及の現状

企業におけるDKIM導入のためにクリアしなければならない課題

今後のDKIM導入推進への取り組み
4

Copyright©Japan DKIM Working Group. all right reserved.

1

DKIM とは？

5

Copyright©Japan DKIM Working Group. all right reserved.

DKIM とは？

署名を検証し送信者の正当性を確認
MSA/
MTA

送信

公開鍵問い合わせMTA

X.example.com

DNS

X.example.com

Y.example.com

受信

Z.spam.example.com

電子署名を利用した送信元認証
6

Copyright©Japan DKIM Working Group. all right reserved.

DKIMとシステムの関係

送信者

受信者

ユーザ

MSA

MTA

MUA

署名する
((Sign))

検証する(Verify)

可視化する(Visualize)

7

Copyright©Japan DKIM Working Group. all right reserved.

DKIM の「署名(Sign)」に必要な作業
送信者

受信者

ユ ザ
ユーザ

MSA

MTA

MUA

Sign

VerifyyVisualize

STEP 1•

DKIMで署名したいドメインを決定する–STEP 2•

あなたがドメインオ ナ だと仮定して、あなたがドメインオーナーだと仮定して、所有するドメインのうちDKIM対応したいもの(“d”)を決定する

DKIMに使用するRSA鍵のペアを作成する–––

RSA鍵ペアを生成する。「公開鍵」と「秘密鍵」が対になって生成される（鍵の作成の際には、その組み合わせを示す「セレクタ名(“s”)」を任意に決める）
秘密鍵は、MSA(メール送信サーバ)にファイルとして設置する。
組織内でも運用担当者のみなど限られたアクセスとする。
組織内でも運用担当者のみなど限られたアクセスとする
公開鍵は、そのドメインのDNSサーバにTXT RR（テキストレコード）として設置する。
インターネットから誰でも引けるようにしておく。

TXT RR の例
example.jpドメインのDNS
TXTレコード

dkim20101115._domainkey IN TXT "v=DKIM1; g=*; k=rsa;
p=MIGfMA0GCSqGSIb3DQEBAQUAA4GNADCBiQKBgQC42q2GmH+fSCU3z/jq
A2makU1NXh18FGpRtDlGg6WQ+Dm0Snh4DZhZaSUFND3kG3V7UteWYHpVoj
CSaeN+luHHZXTBBMJ4yqBuNphtD+QZhGgrlqAwFH4hBJII7q05cCNCEP+XFwij
YuO95FOSAvtn4A9OcaGbS2gwiW9uL841mwIDAQAB"
YuO95FOSAvtn4A9OcaGbS2gwiW9uL841mwIDAQAB
8Copyright©Japan DKIM Working Group. all right reserved.

DKIM の「署名(Sign)」に必要な作業
送信者

受信者

ユ ザユーザMSAMTA

MUA

Sign

VerifyyVisualize

STEP 3•MSAにDKIM署名を付与する改修を実施する––

秘密鍵とメール本文より、メールごとにDKIMの署名が生成される
秘密鍵とメ
ル本文より メ ルごとにDKIMの署名が生成される
DKIMの署名は ”DKIM-Signature” という専用のヘッダに格納される

DKIM-Signatureヘッダの例
DKIMSignature:v=1; a=rsa-sha256; c=simple/simple; d=example.jp; s=dkim20101115;
t=1308471652;
bh=KF7zwHMa9ToPtsGy8urMTpCLCfTnzrcJ6mxHnrWCffQ=;
h=To:Sender:MIME-Version:Subject:From:Content-Type: Content-TransferEncoding:Message-Id:Date;
b=xdIeG4cUHIBhU0nix2V5tK9ZN7QwnKd+qYuFamqtZpon2EfsKfSwdGhSH
vU6fRj3z
dp6tVjGpT64hx4eayxKcnjHTYMq8yRVgEPp9naNrCD7SIX70P6LvrbFpMZc
85Exxpx FZdETOXsumsY7pt6tpP9puwjN3/5EsYuwWM63AUY=

9Copyright©Japan DKIM Working Group. all right reserved.

