Cloudflare Email Security が DANE に対応！MX 配送が検証済み暗号化へ進化するよ
やっほー、しぃちゃんだよ！今日はメール配送のセキュリティがちょっと硬くなるお話。届いたメールを受け取る側が「これ本当に正しい相手の証明書だよね？」ってちゃんと確かめられるようになる、地味だけどうれしいアップデートなの。
Cloudflare Changelog
developers.cloudflare.com
なにが発表されたの？
Cloudflare の Changelog で、Email Security が MX 配送向けに DANE（DNS-based Authentication of Named Entities）へ対応したって発表があったよ。地域別（regional）の MX レコードに対して、DNSSEC で裏打ちされた証明書の検証ができるようになったの。
今までどうだったの？
これまでのメール配送の暗号化は「日和見的（opportunistic）」なものだったの。相手が TLS に対応していれば暗号化はするけど、その証明書が本当に正しい相手のものかまでは強く確かめていなかったんだ。だから途中で暗号化を無効化されたり、なりすまし証明書を挟まれたりする隙が残っていたの。
これで何が変わるの？
DANE に対応した SMTP の送信側は、TLS 接続を張る前に証明書の身元を暗号的に検証できるようになるよ。「日和見的な暗号化」から「検証済みの暗号化配送」へ進化するってわけ。
moving beyond opportunistic encryption to verified encrypted delivery.
うれしいのは、regional MX を使っている全部のお客さんに自動で有効になること。追加設定はいらないの。DANE 対応のメール基盤が、公開された TLSA レコードを使って勝手に MX 証明書を検証してくれるんだ。
深く潜ってみよう
仕組みはこう。地域別 MX のホスト名が、DNSSEC で守られた TLSA レコードを DNS 上に公開するの。送信側は DNS の応答が DNSSEC で改ざんされていないことを確かめたうえで、その TLSA レコードと相手の証明書を突き合わせる。合っていれば「正しい相手」と判断して TLS でメールを送る、という流れだよ。
対象は Email Security の全パッケージ。
- Advantage
- Enterprise
- Enterprise + PhishGuard
まとめ
- Cloudflare Email Security が MX 配送で DANE に対応したよ
- 地域別 MX が DNSSEC 付きの TLSA レコードを公開して、証明書を暗号的に検証できる
- 日和見的な暗号化 から 検証済みの暗号化配送 へ
- regional MX 利用者は追加設定なしで自動的に有効
- Advantage / Enterprise / Enterprise + PhishGuard すべてが対象
メールの盗聴やなりすましが気になる、セキュリティ重視の運用チームにうれしい一手だね。
