メーリングリストと DMARC
取引先 example.net（DMARC ポリシーは p=reject）の社員が，lists.example.org が運営するメーリングリストに投稿したメールが，購読者である A 社の受信サーバで拒否された。メーリングリストは，件名の先頭にタグを付け，本文の末尾にフッタを加え，エンベロープ From を lists.example.org のアドレスに変えて配信しており，ヘッダ From は投稿者のアドレスのままである。example.net の SPF レコードは自社の送信サーバだけを許可し，lists.example.org の SPF レコードはメーリングリストのサーバを許可している。運営者が件名のタグとフッタの付加を続けたまま，このようなメールを購読者に届くようにする対策として，最も適切なものはどれか。
- アエンベロープ From を投稿者のアドレスのままにして配信し，SPF の認証が example.net のドメインについて行われるようにする。
- イ配信時に lists.example.org のドメインで DKIM 署名を付け直し，改変後のメールでも署名の検証が成功するようにする。
- ウヘッダ From をメーリングリストのアドレスに書き換え，投稿者の名前は表示名で示し，返信先は Reply-To で指定する。
- エヘッダ From は投稿者のアドレスのままとし，メーリングリストのアドレスを設定した Sender ヘッダを追加する。
正解と解説を見る
正解 ウ
この問題の基礎知識
- エンベロープ From は SMTP の MAIL FROM で示す送信者，ヘッダ From（RFC5322.From）はメールのヘッダに記載され受信者に表示される差出人である。SPF は前者を，DMARC は後者のドメインを評価の対象とする。
- DKIM は，送信側が本文や指定したヘッダから計算した署名を付け，受信側が d= のドメインで公開された公開鍵で検証する仕組みであり，署名の対象を途中で改変すると検証に失敗する。
- DMARC のアラインメントは，pass した SPF 又は DKIM の識別子のドメインとヘッダ From のドメインが，厳格モードでは完全に一致し，緩和モード（既定）では組織ドメインが同じであることをいう。
- Sender ヘッダは実際の送信者を，Reply-To ヘッダは返信先を示す。表示名は，ヘッダ From のアドレスの前に付ける表示用の名前である。
SPF は，送信元のサーバがエンベロープ From のドメインの SPF レコードで許可されているかを確かめる。メーリングリストのサーバは example.net の SPF レコードで許可されていないので，SPF は pass にならない。
DMARC は，検証に成功した署名のドメインがヘッダ From のドメインとアラインメントすることを求める。lists.example.org は example.net と組織ドメインが異なるので，署名の検証に成功しても DMARC は pass にならない。
投稿者側で DKIM 署名を付けていても件名とフッタの改変で検証に失敗し，SPF の pass もヘッダ From の example.net とアラインメントしないので，DMARC が fail となり拒否されていた。ヘッダ From を lists.example.org にすれば，SPF の pass がアラインメントする。
DMARC が評価するのはヘッダ From（RFC5322.From）のドメインであり，Sender ヘッダは評価の対象にならない。ヘッダ From が example.net のままなので，SPF も DKIM もアラインメントせず，DMARC は fail となる。
照合の根拠（7 件）
- ウ（正解）: ヘッダ From をメーリングリストのドメインに書き換えるのが対策の一つ
Configuring the Mailing List Manager (MLM) to alter the RFC5322.From header field to use the domain of the MLM is a mitigation policy that is now present in several different Mailing
RFC 7960 · Section 4.1.3.3（新しいタブで開きます） - ウ（正解）: 投稿者は表示名で示す。続く記述で Reply-To による返信先の指定にも触れている
Since most list subscribers prefer to know the identity of the Author of the original message, typically this information may be provided in the display name part of the RFC5322.From header field.
RFC 7960 · Section 4.1.3.3（新しいタブで開きます） - ウ（正解）: 件名へのタグやフッタの付加で投稿者側の DKIM 署名は検証に失敗する
Any such modifications would invalidate a DKIM signature.
RFC 7960 · Section 3.2.3（新しいタブで開きます） - ア: エンベロープ From を example.net にすると，example.net の SPF レコードで許可されていないメーリングリストのサーバは pass にならない
An SPF record is a DNS record that declares which hosts are, and are not, authorized to use a domain name for the "HELO" and "MAIL FROM" identities.
RFC 7208 · Section 3（新しいタブで開きます） - イ: lists.example.org の署名が有効でも，ヘッダ From の example.net とアラインメントしないので DMARC の pass にならない
Identifier Alignment is required because a message can bear a valid signature from any domain, including domains used by a mailing list or even a bad actor.
RFC 7489 · Section 3.1.1（新しいタブで開きます） - エ: DMARC が評価するのはヘッダ From のドメイン
The domain in the RFC5322.From field is extracted as the domain to be evaluated by DMARC.
RFC 7489 · Section 6.6.1（新しいタブで開きます） - エ: Sender ヘッダを評価の対象にすることは採用されなかった
The DMARC development team considered this and decided not to include support for doing so, for the following reasons:
RFC 7489 · Appendix A.3（新しいタブで開きます）