DKIM の「検証(Verify)」に必要な作業
送信者

受信者

ユ ザ
ユーザ

MSA

MTA

MUA

Sign

VerifyyVisualize

STEP 1•

MTAにDKIM署名を検証する改修を実施する–

STEP 2•①DKIM署名(DKIM-Signatureヘッダ)と①DKIM署名(DKIM
Si t ヘッダ)と ②メール本文、③DNSから得た公開鍵②メ ル本文 ③DNSから得た公開鍵 により、によりメールごとにDKIMの検証が行えるようになる

DKIM検証結果をメールヘッダに格納する
検証結果をッダ 格納する
– DKIMの検証結果は ” Authentication-Results” という専用のヘッダに格納される– このヘッダの内容を見ることで、MUAなどがメールの制御が可能になる
Authentication Results:
Authentication-Results:

example.com;
examplecom; sender-id=passsender id=pass header.from=example.jp;
header from=example jp;
dkim=pass (good signature) header.i=@example.jp

認証結果の一覧

主な結果

内容

pass

検証成功

fail

検証失敗

permerror

永続的検証エラー

temperror

一時的検証エラー

none, neutral
検証せず
Copyright©Japan DKIM Working Group. all right reserved.

10

DKIM の「可視化(Visualize)」に必要な作業
送信者

受信者

ユ ザ
ユーザ

MSA

MTA

MUA

Sign

VerifyyVisualize

DKIM… その先の利用• MUAでのAuthentication-Results利用– Authentication-Resultsヘッダだけでは分かりづらい– MUAやWebメール上で結果をわかりやすく表示
Gmailでの例（特定のドメインで表示）• Domain
Di Reputation
R t ti– ドメインごとに評判情報を生成し、迷惑メール判定等に利用– 受信者に評判の高いドメインは優先的に受信フォルダへ
11

Copyright©Japan DKIM Working Group. all right reserved.

DKIM の使われ方• ホワイトリスト方式

メールを如何に届けるか？

– PASS したものをたも を 「＋」「に評価する
評価する– PASS しないものを標準と扱う
なりすましを如何に拒否するか• ブラックリスト方式– FAIL したものを 「－」 に評価する– PASS したものは標準と扱う

現時点ではDKIM は 「メールを如何に届けるか」 という発想※ 先にやってもリスクは少ない。逆にやらないでいるリスクは高くなる。
先にや てもリスクは少ない 逆にやらないでいるリスクは高くなる
12

Copyright©Japan DKIM Working Group. all right reserved.

作成者署名と第三者署名について

DKIMでは必ずしも “From: ヘッダ” のドメインで署名する必要はない
ドインで署名する必要はな• 作成者署名– d= タグとグ From: で示すドメインが同一– 標準的な署名方法• 第三者署名– d= タグと From: で示すドメインが異なる– 以下の例はサブドメイン付きという違い
だが、全く違うドメインでも可DKIMSignature:（～略～）d=example.jp;
s=dkim20101115;
b=xdIeG4cUHIBhU0nix2V5tK9Z（～略～）DKIMSignature:（～略～）d=sender.example.jp;
s=senderdkim20101115;
b=xdIeG4cUHIBhU0nix2V5tK9Z
（～略～）

From:

<info@example.jp>

From:<info@example.jp>

Subject:

こんにちは。

Subject:

こんにちは。

お世話になっております。
example.jp です。
…

お世話になっております。
example.jp です。
…
13

Copyright©Japan DKIM Working Group. all right reserved.

基本的なメッセージとしては、作成者署名を利用するという大前提の元で以降のプレゼンを聞いてください。
第三者署名は作成者署名の利用が難しい場合のWork Around と言ってもよいでしょう。
14

Copyright©Japan DKIM Working Group. all right reserved.

作成者署名と第三者署名の使い分け

DKIM署名なるべく「作成者署名」をできなければとりあえず「第三者署名」を• 「作成者署名」の方が dd=, From のドメインがのドメインが一致して致しているため、受信者への見え方わかりやすい– Domain Reputation に利用される d=, From ドメインが一緒だから明確– 自分でしか署名できないから第三者署名よりセキュア• ただし、メール配信(設備)がある組織とそのDNSを管理する組織が異なる場合、「公開鍵を受け渡す」作業が発生– 公開鍵を受け渡す作業自体は難しくないが、その作業がDKIM普及のハードルになることも– 秘密鍵を組織間で受け渡すことは厳禁• まずは「第三者署名」で代理的にメール配信設備側が用意したドメインで署名を開始し、こなれてきたら順次 作成者署名 に切り替えていくことでも可
15Copyright©Japan DKIM Working Group. all right reserved.

