平成28年度 秋期 情報セキュリティマネジメント試験 午前 問28
テクノロジ／セキュリティなりすましメールでなく，EC（電子商取引）サイトから届いたものであることを確認できる電子メールはどれか。
出典：平成28年度 秋期 情報セキュリティマネジメント試験 午前 問28
- ア送信元メールアドレスがECサイトで利用されているアドレスである。
- イ送信元メールアドレスのドメインがECサイトのものである。
- ウディジタル署名の署名者のメールアドレスのドメインがECサイトのものであり，署名者のディジタル証明書の発行元が信頼できる組織のものである。
- エ電子メール本文の末尾にテキスト形式で書かれた送信元の連絡先に関する署名のうち，送信元の組織を表す組織名がECサイトのものである。
正解：ウ
解説
なりすましメールでないことを確認するには、送信元アドレスの見た目だけでなく、電子署名（ディジタル署名）によって署名者本人であることと、その署名に用いられたディジタル証明書が信頼できる認証局から発行されたものであることを検証する必要があります。
選択肢ごとの解説
- ア誤り。送信元メールアドレスはヘッダ情報にすぎず、容易に詐称できるため、それだけではなりすましでないことの確認にはなりません。
- イ誤り。送信元メールアドレスのドメインも同様に詐称が可能であり、それだけでは確認手段として不十分です。
- ウ正しい。ディジタル署名の署名者アドレスのドメインがECサイトのものであり、かつ証明書の発行元が信頼できる組織であることを確認すれば、なりすましでないことを確認できます。
- エ誤り。本文末尾のテキスト署名は誰でも自由に記載できるため、組織名が一致していてもなりすましを防ぐ根拠にはなりません。