2016年2月9日、Google のメールサービス「Gmail」が、SSL/TLS暗号化に対応していないメールサーバと、メールを送受信した際に「開いた赤い錠」のアイコンを表示して、セキュリティ警告を表示するようなりました。自分が管理しているメールサーバで、この警告が表示されてしまうと、ちょっと困りますね。そこで今回は、Postfixで非暗号化接続メールの警告表示をされないようにする方法をまとめてみました。
非暗号化接続メールとは？
非暗号化接続メールとは「メールサーバ間の通信が暗号化されずに」送受信されたメールのことを指します。下の図では、右側のメールサーバが、メールサーバ間通信の暗号化に対応していないため、メールの内容が暗号化されずに、インターネットを介して送受信されます。Googleではこの状態を「郵送中のハガキ」と説明しています。分かりやすい例えですね。
ほとんどのメールプロバイダは「クライアントとメールサーバ間」の暗号化には対応しているため「メール暗号化対応」とうたっていますが、残念ながらメールサーバ間の暗号化に対応しているプロバイダは、現状では少ないようです。
Googleのより安全なメール透明性レポートで確認してみると、かなりの大手プロバイダでも、メールサーバ間の通信暗号化には対応していないようです。規模が大きいが故に対応が難しいのかもしれませんね。
ただ Google の意向としては「暗号化に対応していないメールサーバとは、機密情報をやり取りしないでね！」ということらしいです。(^^;)
メールの作成中に赤い錠が表示される場合
そのメールアドレスへは、納税申告書や契約書などの機密資料を送信しないでください。受信メールの閲覧時に赤い錠が表示される場合
そのメールは送信時に暗号化されませんでした。通常、この場合は対処法がありません。特に慎重に扱うべき情報がメールに含まれている場合は、送信者にメールのサービス プロバイダへ連絡するよう伝えてください。
受信メールの赤い錠への対応
メールサーバ間が暗号化されずに、Gmailで受信したメールには、送信者のメールアドレスの下に、開いた赤い錠のアイコンが表示され、詳細を見ると「＜ドメイン名＞はこのメッセージを暗号化していません」と書かれてしまいます。
対応方法は Postfix の設定ファイルに以下のパラメータを追加します。これにより、宛先のメールサーバがTLSに対応していれば通信を暗号化してくれます。（Gmailは当然TLSに対応しています）
sudo vim /etc/postfix/main.cf
Postfix 2.3以降の場合
Postfix 2.2の場合
設定を読み込み
参考資料：smtp_tls_security_leve | Postfix設定パラメータ
メールを送信してみると、赤い錠が消えて、暗号化されていることが確認できると思います。
メール送信時の赤い錠への対応
Gmailでメッセージ作成時に、送信先のメールサーバが、SSL/TLS暗号化に対応していない場合には、開いた赤い錠のアイコンが表示されます。
さらに赤い錠アイコンをクリックすると、「暗号化されないので機密情報は送らないほうがいいよ！」旨の警告が表示されます。
メール送信時の対応方法は、メールサーバをSSL/TLS暗号化に対応する必要があります。少し設定が大変ですが「SSLメールサーバ構築メモ Let's Encrypt+Postfix+Dovecot」の記事が参考になるかもしれません。
終わりに（メールの非暗号化通信について思うこと）
Gmailで受信したメールを見て気づいたのですが、アマゾンやGitHubなど、海外系サービスからのメールには、赤い鍵アイコンがほとんど表示されていないのですが、国内系サービスからのメールは、大手ECサイト、ネットバンキングも含め、多くのメールに非暗号化通信を示す、この「開いた赤い錠のアイコン」が表示されていました。
意外だったのは、国内企業のセキュリティを指導する立場にある、IPA（情報処理推進機構）からのメールにも「ipa.go.jp はこのメッセージを暗号化していません」（2016年2月14日現在）と表示されていたことです。このことから察するに、おそらく日本国内では、メールサーバ間通信の暗号化は、あまり重要とはされていないように思えます。
しかし、メールは依然として、ビジネスで使われる重要なインフラです。そしてそのメールの本文には、明日を左右するような重要な機密情報や、個人情報が書かれ毎日送受信されています。そのような情報を暗号化せずに、インターネットで通信することは、この上なく危険だと思うのは私の考え過ぎなのでしょうか？
コメント
経路が暗号化されていてもサーバー上のストレージが暗号化されていないという・・・