POP3関連の脆弱性とその対策

セキュリティ

だんだんと要約が億劫になってきた。でもがんばる。
　

POP3の脆弱性

もはや箇条書きにするまでもない定番。
認証情報とメッセージ本文が平文でやりとりされること。
これ以上でも以下でもない・・・らしい。
　

POP3の脆弱性対策

早い話が暗号化。その手法をいくつか紹介。

APOP

Authenticated Post Office Protocol
メールサーバーとMUAの間でチャレンジレスポンス方式を用いた認証を行う。
ただしメッセージ自体は平文でやりとりされる。
　

POP3 over SSL POP3 over TLS

POP3Sともよばれる。
それぞれ、クライアントとメールサーバーの間の通信を暗号化してメールを受信。
これだとメッセージも暗号化されるが、メールサーバより前では暗号化が行われていないので注意。
使用するポートは 995。POP3が稼働するサーバーでは995番へのアクセスを110番にポートフォワーディングする。
　
ちなみにポートフォワーディングとは
http://e-words.jp/w/E3839DE383BCE38388E38395E382A9E383AFE383BCE38387E382A3E383B3E382B0.html
今回の場合はPOP3サーバーが自身の995から110へとデータを転送するという意味（だと思う）
　

SSHによるポートフォワーディング

POP3Sと同様にSSHで通信を暗号化。
この場合は22番ポートを用い、クライアント・サーバー共に通信をSSHが代行する。
　
POP3Sとの違いは、POP3以外にもFTPなどで利用される点か？