2dkim.jp の紹介

16

Copyright©Japan DKIM Working Group. all right reserved.

Japan DKIM Working Group

Japan DKIM Working Group

DKIM の普及を目的として設立
17Copyright©Japan DKIM Working Group. all right reserved.

dkim.jp について

dkim.jp
正式名称

Japan DKIM Working Group

通称dki jdkim.jp

設立日2010 年 11 月 15 日

参加企業数

国内企業約 30 社が参加
オブザ バとオブザーバとして数団体が参加
数団体が参加Web サイトhttp://www.dkim.jp
ttp://www.d.jp

18

Copyright©Japan DKIM Working Group. all right reserved.

メンバー一覧 1
送信事業者 （13）ベンダ （9）株式会社 アットウェア

株式会社アークン

エイケア・システムズ株式会社
エイケアシステムズ株式会社

株式会社インフォマニア

株式会社エイジア

クラウドマーク ジャパン株式会社 HDE

株式会社シマンテック

シナジーマーケティング株式会社

センドメール株式会社

トライコーン株式会社

ＴｒｕｓｔＳｐｈｅｒｅ（ 旧ＢｏｘＳｅｎｔｒｙ)

トッパン・フォームズ株式会社
トッン フォ ムズ株式会社

日本オープンウェーブシステムズ株式会社
日本オ
プンウェ ブシステムズ株式会社

トランスコスモス株式会社

株式会社 日立ソリューションズ

株式会社パイプドビッツ

メッセージシステムズ

ユミルリンク株式会社
リ ク株式会社
楽天株式会社
株式会社レピカ19

Copyright©Japan DKIM Working Group. all right reserved.

メンバー一覧 2
ISP （11）

協力団体・オブザーバ （6）イッツ・コミュニケーションズ株式会社

一般社団法人JPCERT コーディネーションセンター

ＮＥＣビッグローブ株式会社
ビ グ
ブeビジネス推進連合会
ビジ
推株式会社ＮＴＴぷらら

日本データ通信協会

ソネットエンタテインメント株式会社

総務省

株式会社テクノロジーネットワークス

フィッシング対策協議会

株式会社ドリーム・トレイン・インターネット

財団法人インターネット協会

ニフティ株式会社
フテ 株式会社
フリービット株式会社
株式会社インターネットイニシアティブ
株式会社NTTPCコミュニケーションズ
ヤフー株式会社

20

Copyright©Japan DKIM Working Group. all right reserved.

メンバー募集• メンバー募集– ISP / ESP– Hosting / ASP– SIer– Vendor– Sender– MUA 開発者

http://www dkim jp/dkim-jp/members/admission/
http://www.dkim.jp/dkimjp/members/admission/
21

Copyright©Japan DKIM Working Group. all right reserved.

dkim.jp のスコープ
F
From
アドレス

非詐称

対策すべき領域

通常のメール広告メール

フィッシングメーリングリスト
善意

悪意守るべき領域
なりすまなりすましメール
迷惑メール

特殊なメール
詐称（なりすまし）

送信者とメ ルの正当性を検証する
送信者とメールの正当性を検証する
22

Copyright©Japan DKIM Working Group. all right reserved.

一般的な DKIM 普及の課題
送信者

１

MSA
署名する(Sign)

受信者

ユーザ

MTA

MUA

検証する(Verify)

可視化する(Visualize)「Sign/Verify どちらが先？」 問題
１

2

Signature (署名) がないから Verify (検証) しない
Verify (検証) してないから Sign (署名) しない「可視化」 問題
2

MUA が対応してないと見た目で分からないから意味がない
23

Copyright©Japan DKIM Working Group. all right reserved.

dkim.jp のロードマップ
Domain Reputation

迷惑メールのない世界「なりすまし」のない世界
一部、交渉開始

MUA / webmail の対応
Authentication-results の利用

2012 年 11 月目標
dkim.jpdkimjp 所属の Sender はすでに対応済み (2011年 7月)

可視化 ( Visualize) への対応
DKIM の Verify
Authentication-results の付加

次が検証
次
検証 ((Verify)y)
DKIM の Sign
dkim.jp

署名(Sign) が先
24

Copyright©Japan DKIM Working Group. all right reserved.

