ニューズフロント
2007/04/19 14:54
情報処理推進機構(IPA)は4月19日、メール受信用の通信プロトコル「APOP」にセキュリティホールが存在すると警告した。APOPによる通信で、メールサーバ(APOPサーバ)アクセス用パスワード漏えいの可能性があるという。
APOPは、メールクライアントとサーバ間でメール受信に必要なやり取りを行うための通信プロトコル。広く利用されているメール受信プロトコルPOP3がサーバアクセス用のパスワードを平文で送るのに対し、APOPはMD5と呼ばれる方式でハッシュ化して保護する。
ただし、MD5ハッシュ関数にはハッシュ衝突(同じハッシュ値を持つ2つの異なるデータ列が発見可能なこと)の問題が存在するため、ユーザーが偽のAPOPサーバに誘導されてデータを解析されると、APOPパスワード解読の恐れがある。APOPパスワードが漏えいし、ほかのシステムでも同じパスワードを流用していると、不正ログインに悪用される危険もある。
MD5が原因であることから、現時点で根本的な対策はない。IPAは、「POP over SSL」やSSL暗号化対応のウェブメールなどの利用を推奨している。最新情報は、「JVN#19445002:APOPにおけるパスワード漏えいの脆弱性」で参照できる。
2007/03/26 21:09 [ セキュリティ ]
2004/07/29 18:52 [ 通信 ]
2005/06/03 00:00 [ リリース ]
2007/06/19 00:00 [ イベント ]
2006/04/06 10:00 [ リリース ]
メンバー限定サービスをご利用いただく場合、このページの上部からログイン、またはCNET_ID登録(無料)をしてください。
ところでAPOPでメールサーバーに認証している人ってどれぐらい? 大多数がパスワードを平文で流すPOP3だと思うのですが。 つまり、普段はハガキでメッセージのやりとりをしている人が、使ってもいない鍵付き封書の鍵を開けられる可能性について心配している。。。のね。