|
|
|
セッション1(技術) |
・迷惑メールに対する世界的な取り組みについて
(株)インターネットイニシアティブ 近藤学氏
迷惑メールに関しては出し手にせよ受け手にせよ、もはや単独で対応できるレベルではなく、また迷惑メールにとっては国境はない上にボットネット(BotNet:ゾンビPCの集合)の問題が顕著になってきているという概況が報告されました。
その上で現在の潮流としては共同戦線を張ることが主となってきており、官民連携あるいは民間(業界)主導での活動が盛んになりつつあり、その上での国際連携も強化されてきているとのことです。
これらの連携において各種の組織が立ち上がり、また活動しており代表的なものとしてはMAAWG,ASTA,APWG,JEAG等があり、これら組織に加え米国のFTCや日本の総務省等が迷惑メール対策に取り組んでいることも紹介されました。また近藤氏は日本ではなじみの薄い組織として米国のFSTC(Financial Services Technology Consortium)は金融系の組織でありながら金融系の側面から迷惑メール対策に取り組んでいることを紹介しました。
個々の組織については近藤氏の所属するインターネットイニシアティブ(IIJ)が設立メンバとして参加するMAAGについての紹介があり、MAAGは2004年1月に設立、その後2004年6月にNPO化された事などが紹介されました。MAAGは主に欧米系のキャリア/ISP/ベンダ、約30社からなる組織です。現在のところ4つのサブ・ワーキング・グループ(SWG)が活動しておりメールの運用に求められる要件を文書化しています。基調講演を行なったWong氏はここの技術担当であることも紹介されました。MAAGの主な活動は日々のSWG以外には3〜4ヶ月ごとのジェネラル・ミーティングが行なわれるといった点についても紹介がなされました。
一方、日本の組織についてはJEAGが取り上げられ、こちらは日本のキャリア/ISP/ベンダ約30社からなり送信ドメイン認証、ポート25ブロック、および啓蒙活動、携帯各SWGによる活動が紹介されました。
これら様々な迷惑メール対策を行なう組織が立ち上がり、すでに活動中ですが一般ユーザの目にみえる形ではまだ認知度が低いものの、本年(2005年)後半には迷惑メールに対する認識が上がる、あるいは実際に迷惑メール対策の効果が目に見えるようになるのではないだろうかと近藤氏は語りました。
いずれにせよ迷惑メール対策とは官民共同も含み一致団結することで、その目標は結果を出すことであると近藤氏は締めくくりました。
・ケータイメールにおける迷惑メールについて
KDDI(株) 本間輝彰氏
ケータイメールの特徴はそのモビリティ(可搬性)の高さとメールが手元に届くというプッシュ式コンテンツであることがありますが、これらを鑑みると現在のケータイは災害時のライフライン化している側面もあることから迷惑メール対策の重要性についても説明が行なわれました。
ケータイメールで迷惑メールが横行する原因としては、ケータイメールではクリック率が高く深夜を除いては、ほぼ均等なレスポンスが得られること、さらにそのレスポン率がPCのメールに比べて高いことから、広告効果が高いため狙われやすくなっているとのことです。
さらにケータイメールでは迷惑メールであってもメールの受信に課金がかかってしまうことや深夜でも無差別に着信音が鳴ってしまうなどケータイメールであるがゆえの問題点も多いことが指摘されました。
またキャリアから見た場合には大量の迷惑メールによってサーバが輻輳(混雑)するだけでなく、携帯電話という無線資源を使用する通信であるために無線区間での輻輳も問題となり大量の迷惑メールによって音声への影響も及ぼす可能性あるといった問題点の指摘もありました。
次いで本間氏からはケータイにおける迷惑メールの歴史についての解説が行なわれました。これはまず電番アドレス(電話番号=メールアドレス)が狙われることになり、シングルドメインでサービスを提供していたNTTドコモが特にターゲットとなった点に言及されました。これを受けてケータイキャリアではランダムなアドレスを採用するなど対応を行い、これを期に迷惑メール業者との本格的な戦いに突入しました。そして、その後「存在しそう」なアドレスを狙った大量のメールが送りつけられた時期がケータイキャリアにとってもっとも厳しい時期であったと本間氏は解説しました。
本間氏の講演の中でも興味深い点としていかに迷惑メール業者が「儲かる」かというものがありました。当初の迷惑メールは単なるFrom:詐称などの「なりすまし」メールが多くPCから送信されているものがほとんどだったものの、これを規制すると迷惑メール業者は今度はケータイをPCでコントロールすることで迷惑メールを送り付けるようになったとのことです。稼動させるための費用がほとんどかからないに等しいPCと異なり、正規に契約されているケータイから送信を行なうために費用がかかるはずなのですが、それにも関わらず迷惑メール業者がこの方法を取るというのが迷惑メールが「儲かる」ことを如実に現していると本間氏は語ります。このようなケータイ発の迷惑メールを取り締まるためにauではユーザクレームにより携帯のユーザを利用停止にする措置を取っているとのことです。
