メール暗号化の理解

メール暗号化の理解

メール暗号化は良い響きですが、実際にはどのような意味を持つのでしょうか？メールは、目的やタイミングに応じて、さまざまな方法で暗号化されます。それぞれが異なる脅威から保護し、考慮すべき欠点があるかもしれません。自分の選択肢を理解することで、プライバシーとセキュリティについて情報に基づいた判断を下すことができます。

何から保護したいのか？

暗号化の方法を詳しく見る前に、自分のメールにとって実際にどのような脅威が重要なのかを自問する価値があります。ほとんどの人にとって、現実的な懸念は以下の通りです。

• アカウントの侵害: フィッシングやパスワードの使い回しにより、攻撃者があなたのアカウントにアクセスできるようになる
• 誤ったスパム検出: 重要なメールが見失われる原因となる
• マルウェア: メール経由でウイルスに感染する（リンクまたは添付ファイル）
• 誤った削除: 人為的ミスによる重要なデータの喪失

これらよりもはるかに一般的ではありませんが、重要なものもあります。

• ネットワーク盗聴: Wi-FiやISP上の誰かがあなたの通信を傍受する
• データ漏洩: セキュリティの脆弱性により、攻撃者が保存されたメールにアクセスできるようになる
• 物理的な盗難: デバイスやハードドライブの盗難により、あなたのデータが露出する

ジャーナリストが情報源を保護する場合、敵対国にいる活動家、あるいは巧妙な敵対者に直面している人々など、ごく一部の人々にとっては、プロバイダー側の内部脅威や法的な強制力も脅威モデルに含まれます。異なる暗号化アプローチは、これらの脅威のサブセットから保護する（あるいは保護を妨げる可能性さえある）のに役立ち、これを理解することで、適切なバランスを選ぶことができます。

メールプロバイダーへの接続を暗号化する

メールプロバイダーに接続するたびに、TLS（Transport Layer Security）があなたのデバイスとサーバー間のすべての通信を暗号化します。これにより、ローカルWi-Fiネットワーク上の盗聴者、ISP、そしてあなたのメールサービスとの間のネットワークトラフィックを監視するあらゆる者から保護されます。この標準は広く採用され近代化されており、最新バージョンはTLS 1.3で、最も強力な暗号スイートを義務付け、今日の安全なインターネットの基盤となっています。

しかし、暗号化だけでは十分ではありません。あなたは実際にメールプロバイダーと通信しており、なりすましではないことを保証する必要があります。ここで公開鍵基盤（PKI）が登場します。FastmailやGmailに接続すると、サーバーはLet's Encryptのような信頼できる認証局（CA）によってデジタル署名された証明書を提示します。あなたのブラウザやメールクライアントは、この署名を、内蔵されている信頼できるCAのリストと照合し、その証明書がそのドメインに正当に発行されたものであることを検証します。これにより、攻撃者がメールプロバイダーになりすまして接続を傍受することを防ぎます。たとえ通信をリダイレクトできたとしても、自分が管理していないドメインの有効な証明書を取得することはできません。

このシステムは、証明書透明性（CT）ログの導入により大幅に強化されました。これは、参加しているCAによって発行されたすべての証明書の、公開された追記専用の記録です。ドメイン所有者はこれらのログを監視して、誰かが自分のドメインの証明書を不正に取得していないか検出でき、ブラウザは証明書を信頼する前にログに記録されていることを要求するようになりました。完璧なシステムはありませんが、CAが侵害されたり、不正な証明書を発行するように騙されたりする例が時折ありますが、証明書透明性と組み合わせたPKIは、暗号化された接続が意図したサーバーに到達していることに対する強力で実用的な保証を提供します。

Fastmailは最新のTLS 1.3標準を完全にサポートしています。また、ブラウザがTLSなしで接続しようとしないようにHTTP Strict Transport Security（HSTS）を使用しています。同様に、暗号化されていないIMAP/POP/SMTPのポートがサーバーで閉じられていることを保証し、メールアプリが暗号化なしで接続しようとしないようにしています（これが、STARTTLSよりも「暗黙的」TLSを常に優先してきた理由であり、これも現在ではIETFの推奨事項となっています）。

