情報処理安全確保支援士試験 情報セキュリティスペシャリスト試験 平成26年度秋期 午前Ⅰ 問12: SMTP-AUTH（SMTP Service Extension for Authentication）における認証の動作を説明したものはどれか。

問題本文

SMTP-AUTH（SMTP Service Extension for Authentication）における認証の動作を説明したものはどれか。

選択肢

• ア.SMTP サーバは，クライアントがアクセスしてきた場合に利用者認証を行い，認証が成功したとき電子メールを受け付ける。
• イ.サーバは認証局のディジタル証明書をもち，クライアントから送信された認証局の署名付きクライアント証明書の妥当性を確認する。
• ウ.電子メールを受信した際にパスワード認証が成功したクライアントの IP アドレスは，一定時間だけ SMTP サーバへの電子メールの送信が許可される。
• エ.パスワードを秘匿するために，パスワードからハッシュ値を計算して，その値で利用者が電子メールを受信する際の利用者認証を行う。

正解

ア. SMTP サーバは，クライアントがアクセスしてきた場合に利用者認証を行い，認証が成功したとき電子メールを受け付ける。

解説

SMTP-AUTHは、メール送信時にSMTPサーバがクライアントの利用者認証を行い、認証成功時のみ送信を受け付ける拡張。これにより第三者中継(踏み台)による迷惑メール送信を防ぐ。よってアが正解。送信元なりすまし対策の基本で、POP before SMTPに代わる標準的な送信認証として実務で広く使われる。

選択肢ごとの解説

• ア.アクセス時に利用者認証を行い成功時のみメールを受け付けるのがSMTP-AUTHの動作で、これが正しい。
• イ.クライアント証明書の妥当性確認はSMTP over TLSの相互認証等の話で、SMTP-AUTHの説明ではなく誤り。
• ウ.受信認証後に送信を一定時間許可するのはPOP before SMTPの仕組みで、SMTP-AUTHとは別物のため誤り。
• エ.受信時の利用者認証はPOP/IMAP側の話で、送信認証であるSMTP-AUTHの説明としては誤り。