List żelazny

Aby zobaczyć zawartość listów sąsiada, wcale nie trzeba łamać wyrafinowanych zabezpieczeń - wystarczy uruchomić program do posłuchu sieci. Z drugiej strony jednak, gdyby jego korespondencja była odpowiednio zabezpieczona, przechwycilibyśmy nic nieznaczący bełkot

Mało kto zdaje sobie sprawę z zagrożeń, które wiążą się z użytkowaniem poczty elektronicznej. Zazwyczaj uruchamiamy aplikację-klienta i wierzymy w to, że programiści zadbali o nasze bezpieczeństwo na każdym etapie przesyłania wiadomości. Poza tym, kto i po co miałby „podsłuchiwać” nasze e-maile? Istotnie, korespondencja przeciętnego użytkownika Sieci nie jest łakomym kąskiem dla wywiadu gospodarczego obcego państwa czy hakerów wynajętych przez konkurencyjny koncern. Słabo zabezpieczone konto pocztowe może jednak zostać wykorzystane przez intruza do rozsyłania spamu czy gromadzenia danych osobowych. Tego typu działania idą wtedy „na rachunek” właściciela skrzynki, który ponosi odpowiedzialność za wykorzystanie usługi.

Ze skrzynką na ryby

Bardzo często, szczególnie w sieciach osiedlowych, konta pocztowe są powiązane z innymi usługami serwera, takimi jak FTP, WWW czy telnet/SSH. Jeśli więc ktoś przechwyci nasze hasło do skrzynki, będzie mógł również skorzystać z pozostałych zasobów osiedlowego serwera. Nasze konto może np. zostać wykorzystane przez złodzieja danych osobowych do opublikowania w Sieci witryny udającej np. jakiś bank internetowy. Haker mający dostęp do konta użytkownika może stać się także potencjalnie niebezpieczny dla innych osób w sieci lokalnej – przejąć kontrolę nad ich skrzynkami, a nawet nad całym serwerem! Oczywiście takiej maszyny powinien strzec kompetentny administrator, jednak i my, zwykli użytkownicy, musimy dbać o jej bezpieczeństwo.

Dobre znaczy długie

Podstawowy element ochrony usług sieciowych o hasło dostępu. Podanie odpowiedniej frazy jest konieczne, by pobrać wiadomości z serwera. Coraz częściej też usługi pocztowe wymagają autoryzacji podczas wysyłania poczty (tzw. autoryzacji SMTP), uniemożliwiając tym samym wykorzystanie danej maszyny przez nieuprawnione osoby. Warto przy tym zauważyć, że hasła do odbioru i wysyłania poczty nie zawsze muszą być takie same (zazwyczaj jednak są!).

Znaczenie haseł w systemie zabezpieczeń trudno przecenić, szczególnie że są one istotnymi elementami mającymi wpływ na poufność korespondencji. Znajomość hasła do naszej skrzynki pozwoli dowolnej osobie zarówno odczytywać nasze wiadomości, jak i preparować listy oraz rozsyłać je w naszym imieniu! Dla odbiorcy takie fałszerstwo może być na krótką metę nie do wykrycia, a tym sposobem łatwo przecież wyciągnąć od ludzi poufne informacje. Dlaczegóżby na przykład nie przesłać mężowi w e-mailu kodu PIN do karty kredytowej, skoro o to prosi?

Hasło dostępu do serwera musi być zatem informacją tajną. Dodatkowo powinno być ono „dobre”, czyli trudne do odgadnięcia (patrz: ramka $(LC141761:Najpopularniejsze hasła)$). Najlepiej, jeśli składa się z ponad ośmiu znaków, zawiera cyfry oraz małe i duże litery. Następujący ciąg znaków: nG6oa9s będzie na pewno trudniejszy do odgadnięcia niż 123 czy imię naszego psa. Każde hasło powinno być często, np. raz w miesiącu, modyfikowane. Większość usługodawców oferuje służące temu odpowiednie witryny. Należy też pamiętać, by – podobnie jak w wypadku obsługi poczty przez WWW – korzystać wyłącznie z połączeń szyfrowanych (za pomocą SSL) i sprawdzać dokładnie certyfikat strony.

Na podsłuchu

Jednak nawet najmocniejsze hasło może zostać przechwycone za pomocą różnego rodzaju snifferów. Okazuje się bowiem, że domyślnie programy pocztowe komunikują się z serwerami w sposób jawny! Oznacza to, że wszystkie hasła i treści listów są przesyłane otwartym tekstem i mogą zostać odczytane przez niepowołane osoby. Problem ten rozwiązano, stosując protokół SSL do szyfrowania transmisji danych przesyłanych za pomocą SMTP i POP3 (ta sama metoda jest wykorzystywana przy zabezpieczaniu stron sklepów lub banków internetowych). Niestety, nawet jeśli serwery pocztowe odbiorcy i nadawcy obsługują tego rodzaju szyfrowanie, to niewiele osób chce z tego korzystać – konieczna jest bowiem samodzielna modyfikacja ustawień programu pocztowego. Warto jednak zapoznać się z informacjami dostawcy poczty elektronicznej i skorzystać z tego zabezpieczenia. Tym bardziej że właściwie każda aplikacja do obsługi skrzynki ma wbudowane odpowiednie opcje. Po włączeniu szyfrowania warto ponownie zmienić hasło dostępu. Należy też pamiętać, by do pozostałych usług serwera, powiązanych ze skrzynką, stosować również bezpieczne połączenia – inaczej nasze hasło może wpaść w ręce intruza.

Administratorzy systemów pocztowych powinni dodatkowo sprawdzić, czy ich maszyna bezpiecznie komunikuje się z innymi serwerami. Wiadomości (ale już nie hasła do naszych skrzynek) mogą bowiem zostać przechwycone także w czasie transportu między serwerem SMTP nadawcy a POP3 odbiorcy.

Opcje bezpieczeństwa w programach pocztowych
MS Outlook 2003Outlook Express 6.00The Bat! 3.50 ProThunderbird 1.0
Zabezpieczenie podglądu hasła (szyfrowanie hasła)nnnt
Autoryzacja SMTPtttt
Obsługa SSL przy SMTP/POP3t/tt/tt/tt/t
Obsługa podpisów cyfrowych (certyfikatów)tttt
Obsługa zabezpieczeń sprzętowych (np. tokenów)nntt
Wbudowane szyfrowanie treści wiadomości za pomocą PGPnnt1)n
Blokowanie wyświetlania niebezpiecznych treści w listach HTML4)ntn2)t
Blokowanie podglądu i zapisu załącznikównttn
Wbudowana ochrona antywirusowannc3)n
Wbudowana ochrona antyspamowannc3)t
t – tak; n – nie; c – częściowo; 1) – wbudowana obsługa OpenPGP i S/MIME; 2) – podgląd wiadomości w The Bat! ignoruje formatowanie HTML; 3) – realizowane przez wtyczki; 4) – gdy wstawiono je w postaci odnośnika
Close

Choć staramy się je ograniczać, wykorzystujemy mechanizmy takie jak ciasteczka, które pozwalają naszym partnerom na śledzenie Twojego zachowania w sieci. Dowiedz się więcej.