サーバー間のメール暗号化

メールを送信すると、まず自分のメールプロバイダーのサーバーに送信され、その後、受信者のメールサーバーに送信されます。より興味深い課題は、異なるサーバー間のその転送にあります。

サーバー間暗号化は「機会的TLS」に依存しており、サーバーは暗号化を試みますが、受信サーバーがサポートしていない場合は暗号化されていない配信にフォールバックします。Fastmailは、受信メールに対して2009年4月以来、送信メールに対しては2010年1月以来、これをサポートしています。

機会的TLSの根本的な限界は、アクティブな攻撃者、一般的に中間者攻撃（MITM）と呼ばれるものによって無効にされる可能性があることです。メールサーバー間に配置された巧妙な敵対者は、初期ハンドシェイクからSTARTTLSコマンドを削除し、暗号化されていない接続を強制することができます。暗号化をサポートしていないサーバーとの間で送信または受信される正当なメールはまだ十分に存在するため、すべての人に暗号化を義務付けると、望ましいメールの量が許容できないほど失われる可能性があります。

さらに、サーバーはデフォルトで証明書を検証しません。アクティブな攻撃者が暗号化されていない接続にフォールバックできる場合、証明書の検証はセキュリティ上の利点をもたらさないため、サーバーは有効に見える証明書を、それが実際に宛先サーバーに属していることを確認せずに受け入れます。

MTA-STSとDANEがギャップを埋めようとする

2つのプロトコルがこれらの脆弱性に対処しようとしていますが、採用は限定的です。

MTA-STS（Mail Transfer Agent Strict Transport Security）は、ドメインがそのドメインのアドレス宛てのメールを受信する際に、STARTTLS暗号化接続と有効な証明書をサポートし、要求することを宣言できるようにします。送信者はこのポリシーを確認でき、受信ドメインの有効な証明書との暗号化接続を確立できない場合は、メールの送信を拒否する必要があります。

MTA-STSは比較的簡単に展開できます。DNSレコードとHTTPSでホストされるポリシーファイルのみが必要です。何か問題が発生した場合、最悪のケースは一部の受信メールが遅延またはバウンスすることであり、ウェブサイトやドメインの他の用途に影響を与えることはありません。

DANE（DNS-Based Authentication of Named Entities）は異なるアプローチを取り、DNSSECを介して、暗号学的に署名されたDNSレコードにTLS証明書情報を直接公開します。これにより、認証局への依存と、MTA-STSの「初回使用時の信頼」の弱点が排除されますが、運用コストは大幅に増加します。

DNSSECはすべてのドメインでサポートされているわけではありません（トップレベルドメインのレジストリに依存します）。さらに重要なのは、DNSSECの展開の複雑さが、深刻な障害の発生可能性を大幅に高めることです。ほとんどのシステム障害とは異なり、DNSSECのエラーは非常に容赦がありません。ルーティングの問題が発生した場合、それを修正すればサービスはすぐに復旧しますが、DNSSECの問題が発生した場合、破損したレコードはインターネット全体で数時間または数日間キャッシュに残る可能性があります。

巧妙なオペレーターでさえこれを誤ります。2023年10月、世界で最も人気のあるDNSサービスの1つであるCloudflareの1.1.1.1リゾルバは、キャッシュされたルートゾーンのDNSSEC署名の期限が切れた際に数時間の障害を経験しました。2023年5月には、ニュージーランドの.nz国別コードTLDが、通常のDNSSECキーロールオーバー中に数日間にわたる可用性インシデントを引き起こしました。同様の障害には長い歴史があります。

