[心得] 几种不同的电子邮件安全性认证方式比较

liao19795 2011-09-01 07:07:38

在Outlook 2010中，我们可以看到几个关于联机安全性的设定选项，但究竟每种机制有什么不同，该如何使用，一般的用户却不见得了解，今天笔者藉由自己一点的小经验，与大家分享我的心得，如果有错，也请多多包涵指教。

首先，我们必须了解到，Outlook是一个电子邮件的client端程序，因此自然它必须连接到邮件服务器去，而一般来说Outlook要寄信的时候，就会链接到所谓的smtp服务器，而要收信时，就会连接到所谓的pop3或者是imap服务器。

早期的smtp是没有什么认证机制的，因此也产生了许多的问题，比如说被恶质人士利用做为转寄垃圾信的跳板。然而pop3这个协议一开始就包含基本的帐户密码认证机制，因此，也有一些同时具有smtp与pop3的mail server的implementation发明了一种所谓的pop3 before smtp这样的机制，这个机制解释起来并不复杂，也就是在允许客户端的IP地址使用smtp 寄信之前，要先让该ip地址通过pop3的认证一次。以这样的保护方式来说，总是比没有好的。

现今主流的邮件服务器，不论是smtp或pop3还是imap，都能提供完整的安全性解决方案，然而，安全性的等级却有不同层级的区别。

第一种：首先我们来探讨一下帐户密码认证的安全性问题，很明显的，标准smtp,pop3,imap的联机，只是一般的tcp明文联机，透过这样的clear text联机来传户密码是没有安全性可言的，只要简单的工具，就可能拦截到您的帐户密码。一般来说在三种邮件协议中透过所谓的AUTH LOGIN或是AUTH PLAIN，或是利用USER PASS/LOGIN这样的指令来传送的，都属于不安全的认证方式，但这样的认证方式并非一无是处，基本上它最大的优点就是实作容易，一个实作容易的协议才能够快速的被推广与普及，况且，若这个session是建立在安全的联机上时（比如说TLS)，透过这类明文的认证方式，依然是安全的。

第二种：具有安全性的帐户密码认证方式，基本上它的诉求就是这种机制必须要在透过明文联机，且可能被偷听的状况下，仍然能够保持密码的隐密性，这样子的机制通常是透过一种所谓的"共享的秘密(即密码)"以及"哈希算法"来达成，像是smtp及imap中的cram-md5以及apop都是具有这种特色的验证方式，值得注意的是，md5算法在这种机制上扮演了很重要的角色，但值得注意的是，在2004年，山东大学王小云教授在一场国际密码学会议中提出破解md5的研究报告，且目前已经有一些黑客推出了一些md5的破解相关工具，不过目前这样的应用比较属于能够找出具有相同md5值的字符串，而未必是密码本身，因此基本上这样的验证机制还是具有相当的安全性可言的。

第三种：完整的联机的安全性，众所皆知，smtp port 25，pop3 port 110，imap port 143然而，这三个标准的端口在默认的状态都是属于明文的联机的（无安全性），但是，以目前最新的应用来说，出现了一组相当重要的指令，能够将这三个标准的端口升级到SSL(TLS)的安全性，这个指令就是STARTTLS（在POP3版本当中，叫STLS），基本上运作方式就是当邮件客户端联机到邮件服务器之后，观察服务器的性能列表(capability)，然后送出STARTLS指令，等待服务器响应允许或拒绝之后，就开始进行SSL或TLS的交涉，Outlook 2010还支持一组相当实用的TLSv1.1扩充命令叫做TLS SNI(Server Name Indication)，也就是说在交涉的过程当中，会告知邮件服务器目前想要联机的服务器之域名，让服务器能够送出正确的ssl凭证，当然了邮件客户端本身也会去验证这个ssl凭证是否属于有效的凭证，如果有误，会跳出凭证错误的警告。当ssl/tls联机建立之后，不论用的是第一种或是第二种验证方式，都能更加确保帐户密码的安全性。

除了以上的STARTTLS方式之外，尚存在着另一种ssl的联机方式，这种方式是直接以ssl联机到某个端口，通常smtp是465，pop3是995，imap是993，这种方式也就是俗称的ssl connect或是implicit ssl。这种方式在现今的网络上，算是比较属于被淘汰的方式，但仍然许多厂商都还是支持这样的方式来确保兼容性，不过在可能的状况下，笔者较为推荐STARTTLS，毕竟这样只需要一个端口就够了。

结语：光是单纯的保户帐户密码是不足以维护电邮的安全的，因为有时候，需要保密的东西并不光是帐户与密码，连邮件本身都是需要能够保密的，因此，建议用户们尽可能的使用ssl/tls方式与邮件服务器进行联机。

...全文