「APOPにパスワード漏洩の脆弱性」記事へのコメント

HMAC

[Anonymous Coward]

> 根本的な解決にはMD5の代わりにSHA-256を使うなどの方法があるのでは無いかと思います。

代わりに使うべきなのは、ハッシュ関数そのままじゃなくてHMACとかじゃないの?

Re:HMAC

[saitoh (10803)]

根本的な解決は、パスワードしか暗号化しないAPOPを使うことを止めることでは？

記事中にもPOP over SSLが例示されているけど。 僕は、POP over SSHを使ってます。某駅前のホテルサンルートのLANサービスではではSSHポートが閉められていて、泣きました。

Re:HMAC

[kayakiss (20105)]

>根本的な解決は、パスワードしか暗号化しないAPOPを使うことを止めることでは？
私もそう思ったのですが、メールボックスから自分のクライアントマシンの間だけメールコンテンツを暗号化しても、そのメールボックスに届くまでの間は暗号化されてないですよね。

そう考えると、APOPのようにパスワードのみ暗号化するというアプローチは、パスワードを守るという点において、十分な解決方法だったと思います。もちろんPOP over SSLでもPOP over SSHでも十分でしょう。

ただ、メールコンテンツを守りたい場合は、メールそのものをS/MIMEやPGPで暗号化する必要があって、SMTP over SSLやPOP over SSLでは限られた範囲でしか効果がないです。

Re:HMAC

[Stealth (5277)]

SMTP over TLS にしたら、SMTP サーバの双方が対応していれば SMTP セッションは暗号化されますよ。

SMTP over TLS で送信者 MUA →メールサーバ (Submission)、SMTP over TLS でメールサーバ→メールサーバ (SMTP)、POP3/IMAP4 over TLS でメールサーバ→受信者 MUA (POP3 or IMAP4) は可能です。

もちろん非対応サーバ間ではダメなので、当然ながらコンテンツ自体をしっかり保護したい場合には S/MIME なり PGP なりの対処は必要ですが、ヘッダはそのままですしねぇ……。

泣くな:)

[Anonymous Coward]

port 22が駄目ならport 80があるじゃない :)。

#さらに極悪なportでSSHd上げているのでAC

Re:泣くな:)

[saitoh (10803)]

インターネットカフェで一旦自宅マシンにログインして、80番ポートとか21番ポートにsshdを貼り付けて、でホテルに戻って試してみたのですが、それもダメでした。 80以外のポートは軒並み閉めていたみたい。443番は忘れていた。

次に行くことがあったらは、443番ポートを試してみます。

Re:泣くな:)

[nox_dot (11614)]

443 だと、httpプロキシが間にいてもなんとかなったりするのでしょうか?

Re:泣くな:)

[Anonymous Cat (27860)]

大抵は何とかなるんじゃないでしょうか。
CONNECTメソッドが使えないように設定してあったら無理でしょうけど。

UTF-8 TeraTermとかputtyは対応しているみたいですし
OpenSSHやPortForwarderの場合はconnect.c [taiyo.co.jp]を使うといいと思います。

--
単なる臆病者の Anonymous Cat です。略してACです。

Re:泣くな:)

[Anonymous Coward]

> #さらに極悪なportでSSHd上げているのでAC

53か？

# #部にツッコミは野暮