Fastmailでは、セキュリティは機密性だけではない（あなたのメールを他に誰も読めない）ことを理解しています。可用性（あなたがメールを読めること）と完全性（あなたのメールが他者によって破損または変更されないこと）も同様に重要です。このため、現在、DANEがMTA-STSよりも提供する機密性の利点は、可用性リスクの増加とのトレードオフに見合うものではないと考えています。GoogleやYahooのような他の主要プロバイダーも同様の選択をしており、DANEよりもMTA-STSを優先しています。しかし、グローバルエコシステムが進化するにつれて、この立場を定期的に再評価しています。

ほとんどのユーザーにとって、実用的な結果は、主要なプロバイダー間でやり取りされるメールは、転送中にほぼ確実に暗号化されているということです。ネットワークトラフィックを操作できる巧妙な国家レベルの攻撃者は、DANEまたはMTA-STSがない場合に接続をダウングレードしてメールを傍受できる可能性があります。しかし、これを大規模に行うとほぼ確実に気づかれるでしょうし、主要なプロバイダー間の大量のメールフローで特定の個人を標的にすることは非常に困難です。

保存時のメール暗号化

メールがサーバーに到達すると、保存時の暗号化はディスク上での保存中にデータを保護します。これは通常、BitLocker、LUKS、またはZFSデータセット暗号化のような技術を使用したフルディスク暗号化を意味し、メールプロバイダーが保持するキーを使用します。

このアーキテクチャは特定の脅威から保護します。データセンターからハードドライブが物理的に盗まれた場合、または廃止されたドライブが適切に消去されていない場合、データは読み取り不能なままです。保存時の暗号化は、物理的なデータセンターの侵害から保護し、GDPRやHIPAAのような規制のコンプライアンス要件を満たすのに役立ちます。

メールサービスがキーを保持しているため、有効な裁判所命令に裏付けられた法的要求は、プロバイダーにデータを復号化して引き渡すよう強制できます。そして、攻撃者がサーバーの完全な制御を握った場合、キーはすでにロードされているため、保存時の暗号化は保護を提供しません。

Fastmailは、バックアップを含むすべてのユーザーデータを暗号化されたディスクボリュームに保存しており、暗号化キーは当社の管理下のみに保持されます。包括的なログ記録と監査を備えた厳格なアクセス制御を維持しています。当社の透明性レポートは、毎年受領し対応する法的要求の件数を示しています。

ゼロアクセス暗号化のトレードオフ

Proton MailやTutaのようなサービスはゼロアクセス暗号化を提供しており、暗号化キーはデバイス上のパスワードから派生するため、プロバイダーでさえ保存されたメールを復号化できません。ログインすると、パスワードがローカルでキーを復号化します。サーバーはそれを決して見ません。

脅威モデルが内部関係者や政府の強制力に対する保護を優先し、機能性の大きなトレードオフを受け入れる用意があるユーザーにとって、ゼロアクセス暗号化は正当な選択肢です。内部攻撃、データ漏洩から実際の保護を提供し、裁判所命令への対応で引き渡されるデータを制限できます。しかし、それが何から保護し、何から保護しないのかを理解することが重要です。なぜなら、ゼロアクセス暗号化の追加保護は、しばしば過小評価される方法で限定されているからです。

• 新しいメールは傍受される可能性があります。メールがエンドツーエンドで暗号化されていない限り（次のセクションを参照）、プロバイダーはユーザーの公開鍵で暗号化する前に、平文バージョンのメールにアクセスできます。傍受のための裁判所命令や不正な従業員が、この時点でコピーをコピーできる可能性があります。
• すべてのデータが暗号化されるわけではありません。メールアドレス、タイムスタンプ、そしてProton Mailの場合、件名は暗号化されません。誰と、いつ、どのくらいの頻度で通信しているか、そしてその内容の概要は、メールの内容そのものよりも重要であることがよくあります。
• 読み取り専用のサーバー侵害からのみ保護します。ほとんどのユーザーはブラウザ経由でメールにアクセスします。したがって、メールを復号化するコードは、プロバイダーのサーバーからオンデマンドでロードされます。サーバーが侵害された場合、コードを変更してパスワードをキャプチャできます。法執行機関は、裁判所命令の対象となる特定のユーザーのためにこの変更を強制できる場合もあります。
• 別の場所に平文のコピーが存在します。あなたのコピーが暗号化されていても、送信者は受信したすべてのメッセージの完全に読み取り可能なコピーを保持している可能性が高いです。

