S/MIMEデジタル署名によるフィッシング・迷惑メール対策

 （2024年7月18日）

電子メールを暗号化し，デジタル署名をつける規格にS/MIMEがあります。

• デジタル署名は，送信者が電子メール証明書（セキュリティ証明書）を購入して，送信者の秘密鍵でおこないます。
• メールの暗号化は，受信者が電子メール証明書（セキュリティ証明書）を購入して，受信者の公開鍵でおこないます。

しかし，S/MIMEによる暗号化は以下の理由であまり普及していません。

• S/MIMEに対応していない電子メールクライアントソフトがあります。
• 費用がかかります。証明書は年に2000円程度します。
• 秘密鍵の管理が面倒です。証明書の期限は数年なので，秘密鍵がどんどんたまります。しかも，保存しておかないと過去のメールが読めなくなります。受信した暗号化メールは，復号して保存できればよいのですが，現状のメーラーにそのようなオプションはないようです。
• メーリングリストなどには使うことができず，主に一対一のやり取りにしか使えません。

そこで，本文暗号化は簡便に，電話や郵送でパスワードを教えあい，ワープロ（Wordなど）の文書を暗号化して添付する，共通鍵暗号による方法が用いられます。その際「パスワードは次のメールで送ります」という場合を見受けますが，パスワードが盗まれる危険性があるので，このような暗号理論に反す方法はやめるべきです。

一方，S/MIMEのデジタル署名は時々見かけます。デジタル署名によって，フィッシングメールや迷惑メールでない事を証明できるからです。2017年頃からgmailもS/MIMEのデジタル署名に対応しました。

以下は，みずほ銀行からのデジタル署名付きのメールです。

このように，電子メールにS/MIMEのデジタル署名を付ければ，受信者に追加負担をかけることなく，フィッシングメールでないことを安全確実に示すことができるので，銀行や企業が顧客に送るメールにはぜひ署名をつけて頂きたいと思います。