6.1. DNS Attacks
The new mechanism is entirely dependent on DNS lookups, and is therefore only as secure as DNS. An attacker bent on spoofing messages could attempt to get his messages accepted by sending forged answers to DNS queries.
6.1. DNS攻撃
新しい機構はDNS検索に完全に依存しており、それゆえDNSと同程度の安全度しかない。偽称メッセージにふける攻撃者は、DNS問い合わせに偽称応答を送ることで自分のメッセージを受け入れさせるような行動がとれるだろう。
An MTA could largely defeat such an attack by using a properly paranoid DNS resolver. DNS Security (DNSSEC) may ultimately provide a way to completely neutralize this class of attacks.適切に被害を想定しているDNSリゾルバを使うことで、MTAははこのような攻撃の大部分を打ち破ることができるだろう。DNSセキュリティ（DNSSEC）が最終的に、この種の攻撃を完全に無効化する方法を提供するかもしれない。
6.2. TCP Attacks
This mechanism is designed to be used in conjunction with SMTP over TCP. A sufficiently resourceful attacker might be able to send TCP packets with forged from-addresses, and thus execute an entire SMTP session that appears to come from somewhere other than its true origin.
6.2. TCP攻撃
本機構はTCP上のSMTPと共に使用するように設計されている。十分に能力の高い攻撃者は偽称FROMアドレスのついたTCPパケットを送って、それによって真の発送元以外の別の場所から来たように見せかけたSMTPセッションを完全に実行できるかもしれない。
Such an attack requires guessing what TCP sequence numbers an SMTP server will use. It also requires transmitting completely in the blind -- the attack will be unable to hear any of the server's side of the conversation.このような攻撃には、SMTPサーバが使うTCPシーケンス番号を推測する必要がある。また、完全に当てずっぽうで伝送する必要もある。すなわち、攻撃側はSMTPトランザクションのサーバ側の部分を聞くことができないのである。
Attacks of this sort can be ameliorated if IP gateways refuse to forward packets when the source address is clearly bogus.送信元アドレスが明らかに偽物である場合にIPゲートウェイがパケットの転送を拒否すれば、この種の攻撃を改善できる。
6.3. Forged Sender Attacks
This mechanism chooses an address to validate either from one of a number of message headers or from the RFC 2821 MAIL command, and then uses that address for validation. A message with a true Resent-From header or Return-Path, but a forged From header, will be accepted. Since many MUAs do not display all of the headers of received messages, the message will appear to be forged when displayed.
6.3. 送信者偽称攻撃
本機構は、多数のメッセージヘッダから、あるいはRFC2821 MAILコマンドから検証すべきアドレスを選択し、そのアドレスを検証に使う。真正なResent-FromヘッダやReturn-PathはあるがFromヘッダが偽称されているメッセージは受け入れられることになる。MUAには受信メッセージの全ヘッダを表示しないものが多いため、表示される際にはメッセージは偽称されたアドレスを示すだろう。
In order to neutralize this attack, MUAs will need to start displaying at least the address that was verified. In addition, MTAs could subject messages to heightened scrutiny when the validated address differs from the From header.この攻撃を無効化するためには、MUAが少なくとも検証済みのアドレスを表示するようになる必要がある。さらに、MTAは有効なアドレスがFromヘッダと異なる場合にメッセージをさらに精密な検査の対象にできる。
6.4. Address Space Hijacking
This mechanism assumes the integrity of IP address space for determining whether a given client is authorized to send messages from a given PRA. In addition to the TCP attack given in Section 6.2, a sufficiently resourceful attacker might be able to alter the IP routing structure to permit two-way communication using a specified IP address. It would then be possible to execute an SMTP session that appears to come from an authorized address, without the need to guess TCP sequence numbers or transmit in the blind.
6.4. アドレス空間の乗っ取り
本機構は、あるクライアントがメッセージ送信の権限を持っているかを、あるPRAから決定するために、IPアドレス空間の一貫性を仮定する。6.2のTCP攻撃に加え、十分に能力の高い攻撃者は、IP経路制御構造を変更して特定のIPアドレスを使う2方向通信を可能できるかもしれない。そうなれば、TCPシーケンス番号を推測したり、当てずっぽうで伝送する必要なしに、権限のあるアドレスから来たように見えるSMTPセッションを実行できるだろう。
[Page 12]
| 《PREV》 |