ゼロアクセス暗号化には、機能性においても大きなトレードオフがあります。

• パスワードの紛失はデータの紛失を意味します。リカバリーフレーズなしでパスワードを忘れると、メールは永久に失われます。従来の意味での「パスワードリセット」はありません。長年の経験から、人々は常にパスワードを忘れ、失うことを教えてくれました。それを決してしないと誓う経験豊富なユーザーでさえ、ロックアウトされることがあります。パスワードリセットフローはアカウントのセキュリティにおける弱点となる可能性がありますが、Fastmailでは、安全なアカウントリカバリーのための非常に慎重に検討された自動化システムを持っています。
• 検索機能が制限されます。暗号化されたコンテンツはサーバー上で表示またはインデックス化できません。クライアントサイドの検索インデックスは可能ですが、すべてのメールを各デバイスにダウンロードする必要があります。これは、数GBのメールを持つ大規模なアカウントではしばしば非現実的です。
• 標準のメールクライアントは機能しません。ゼロアクセス暗号化により、プロバイダーは標準のIMAPまたはJMAPプロトコルを直接提供できなくなります。これにより、別のプロバイダーへの移行も困難になります。これは究極のベンダーロックインです。
• カスタマーサポートが限定されます。プロバイダーはあなたの許可があってもあなたのメールにアクセスできないため、多くの問題は支援不可能になります。共有メールボックスやコンプライアンスツールのようなビジネス機能は、しばしば利用できません。

エンドツーエンド暗号化メール

真のエンドツーエンド暗号化、つまり送信者と受信者のみがメッセージを読めるというものは、S/MIMEとOpenPGPを通じて1990年代からメールに存在しています。しかし、どちらも長年の利用可能性にもかかわらず、実質的な消費者採用を達成していません。

S/MIMEは認証局からの証明書を使用し、一部のエンタープライズメールクライアントでサポートされています。既存のPKIインフラストラクチャを持つ組織では、内部の企業ディレクトリで受信者の公開鍵を見つけることができるため、ある程度の普及が見られますが、それ以外ではほとんど使用されていません。

OpenPGPは、ユーザーがお互いの鍵を保証する分散型の「信頼のウェブ」を使用します。セキュリティ研究者によると、信頼のウェブは事実上死んでおり、PGPは数多くの設計上の問題に苦しんでいます。メタデータを漏洩し、前方秘匿性がなく、実用的な鍵ローテーションが欠けています。1999年の画期的な研究「Why Johnny Can't Encrypt」では、12人の参加者のうち4人しか90分以内にPGPでメールを正しく暗号化できなかったことが判明しました。2006年と2019年の追跡調査では、ユーザーは依然として「他人の公開暗号化鍵を見つけて検証する」のに苦労していることがわかりました。PGPの考案者であるフィル・ジマーマン自身でさえ、2015年にバージョン互換性のためにメールの復号化に苦労しました。

あらゆるエンドツーエンドシステムの根本的な課題は、鍵の配布とローテーションです。誰かにエンドツーエンドで暗号化されたメッセージを送信するには、まず相手の公開鍵を取得し（そしてそれが本当に相手のものであることを絶対に確信し！）、それを送信する必要があります。現在、これを実行するためのインフラストラクチャはなく、ましてや暗号化のベストプラクティスに従って鍵を定期的にローテーションするためのものもありません。鍵のローテーションがない場合、鍵またはパスワードが侵害されると、以前に傍受されたすべてのメールが復号化される可能性があります。

これらすべてをSignalやWhatsAppと比較してください。これらのアプリでは、単一の組織がオープンプロトコルを使用するのではなく、完全なソフトウェアスタックを制御しているため、暗号化が自動的に機能します。アプリをインストールすると自動的に鍵が生成され、電話番号を通じて連絡先が検出され、セキュリティプロトコルが普遍的に更新されます。メールのフェデレーションアーキテクチャ（任意のクライアントが任意のサーバーと通信できる）は、この統一されたアプローチを不可能にします。

