要約

  • RFC 3965では、ファクスゲートウェイからの発信を独立して認可すべき行為として扱う。メールの全受信者に自動で受け継がれる権利ではない。
  • 全員返信は、権限再利用の仮定上の例である。許可は特定の送信者とメッセージに結び付けるべきであり、RFCは実際の侵害を報告していない。

メールアドレスの行き先は、受信箱だけとは限らない。RFC 3965のモデルでは、Internet faxのオフランプも宛先になり得る。オフランプはメールを受け取り、Group 3ファクス機に電話をかけるソフトウェアだ。同じ送信経路に、Internetメールの中継と、電話網の資源や料金を伴う発信という、性質の異なる二つの行為がある。

その境界は、ありふれた操作に予想外の意味を与える。受信者が「全員に返信」を選べば、新しいメッセージが元の宛先に含まれていたファクスゲートウェイにも届くかもしれない。ゲートウェイが前の送信者の許可を再利用すれば、最初のファクスを認められた本人ではない人が書いた返信から、次の電話発信が起き得る。RFCはこれを悪意のない再生例として挙げる。脅威モデルの例であり、ファクスが実際に再送された事件や侵害の記録ではない。

区別は、ゲートウェイが受け取る情報から始まる。電話番号とオフランプのホスト参照は、SMTPのRCPT TOなど、メールのトランスポート欄に置く。アドレスのローカル部は、ドメインで指定されたメール転送エージェントが解釈する。したがってゲートウェイは、ファクス機のアドレス帳からコピーされる項目ではない。メッセージを電話発信に変えてよいかを判断するサービスだ。複数の利用者向けならMTAとして、一人向けならユーザーエージェントとして動作し得る。

表示されたメールアドレスだけでは、書き手も確定しない。RFCによれば、実際の送信者は本文ヘッダーのFromやSender、SMTPエンベロープのMAIL FROMと異なる場合がある。SMTP自体には、メッセージ作成者を認証する仕組みがない。ゲートウェイは送信元を認証して独自の許可表を照合したり、送信元ホストやネットワークでフィルターしたりできる。一方でRFCは、このサービス向けのInternetプロトコル上の標準認可方式はなかったと明記する。ここで示されるのは守るべき制御境界であって、相互運用できる標準トークンではない。

規則は明快だ。認可は、特定の送信者と特定のメッセージの双方に関連付ける必要がある。そうしなければ、あるファクスのための許可が、後のメッセージにも黙って適用されかねない。宛先一覧が同じだからといって十分ではない。返信は同じアドレスを保ちながら、書き手、内容、目的、時刻を変える。会話が続いていても、権限が続くとは限らない。

同じ境界には別の漏えいもある。発信に必要な情報、たとえばテレホンカードの認可番号が宛先パラメーターに入り、ファクスの表紙に印字される可能性がある。RFCは送信者にその開示を防ぐ手段を提供するよう勧めるが、標準的な保護策はまだなかったとも述べる。また、受信側が発信元を追跡できるだけの情報を求める。FromやMAIL FROMだけでは足りない。認可、秘密保持、説明責任は関連するが、互いの代わりにはならない。

失敗通知も段階を分けて考える必要がある。SMTPの中継に失敗すれば、失敗通知を生成し、できればDSN（配送状態通知）の形式を使う。ファクス機がTIFFを処理できない場合は別の失敗であり、通知方法はローカルの判断に委ねられる。メールの中継成功は、ファクスが印刷されたこと、読まれたこと、人が受領したことの証明ではない。バウンスもファクス側の最終結果を示さない。仕様は複数の段階を記述するが、それらを一つのエンドツーエンド受領証にはしていない。

RFC 3965の歴史的な意味は、メールの会話と操作権限のずれを見える形にしたことだ。宛先が残っても、新しいメッセージの権限関係は変わり得る。ファクスアドレスが転記された事実だけで発信権限を推測してはならない。誰の許可がどのメッセージに適用されるかを、ゲートウェイが判定する必要がある。RFCはその設計問題を記録しているが、実際のゲートウェイでの発生頻度や解決状況は測っていない。

出典：RFC 3965、RFC 2305、RFC 3191、RFC 3192、RFC 3461、RFC 3464、RFC 5321、RFC 5322、RFC 3949、RFC 2306。