これまでの活動実績• 総会の開催– 現在、6回開催
現在 6回開催• リコメンデーションの発表– Sender 向け発表

• Sender の DKIM Sign 対応• RFC 6376 (4871bis02 の I-D) の和訳• http://www.dkim.jp
http://www dkim jp の web サイト公開

25

Copyright©Japan DKIM Working Group. all right reserved.

dkim.jp の今後の活動• Verify の促進– dkim.jp
dki j メンバー内：2012.11
メンバ 内 2012 11 目標• 対応ドメイン数の増加– Hosting / ASP への対応の促進• 認証結果の「可視化」 へのフォーカス– MUA/Webmail の対応の促進

各種リコメンデーションの発表
各種リコメンデションの発表
26

Copyright©Japan DKIM Working Group. all right reserved.

3

DKIM の普及の現状

27

Copyright©Japan DKIM Working Group. all right reserved.

普及率

対応状況

• dkim.jp– http://www.dkim.jp/dkim-jp/dkim-services/
http://www.dkim.jp/dkim jp/dkim services/• デ
データ通信協会
タ通信協会– http://www.dekyo.or.jp/soudan/auth/28

Copyright©Japan DKIM Working Group. all right reserved.

Sender の DKIM 署名対応状況
事業社名

Status

DKIM対応開始（予定）

トッパン・フォームズ株式会社

2008.12

対応済

株式会社パイプドビッツ

2010 92010.9対応済

楽天株式会社2010.10

対応済

エイケア・システムズ株式会社
エイケアシステムズ株式会社

2010 122010.12

対応済

株式会社エイジア

2011.5

対応済

株式会社アットウェア

2011.6

対応済

シナジーマーケティング株式会社

2011.6

対応済株式会社HDE

2011.7

対応済

株式会社プロ ト株式会社プロット2011 72011.7

対応済

ユミルリンク株式会社

2011.7

対応済

株式会社レピカ2011.7

対応済

トライコーン株式会社

2011.9対応済

トランスコスモス株式会社

2012.2

対応中 (新規入会)※ dkim.jp 調査
Copyright©Japan DKIM Working Group. all right reserved.

29ISP/ASP の DKIM 対応状況
事業社名

Sign

Verify(Authentication-results 付加)○

1

ＮＥＣビッグローブ株式会社

2

ソネットエンタテインメント株式会社

○

○

3

ニフティ株式会社〇○

4

株式会社インターネットイニシアティブ

○

○

5

ヤフー株式会社○○

6

GGooglel 株式会社 (gmail)
(il)

〇

〇

7

Microsoft corp (Hotmail)?

〇※ dkim.jp 調査

30

Copyright©Japan DKIM Working Group. all right reserved.

ISP/ASP の DKIM 対応状況
事業社名
1

イッツ・コミュニケーションズ株式会社

2

株式会社ＮＴＴぷらら

3

株式会社テクノロジ ネットワ クス
株式会社テクノロジーネットワークス

4

株式会社ドリーム・トレイン・インターネット

5

フリービット株式会社

6

株式会社NTTPCコミュニケーションズ

Sign

Verify(AR 負荷)dkim jp 所属企業は 2012 年 11 月 対応完了目標！
dkim.jp※ 対応を保証するものではありません。努力目標として 2011.11 を設定しています。
31

Copyright©Japan DKIM Working Group. all right reserved.

普及率• 総務省の統計– http://www
http://www.soumu.go.jp/main_sosiki/joho_tsusin/d_syohi/pdf/110302_
soumu go jp/main sosiki/joho tsusin/d syohi/pdf/110302
3.pdf– 普及率は 10% 程度 (流量比)– 2011.7 に向けて普及率増加
向普 率増加32

Copyright©Japan DKIM Working Group. all right reserved.

• 当日は普及率を示すいくつかのデータを提示予定

33

Copyright©Japan DKIM Working Group. all right reserved.