エンドツーエンド暗号化はまた、メールユーザーが依存している機能と根本的に衝突します。サーバーがコンテンツを読み取れない場合、サーバーサイドの検索は不可能になります。たとえすべてのメッセージの検索可能なアーカイブを保持することであっても、セキュリティのベストプラクティスとは相容れません。フィッシング検出とマルウェア対策（最大のセキュリティリスクの2つ！）は、メッセージを検査する必要があります。マルチデバイスアクセスは、プライベート鍵をデバイス間で同期することを必要とします。これはセキュリティリスクです。そして決定的に、To、From、Dateを含むメールヘッダーは、メールの基本的な機能を壊すことなく暗号化することはできません。

暗号学者であるブルース・シュナイアーが結論付けたように、「私たちがEメールやEメールシステムに求めるものは、暗号化と容易に互換性がありません。」

プライバシーとセキュリティの間の避けられないトレードオフ

強力なプライバシー保護と不正行為に対処する能力の間には、固有の緊張関係があります。スパムフィルター、フィッシング検出、マルウェアスキャンはすべてメールコンテンツの読み取りを必要とするか、少なくとも読み取れる場合に最も効果的に機能します。メッセージを実際に見ることができないプロバイダーは、メッセージ内の脅威から効果的に保護することはできません。

これは実際の結果をもたらします。サーバーサイドのコンテンツ検査により、プロバイダーはリンクや送信者のパターンを分析してフィッシングの試みを特定できます。マルウェアが受信トレイに到達する前に隔離できます。異常な行動パターンを認識することで、アカウントの侵害を検出できます。これらの保護機能は、エンドツーエンド暗号化では削減または排除されます。

独自のバランスを選ぶ

メールセキュリティは二項対立ではなく、トレードオフのスペクトラムです。トランスポート暗号化（TLS）は現在普遍的であり、受動的な監視から保護します。保存時の暗号化は、物理的な盗難から保護します。ゼロアクセス暗号化は、内部関係者のアクセスを制限しますが、機能性を犠牲にします。真のエンドツーエンド暗号化は最も強力なコンテンツ保護を提供しますが、ほとんどのユーザーにとっては依然として非現実的であり、それ自体にもかなりのユーザビリティとセキュリティの問題があります。

非常に機密性の高い通信については、Signalのような専用メッセージングアプリは、どのメールソリューションよりも強力な保証を提供します。日常的なメールについては、保存時の暗号化と組み合わせたトランスポート暗号化は、メールを便利にする検索性、スパムフィルタリング、利便性を維持しながら、最も可能性の高い脅威に対して実質的な保護を提供します。

正直に言うと、ジャーナリストが情報源を保護しようとしている場合、または国家レベルの敵対者に直面している場合は、メールを使用すべきではありません。暗号化されたメッセージングアプリを使用してください。しかし、大多数の通信においては、最新のメールセキュリティは、メールを不可欠なものにしている機能を維持しながら、実質的な保護を提供します。

Fastmailのメールと暗号化への継続的なアプローチ

Fastmailは25年以上にわたりメールサービスを提供してきました。メールはあなたの電子メモリであり、メッセージをアクセス可能、プライベート、安全に保つことが私たちの最優先事項であることを知っています。私たちは、転送中およびサーバー上での暗号化、強力な認証オプション、そしてMasked Emailのような革新的な機能により、あなたのメールをプライベートかつ安全に保ちます。私たちは、完全なマルチデータセンター冗長性、そして数十年にわたるメールを容易に処理できる強力な検索機能を備えた超高速インターフェースによる、揺るぎない信頼性に注力することで、メールをアクセス可能に保ちます。私たちは、利用可能なすべての技術的および実用的なオプションを考慮に入れ、可能な限り最高の全体的なユーザーエクスペリエンスとプライバシーを提供するために必要なトレードオフを定期的に評価しています。