Ｓ／ＭＩＭＥと覗き見

どの会社でも電子メールの利用はあたりまえです。電子メールは何も対策をしないと、ネット上で盗聴されるのが心配です。盗聴でメールの内容を把握した攻撃者が、なりすましを行って相手にメールを送ることも心配です。

そこで、メールの通信を暗号化をすれば、メールの経路上での盗聴を防ぐことができます（下図）。

しかし、通信だけを暗号化しても、メールサーバーには暗号化されていないメールが保存されます。攻撃者がメールサーバーに不正アクセスすれば、メール本文を盗み見ることが出来ます。

全体最適の視点から、メールのやり取りによる盗聴やなりすましを防ぐ対策としては、通信の暗号化だけではもの足りないのです。

そこで、S/MIMEの利用を検討します。S/MIMEはメールそのものを暗号化することで、盗聴を防ぐとともに、そのメールが他人によってなりすましがされたものでないことを受信者が検証する仕組みです。

下図はS/MIMEのイメージです。送信者であるＡさんはＢさんの証明書（Ｂさんの公開鍵）を使ってメールを暗号化します。受信者であるＢさんは自身の秘密鍵でメール本文を復号します。署名は送信者であるＡさんは自分の秘密鍵を使って暗号化します。受信者であるＢさんはＡさんの証明書で（Ａさんの公開鍵）署名を検証します。S/MIMEは、メール電子署名を行うことで、送信者がメールを送信した事実を証明します（これは「否認防止」という情報セキュリティに求められる特性のひとつです）。送信者を偽装したなりすましを防ぐことができます。また、配信途中での改ざんを検知することができます（これは「完全性」という情報セキュリティに求められる３大要素のひとつです）。

ただ、S/MIMEの普及はイマイチです。JIPDEC（一般財団法人日本情報経済社会推進協会）による「企業IT利活用動向調査2020」を見てみると、「S/MIME（メールの暗号化）を設定する」と回答している企業は、３０％程度しかありません。ちなみに悪名高い！？「zipパスワードによる添付ファイルの暗号化（PPAP方式）」いまだに４５％を超えています。

S/MIMEを利用していた会社の知り合いはこう言っていました。

証明書が失効すると過去のメールの復号できないし、何かと手間がかかるよ。

S/MIMEを使っていくには、証明書が失効していないことを確認し、後でも参照する可能性のあるメールは、別なサーバー上に保管しておく必要があります。もちろん、保管サーバーも不正アクセスが出来ないように対策をしておく必要があります。

何かと手間のかかるS/MIMEを導入しても、他人によるメールの覗き見が完全に防げるわけではありません。

たとえば、背中越しからあなたのパソコンを覗き見して、メールの内容を知ろうとする人がいるかもしれません。この覗き見は「ショルダーハック」という「ソーシャルエンジニアリング」のひとつです。ソーシャルエンジニアリングとは、人間の心理的な隙やミスにつけ込んで、秘密情報を入手する方法です。