課題

エンタープライズ向けのサービスでは普及率が低い(今日の主題)

企業への普及が課題

34

Copyright©Japan DKIM Working Group. all right reserved.

4

企業への DKIM 導入の課題

35

Copyright©Japan DKIM Working Group. all right reserved.

企業のメールの種類
ここまでで説明してきた普及の話

これからの課題

非コミュニケーション

コミュニケーション-メルマガ-業務用メール-販促
販促-顧客対応用、サポート利用
顧客対応用、サポ ト利用-パスワード-メーリングリスト-リマインダ-サービスのメール
ISP での Verify が始まる
DKIM の Sign をしよう

この後の主なスコープ
36

Copyright©Japan DKIM Working Group. all right reserved.

DKIM の目的

企業のメールの DKIM 対応
Sign-自社 「ドメイン」 の保護-自社 「顧客」 の保護

Spammer の狙いは基本的にコンシューマ
Verify-自社・社員の保護
自社 社員の保護

最近は企業の「狙い撃ち」も
37

Copyright©Japan DKIM Working Group. all right reserved.

脅威の事例 (Phishing)• PhishingSign– http://www.antiphishing.jp/h //i hi hi j /• 2011年11月09日 セブン銀行を騙るフィッシング(2011/11/9)• 2011年10月18日 【注意喚起】銀行の第二認証情報を詐取するフィッシングにご注意ください(2011/10/18)• 2011年10月06日 三井住友銀行を騙るフィッシング(2011/10/6)• Spear Phishing

Verify– 特定の企業や、企業の重要人物を狙い撃ちにする Phishing(参考)
参考
フィッシング対策協議会 (フィッシングレポート 2011)h //http://www.antiphishing.jp/report/pdf/phishing_report_2011.pdf
i hi hi j // df/ hi hi2011 df
38

Copyright©Japan DKIM Working Group. all right reserved.

日本の企業日本の企業の 9 割は中小企業
MX RR の存在する jp ドメイン数: 94万ドメイン強既に DKIM のサインされているドメイン数：約のサイ され いるドメイ 数 約 5,000(参考)
参考
WIDE Project

http://member.wide.ad.jp/wg/antispam/stats/index.html.ja/// ///39

Copyright©Japan DKIM Working Group. all right reserved.

企業のメールの利用形態
企業のメール

DNS とMSA が自社構築

プロダクト
内製

企業内部の問題のみ
ASP/Hosting 利用

他者依存が発生する
40

Copyright©Japan DKIM Working Group. all right reserved.

企業ドメインの DKIM 対応の課題

ASP/Hosting 利用• 大半のドメインはこのパターン？
• メール流量は少ないがドメイン数は多い
流少な数 多• エンジニアが管理しているとは限らない
ンジ アが管理しているとは限らない– DNS と Sign する MTA が同じ管理下にあるとは限りらない （企業メールの特色？）– そもそも担当者がいないかもしれない41

Copyright©Japan DKIM Working Group. all right reserved.

モデル化

sender example com
sender.example.com

MSA

Sign

From:@domainowner.example.com
From:@domainowner.example.com
第三者署名

MSA 管理者

公開鍵問い合わせMTA

VerifyDNS
鍵ペア生成

公開鍵問い合わせ

作成者署名
公開鍵提供
公開鍵登録

DNS

ドメインオーナー(企業)domainowner.example.com

は Sender で完結

は Domain Owner で完結しない
42

Copyright©Japan DKIM Working Group. all right reserved.

DKIM 対応の進め方

STEP 1

第三者署名を展開する-MSA の管理者だけで対応できる-この段階では、ドメインオーナーは何もしなくていい (ADSP は unknownを宣言するか 書かない)を宣言するか、書かない)

STEP 2

作成者署名を展開する-作成者署名が出来るなら、最初から作成署名で！
作成者署名が出来るなら、最初から作成署名で！

（エンタープライズドメインを扱う事業者へのメッセージ）
43

Copyright©Japan DKIM Working Group. all right reserved.

5

まとめ

44

Copyright©Japan DKIM Working Group. all right reserved.

メッセージ

送信者

受信者

ユーザ

MSA

MTA

MUA

署名する

検証する

見せる

まずは Sign を！！
45

Copyright©Japan DKIM Working Group. all right reserved.