高木浩光＠自宅の日記 - APOP終焉で「POP over オレオレSSL」の撲滅運動が可能に

■ APOP終焉で「POP over オレオレSSL」の撲滅運動が可能に APOP（エーポップ）方式におけるセキュリティ上の弱点（脆弱性）の注意喚起について, IPA, 2007年4月19日 回避方法は「『POP over SSL』や『ウェブメール』など、SSLによる暗号化通信を利用する」ことです。 というわけで、POP over SSLの特需が見込まれるところだが、MUAのサポート状況はどうだろうか。 大きなシェアを占めるBecky! はというと、POP over SSLをサポートしているのだが、残念なことに図1の設定がある。 この「証明書を検証しない」は、失効確認のことではない。オレオレ証明書の警告を出さない、そのチェックさえしないという設定だ。 これを設定した場合、偽サーバに接続*1しても何の警告もなしに処理される。（パスワードは偽サーバによって復号ないし解読され得る。） ここはデフ

[stech]

なるほど！

[webmarksjp]

セキュリティ

[nilab]

高木浩光＠自宅の日記 - APOP終焉で「POP over オレオレSSL」の撲滅運動が可能に:インターネット接続プロバイダやレンタルサーバ屋が提供しているPOPサービスにおける、POP over SSL対応でのオレオレ証明書使用状況

[tsupo]

Becky! には「証明書を検証しない」という設定がある。この設定を有効にすると「オレオレ証明書の警告を出さない」 // 例によって例のごとく、このチェックを入れろと指示するサイトがたくさんある

[rsyudou]

盗聴されて被害を受けて初めて気づく。

[overtech]

千台近いサーバに証明書……。

[n2s]

とはいえRapidSSLとか使ってるようじゃやっぱり信用できないなんて言う人も出てきそうだ。えむけいさんとか【誰】

[cubed-l]

さくらの場合証明書を買うだけの金はあると思うんだけどねぇ。あとはメールサーバの設定方法のマニュアルを書き換えるだけで問題ないと思うんだが