[情報SEC]第19回 POP3の脆弱性と対策

第19回　POP3とDNSの脆弱性と対策

POP3はメールをメールサーバからメールを受信するためのプロトコルだ。
他にもIMAP4などがある。
3というからには、POPもPOP2もあったはずだが、水神が物心ついたところにすでにない。

...言い過ぎか。ぼくがこの分野に入った時にはもう3だった。
POP3の脆弱性は他と一緒だ。セキュリティゆうとみんなこれだの。
認証情報とメール本文が共に平文でネットワークを流れる。

その辺のHUBにスニファー(パケットキャプチャ機器・ソフト...他のでもよい。)を
つけて放っておくと、POP3のユーザ/パスワードが流れまくってるのが分かる。
メール盗み放題だの。

認証情報が平文で流れるのを防ぐためにAPOPというのが出ている。
チャレンジ・レスポンス方式のユーザ認証だ。
この方式については、いずれ出てくるんでしょう。...たぶん。

あまりにも有名な方式なので。
APOPは結構普及していて、最近のメーラならAPOPチェックボックスが大概ついておる。
当然サーバ側もこれに対応している必要がある。

けれども。
インターネット上をPOP3を流すこと自体まちがっとるの。
危険なのでやめましょう。

通常は企業内LANだし、個人の場合でも接続プロバイダのメールをそのまま
使っていれば、事実上インターネット流れてないといえる。
信用できるプロバイダなら。だが。

この本には、POP3 over SSL(TLS)ものっとるが、まあどうでもよいでしょう。
SSHのポートフォワーディングも使えるというのは以前説明したFTPのと同じことだ。
いずれにせよ、インターネットを介してメールの受信は危険です。できるだけ回避しましょう。

DNSの脆弱性
...これ、まえやったよね。
この本にも第二章で説明済みと書いてある。なので、省略。