情報処理安全確保支援士(情報セキュリティスペシャリスト) 試験情報＆徹底解説

掲題についてご教示頂きたく。。

なりすましメールにて実際にどこから発信されたか=詐称できない部分、ってエンベロープアドレスという認識だったのですが、参考書ではエンベロープアドレスは詐称可能とあります。

これだと全部詐称できてしまう気がするのですが、本当にエンベロープは詐称できてしまうのでしょうか？

何の認証対策もしていない前提ですが。
メールサーバが踏み台にされる場合や、メールが転送される場合は、質問者様のいうアドレス詐称のような動作になると思います。

あとエンベロープアドレスの詐称と、エンベロープのフロムの詐称では意味が異なるのでお気をつけ下さい。

エンベロープにはエンベロープToとエンベロープFromがあって、エンベロープToには正しい情報を書かないといけません。ここが間違ってるとメールが届けられないので
エンベロープFromの方は書き換え可能です。ドメイン認証を特に行わない場合、ここが利用されるのはエラーメール発送の時だけですので、適当なアドレスでも大丈夫です。

ちなみに、普段私たちがメーラーなどで見ている差出人(from)はヘッダfromに書かれている情報ですね。これもメール送受信には関係ないので、書き換え可能です。

じゃあ何も信じられないじゃん！どうすればいいの？
→ドメイン認証しよう！というロジックですね。