TLS（トランスポート層セキュリティ）

TLS（トランスポート層セキュリティ）とは何ですか？

TLS（トランスポート層セキュリティ）は、メール送信時にメールサーバー間の通信を保護する暗号化プロトコルです。インターネット経由で送られるメッセージが、権限のない者に容易に傍受、閲覧、改ざんされないようにします。TLS は送信サーバーと受信サーバー間の接続を暗号化し、メッセージヘッダ、本文、添付ファイルを含む転送中のデータを盗聴や改ざんから保護します。

TLS は SSL（Secure Sockets Layer）の後継であり、安全なメール転送の標準となっています。最新のほとんどのメールサーバーは、双方が対応している場合に TLS を自動的に使用し、ユーザーが手動で操作しなくても安全な送信を実現します。TLS は DKIM や DMARC のように送信者を認証したりメッセージの完全性を保証したりするものではありませんが、配信中の不正アクセスを防ぐうえで重要な役割を果たします。

メール送信における TLS の仕組み

TLS はメール配信プロセスのトランスポート層で動作し、2つのメール転送エージェント（MTA）間に確立されたセッションを暗号化します。あるメールサーバーが SMTP を介して別のサーバーに接続する際、STARTTLS コマンドを使って接続を安全なチャネルに切り替えることができます。

安全な SMTP ハンドシェイクの例です。

このネゴシエーションの後、両サーバーはデジタル証明書を交換して互いの身元を検証し、暗号化されたセッションを確立します。以降のすべてのデータは、メッセージ本文を含めて、その接続を通じて安全に送信されます。

TLS は鍵交換に非対称暗号（公開鍵と秘密鍵）を、メッセージ送信に対称暗号を使用します。このハイブリッドな方式により、メッセージ配信を大きく遅らせることなく強固なセキュリティを提供します。

TLS のバージョンと暗号強度

最新のメールシステムは複数のバージョンの TLS に対応しており、新しいバージョンごとに以前のバージョンで見つかった脆弱性に対処しています。現時点で最新かつ推奨されるバージョンは TLS 1.3 で、暗号化の改善とより高速なハンドシェイクを実現します。TLS 1.0 や 1.1 といった古いバージョンはセキュリティ上の欠陥のため非推奨であり、使用すべきではありません。

安全な TLS 設定のベストプラクティスは次のとおりです。

• SMTP 通信に TLS 1.2 以上を強制する
• 安全でない暗号方式や旧来の SSL プロトコルを無効化する
• 信頼できる認証局（CA）が発行した証明書を使用する
• 安全なメール転送を強制するため MTA-STS を導入する
• TLS 証明書を定期的に更新し、監視する

適切に設定されていないと、攻撃者はダウングレード攻撃によって暗号化されていない接続を傍受し、通信を暗号化なしで行わせることができます。これは MTA-STS や DANE（DNS-based Authentication of Named Entities）によって軽減されるリスクです。

TLS がメールセキュリティにとって重要な理由

TLS は、メールサーバー間の転送中にメールメッセージのプライバシーと機密性を確保します。送信者を認証したりドメインを検証したりするもの（これらは SPF、DKIM、DMARC が担う役割です）ではありませんが、転送中のメッセージの漏えいや改ざんを防ぎます。

メールにおける TLS の主な利点は次のとおりです。

• データの傍受や盗聴を防ぐ
• 認証情報、添付ファイル、メッセージ本文を保護する
• 中間者攻撃のリスクを低減する
• データ保護規制（GDPR、HIPAA など）への準拠を支援する
• 安全な転送を通じてユーザーと受信者の信頼を築く

TLS がないと、メールは平文で送信され、ネットワークにアクセスできる者は誰でもその内容を読んだり改ざんしたりできてしまいます。機密性の高い情報を扱う組織にとって、TLS は安全な通信を維持し、ブランドの評判を守るために不可欠です。

TLS と DMARCeye

DMARCeye は、すべての送信元にわたる TLS の利用状況を含め、ドメインの認証と転送セキュリティの状態を完全に可視化します。このプラットフォームは、暗号化を使用していないメールストリームを検出し、脆弱または期限切れの証明書を特定し、TLS の状態を認証結果と関連付けて、メッセージのセキュリティを総合的に把握します。

DMARC レポートと TLS 接続データの両方を分析することで、DMARCeye は組織がメール配信を認証済みかつ暗号化された状態に保つのを支援します。この二層のインサイトにより、あらゆる通信チャネルにわたってドメインの保護、コンプライアンス、信頼が強化されます。

DMARCeyeの無料トライアルに登録して、メールドメインを保護しましょう。

DMARCおよび関連用語について詳しくは、DMARCeye用語集をご覧ください。