第4回 送信側対策：OP25Bや送信認証で元から絶つ

　メールシステムの管理者にとって，受信側の迷惑メール対策だけではなく，自社が迷惑メールの送信に加担していないか，または自社のドメイン名が悪用されやすくなっていないかにも注意が必要だ。第1回で例を示した通り，自社のパソコンが知らない間に不正プログラムに感染し，ボットとなって外部から遠隔操作され，迷惑メールを送る側になっているかもしれない。

　迷惑メールの受信者は，ドメイン名の登録者情報が管理されているWHOISデータベースで接続元IPアドレスを参照することにより，そのネットワークの管理者を知ることができる。そのため，迷惑メールが知らずに送信されているような場合でも，その企業や団体のイメージダウンは避けられない。ボットによる迷惑メール自体の通信量は，他のアプリケーションに比べてそれほど大きくないため，なかなか送信側で気付かないことが多い。迷惑メールの送信対策は，意識的に実施すべきことだ。

OP25Bによって日本の迷惑メールは激減

　セキュリティソリューションを提供する英Sophosによれば，2008年4月～6月期において，迷惑メール（スパム）送信国として日本は33位であったと報告されている（発表資料）。2004年8月に発表された同社のランキングで日本が6位であったことや，その後の日本の急速なブロードバンド回線の普及状況を考えると，日本の迷惑メール対策は比較的うまく機能していると言えるだろう。

　その迷惑メール送信を抑制する対策技術の一つがOP25B（Outbound Port 25 Blocking）である。

　日本の迷惑メール対策を推進しているグループであるJEAG（Japan Email Anti-Abuse Group）は，2006年2月にこれまでの活動で検討してきた対策技術をまとめたリコメンデーションを発表した（PDF形式の発表資料）。OP25Bはこれらの対策技術の一つで，送信側で迷惑メールを出させないようにするため，動的IPアドレスから受信側のメールサーバーへ直接メールを送信するような通信をブロックする技術である。

　インターネット・サービス・プロバイダ（ISP）を利用する一般ユーザーは，通常はISPのメールサーバーを介してメールを送信するため，ISPのネットワーク外のメールサーバーに対して，SMTPが使用するTCPの25番ポートを直接利用してメールを配送することはほとんどない。一方，迷惑メール送信者やボットなどのパソコンがこういったメールの直接配送を行うため，その経路を遮断することで迷惑メールの送信を抑制することができる。

　日本データ通信協会の調査によれば，OP25Bなど何らかの制限を実施あるいは予定している通信事業者は52社にのぼるという（図1，2008年6月25日時点）。前述のSophosが発表しているランキングにおいて，日本が12位（dirty dozen）から急落したのが2006年末から2007年にかけてだ。日本でOP25Bの実施が急増した時期と一致していることからも，その効果があったと考えられる。

図1●OP25Bなど何らかの制限を実施あるいは予定している通信事業者の数（2008年6月25日時点）

[画像のクリックで拡大表示]

　ただし，OP25Bは迷惑メール対策に有効な一方で，一部のユーザーには弊害が生じる恐れがある。接続回線として利用しているISPと異なる事業者が提供するメールサーバーを利用している場合や，企業ユーザーでメールサーバーをホスティングなどの外部委託をしているような場合である。そうしたユーザーでは，メール送信ができなくなってしまう。

　その対策として有効なのは，MUA（Mail User Agent，メールクライアント）からメールサーバーへのメール投稿に，587番ポート（サブミッションポート）を使用することである。そもそも25番ポートは，メールサーバー間のメール配送に使われるものであり，RFC4409では，MUAからメールサーバーへのメール投稿には587番ポートが推奨されている。しかし現状では，25番ポートの使用がまだ一般的であり，OP25Bの実施とともに587番ポートが利用できるメールサーバーが増えてきてはいるものの，まだ完全に普及したとは言いがたい。MUAの標準設定が587番ポートとなるくらいまで，認知率向上が必要である。