ヤフーメールと ＰＯＰ/ＳＭＴＰ

質問

ヤフーメールを、ＰＯＰ/ＳＭＴＰで扱えることを知りました。
さらに、ＳＳＬ（ＴＬＳ）での接続にして、通信経路での暗号化もできるようです。
openssl　を使えば、そんなに苦労しなくてもなんとかなると思いますが、

ヤフーメールを暗号化（サーバー管理者にも解けない暗号化）して扱うというときに、
ＰＯＰ３Ｓ　にする意味は有りますか？
ＰＯＰ３　で十分ですか？

サーバー管理者にも解けない暗号化
については、ＡＥＳ　や　カメリア　を考えています。

アドバイスよろしくお願いいたします。
たとえば、近い将来　ＰＯＰ３Ｓ　だけになるとか。。

回答No.1

tuku7145 · ベストアンサー

POP3はパスワードをそのまま送るため、経路でパスワードを読み取られる危険があります。
APOPというのもありましたが
http://www.ipa.go.jp/security/vuln/200704_APOP.html
脆弱性があり完璧にはほど遠い現状です。

類似の通信方式での解決策としてはPOP3Sを使うのが唯一ですから、これは主流になるだろうしなるべきでしょう。

一方のSMTPは最初認証が無く、後から認証機能が追加されたため暗号化されたパスワードも使用できます。「AUTH CRAM-MD5」など。
http://e-words.jp/w/SMTP20Authentication.html

SMTPは例外ですが、POP3はパスワードのそのまま送るという危険な方式であり、プロバイダなどもリスクを負うことになりますから、将来的にはPOP3Sが主流になってくるかと思います。

POP3Sを使う意味はあるのかという質問ですが、パスワードの安全を考えると意味は大いにあると思います。
特に自分のプロバイダのPOP3サーバーなら近いのでパスワードは最短ルートを通るでしょうが、Yahoo!メールなど外部のサービスでは何カ所か中継されている分パスワードを平文で流すのはためらわれます。

お礼

ありがとうございます。

ＧメールもＰＯＰ３Ｓ　ですので、揃えた方がよさそうですね。

ＰＯＰ３　で取り出さないで、
ＩＥ　などから、ヤフーにログインして
そこで、メールの暗号化、復号化をするような機能をつけた場合とでは
どちらが安全でしょうか？

ＩＥに暗号化機能を追加しておくとします。（ＢＨＯ　などをつかう）

別の質問になってしますのでまずいかな？

回答No.3

notnot

SMTPSやPOP3Sを使ったとして、普通のメールだと、

AさんPC→SMTPS暗号化→Aさんプロバイダメールサーバー（平文）→インターネット（平文で通信）→Bさんプロバイダメールサーバー（平文）→POP3S暗号化→BさんPC

こんな感じです。公衆無線LANアクセスポイントを使うなど、PCからの通信が傍受の可能性がある場合には有効ですが、自宅で有線LAN接続とかだとあまり意味ないです。

メールの暗号化をしたいなら、AさんとBさん双方がPGP暗号化に対応したメールソフトを使って、かつ、事前に公開鍵を交換しあって、などという対応が必要です。「PGP？なにそれ？」という人とは暗号化メールのやりとりは出来ません。

お礼

ありがとうございます。

鍵交換には、楕円曲線暗号の利用を考えています。

回答No.2

narashingo

＞ＰＯＰ３Ｓ　にする意味は有りますか？

意味はあると思いますよ。
Yahooメールは、確か、３年くらい前から、メールソフトの送受信に、以前はなかったSSLの利用をサポートしています。
私は、Thunderbirdでサポート開始当初から利用しています。
(メールソフトでの送受信時に、メールの内容を暗号化したい（POP/SMTP over SSL）)
http://www.yahoo-help.jp/app/answers/detail/p/565/a_id/47682/~/%E3%83%A1%E3%83%BC%E3%83%AB%E3%82%BD%E3%83%95%E3%83%88%E3%81%A7%E3%81%AE%E9%80%81%E5%8F%97%E4%BF%A1%E6%99%82%E3%81%AB%E3%80%81%E3%83%A1%E3%83%BC%E3%83%AB%E3%81%AE%E5%86%85%E5%AE%B9%E3%82%92%E6%9A%97%E5%8F%B7%E5%8C%96%E3%81%97%E3%81%9F%E3%81%84%EF%BC%88pop%2Fsmtp-over-ssl%EF%BC%89

なお、Yahoo USでは、今年から、Webメールでの送受信のメールを暗号化通信できるようになった？ような記事がありますから、Yahoo Japanでも、いずれそのようになるかも知れないですね。
http://d.hatena.ne.jp/ripjyr/20130110/1357789213

お礼

ありがとうございます。

考えているのは、
ヤフーが提供している暗号化機能のほかに、
ユーザーが独自に暗号化機能を追加して、通信経路だけではなくて
サーバーの中でも暗号化されていて、
最終の受信者だけが復号化できる機能を追加する　ことです。

ＰＯＰ３Ｓ　が、将来は主流になりそうなので、
それを使う方向で検討します。

情報提供、ありがとうございました。