サーバ間の暗号化について

質問

ちょっと質問させてください。
サーバ"A"（ホスティング業者から借りている共専用サーバ、RedhatEL）に設置してある仮想サイトwww.hogehoge.jp 内に、phpで作成した「問合わせフォーム」があるのですが、これはphpを介して任意のmailアドレス（mail.hoge.co.jp というメールサーバ）宛に
www.hogehoge.jpより入力した情報が当該サーバのsendmailにて転送されるようになっております。（いわゆる普通のメールフォームCGIです）※閲覧したクライアント側から"www.hogehoge.jp"のフォームまでの間はSSLで暗号化してあります。

そこで"www.hogehoge.jp"より　mail.hoge.co.jp宛のメール通信を暗号化しなくては意味がないのでは？と思っているのですが、通常はこういう場合、暗号化されているのでしょうか？
又　暗号化されていない場合、どこを設定変更すればよいのでしょうか？どのような作業手順が想定されるか知りたくて質問いたしました。
どなたかお分かりになられる方ポインタでも結構です。ご教示いただければ幸いです。お手数ですがよろしくお願いします。

回答No.2

774danger

> そこで"www.hogehoge.jp"より　mail.hoge.co.jp宛のメール通信を暗号化しなくては意味がないのでは？と思っているのですが、通常はこういう場合、暗号化されているのでしょうか？

普通にSMTPで渡したのであれば暗号化はされません
ですので、

・サーバAとメールサーバを共に盗聴のできないセキュアな場所に置く
　(鍵のかかったサーバ室等)
・サーバAとメールサーバが離れた場所にある場合は、通信路自体をIPsec等で暗号化して守る
・メールサーバとメールクライアント間はPOPSで受信する

というところまで対処しないと、サーバAとメールサーバ間、メールサーバとクライアント間における盗聴対策になりません

お礼

続けてご丁寧な回答ありがとうございました！
よくわかりました。
参考にさせていただきます！

回答No.1

superside0

その場合は、Webサーバーからメールサーバーへの通信データは暗号化されていません。
また、そこを暗号化したとても、POPで取り出す通信経路や、さらにメール転送されたり、容量オーバーでエラーメールが管理者に飛んだ場合などでは、結局、暗号化されません。

なので、機密性が重要なメールであるなら、通信経路ではなく、メールデータ自体を公開鍵方式で暗号化する必要があります。

もし、お使いのCGIがそれに対応していないのであれば、
メール本文や添付ファイルを特定ユーザーが持っている鍵がないと開けないように、暗号化処理をプログラムすることになります。

コスト的に合わなければ、メールに重要データを入れる方式をやめて、
登録されたことだけがメールに届くようにして
内容確認は、ブラウザからSSL経由でWebサーバに溜まったデータを見に行くような方式にしたほうが、簡単です。

お礼

ありがとうございました！
よくわかりました。