利用停止措置に対し迷惑メール業者は今度は「名義貸し」といった対抗策を打ってきているとのことですが、これに対抗する形でauでは送信通数規制を行なっており、これにより迷惑メールはほぼ撲滅されたのではないかとのことでした。
本間氏によればケータイは送信時に必ずユーザの認証を行なっているため、ひとりのユーザ(1端末)が1日あたり送信できるメールの通数を容易に制御できるとのことで、SMTP AUTH等の送信時認証と通数制御を組み合わせれば迷惑メールは撲滅可能かもしれないとのことです。
いずれの手段にせよ迷惑メール業者のビジネスモデルをいかにして破壊するかに成功の鍵があると本間氏は締めくくりました。
・迷惑メールに対する包括的な技術対策
(株)インターネットイニシアティブ 山本和彦氏
迷惑メールに対抗するための第一のステップはまず、メールを追跡可能にすることでありその後リピュテーション(評判)を取り入れるものというのが対策技術となると山本氏は紹介しました。
そもそものインターネットのあるべき姿は何かという点から山本氏は解説をはじめ、何でもかんでも通すというインターネットの基本はユーザーの立場からみた場合にそれが良いものであるかどうかを考えるべきであると氏は述べました。
現状の問題点として挙げられるのはゾンビ(bot)、アドレス詐称、ドメイン詐称、フィッシングといったものがありますが、これらはいずれもメールの追跡が困難であるということです。このためメールを追跡可能とする技術が必要で、これにはユーザ認証やドメイン認証といった技術があります。
またユーザからの無差別なメールの投稿、すなわちどこからでもSMTPでメールを送り出すことを止めるべきで、ユーザからのメールの送出に関してはそのユーザが所属する組織やISP等のメールサーバ(MTA)を経由すべきであることが解説されました。
ユーザからのメールの送出、すなわち投稿には現在のところSMTPのポート25番が使用されていますが、これをポート25ブロッキングで禁止し、新たに投稿ポート(submission port)と呼ばれるポートを設けることでユーザの送り出し先を明確に固定しようというものです。
従来のポート番号25番のSMTPはドメイン間での転送にのみ使用し、ユーザがメールを投稿する際には新たに設けた投稿ポート587番で利用する方法が持ちいられ、すでにこの方法を採用している国内ISPもあります。
しかしながら、単純に「別な」ポートに移行させただけではメールやユーザが追跡可能になるわけではありませんから、この際にユーザ認証が必要となります。この際の認証方式としてはまず、Submission over TLS(587)、次にSMTP over SSL(465)、SMTP over TLS(25)の順で推奨されます。このうちSMTP Over TLSはISP間での通信に用いられるのではないかとのことでした。
ユーザに何等かの移行作業を求める場合には通常は困難が予想されるわけですが、山本氏によればまず「新しいサービス」として代替ポートを提供することであれば、ユーザを移行させやすいとの解説がなされました。この上で追跡が困難な動的IPアドレスからのみポート25番をブロックしすることによって迷惑メールの送出を抑制することが可能になります。
固定IPアドレスについてはブロックする必要はないとのことで、これは固定IPアドレスならば受信側でブロックすることが可能だからです。現在、動的IPアドレスでメールサーバを用いているユーザに関しては固定IPへ移行すべきであると山本氏は述べました。
このように認証付きでメールが送出されるようになると、次に考えられる迷惑メールの送出方法としてはパスワードを盗むゾンビ、あるいは自らの正体を隠さず堂々と迷惑メールの登場が考えられると山本氏は述べ、これに対抗するにはメールのレート制御が鍵となるとのこです。
次いでメールそのものを認証する際の候補として、封筒部分を認証するSPF,SenderID(MFROM)、便箋部分を認証するSenderID(PRA)、署名であるDomainKeysが紹介されました。これらの技術は今回のカンファレンスのセッション中で度々、言及された重要な技術です。
メールが追跡可能になった後、起こりうる現象としてはドメイン名の使い捨てが横行するのではないかと山本氏は予測しています。対抗する手段として考えられるのがドメイン名を評価するためのシステムで、これがいわゆるリピュテーション(評判)システムとなります。
セッションの最後に山本氏はISP/ASPの将来像は追跡可能なメールを採用し、その上でドメイン名のリピュテーションを行い、加えてコンテンツフィルタを採用するようになるのではないかと述べました。
質疑応答：
Q1(会場:質問者不明)
メールやドメインの評価は誰が行なうのか？
A1
(山本)これについては、いかようにでも可能となる。エンドユーザでもありえるしISPでもありえる。ISPがどのような選択基準を取るかによるだろう。
(近藤)ISPがどのような選択基準を採用しているかによって、ユーザがそのISPを選ぶか選ばないかというISPのセールスポイントにもなるだろうし、事実米国ではそのようなISPも存在している。
□カンファレンスレポート トップページへ
□カンファレンスレポート （1）ページへ
□カンファレンスレポート （2）ページへ
■カンファレンスレポート （3）
□カンファレンスレポート （4）ページへ
□カンファレンスレポート （5）ページへ
□カンファレンスレポート （6）ページへ