Ze skrzynką na ryby
Bardzo często, szczególnie w sieciach osiedlowych, konta pocztowe są powiązane z innymi usługami serwera, takimi jak FTP, WWW czy telnet/SSH. Jeśli więc ktoś przechwyci nasze hasło do skrzynki, będzie mógł również skorzystać z pozostałych zasobów osiedlowego serwera. Nasze konto może np. zostać wykorzystane przez złodzieja danych osobowych do opublikowania w Sieci witryny udającej np. jakiś bank internetowy. Haker mający dostęp do konta użytkownika może stać się także potencjalnie niebezpieczny dla innych osób w sieci lokalnej – przejąć kontrolę nad ich skrzynkami, a nawet nad całym serwerem! Oczywiście takiej maszyny powinien strzec kompetentny administrator, jednak i my, zwykli użytkownicy, musimy dbać o jej bezpieczeństwo.
Dobre znaczy długie
Podstawowy element ochrony usług sieciowych o hasło dostępu. Podanie odpowiedniej frazy jest konieczne, by pobrać wiadomości z serwera. Coraz częściej też usługi pocztowe wymagają autoryzacji podczas wysyłania poczty (tzw. autoryzacji SMTP), uniemożliwiając tym samym wykorzystanie danej maszyny przez nieuprawnione osoby. Warto przy tym zauważyć, że hasła do odbioru i wysyłania poczty nie zawsze muszą być takie same (zazwyczaj jednak są!).
Znaczenie haseł w systemie zabezpieczeń trudno przecenić, szczególnie że są one istotnymi elementami mającymi wpływ na poufność korespondencji. Znajomość hasła do naszej skrzynki pozwoli dowolnej osobie zarówno odczytywać nasze wiadomości, jak i preparować listy oraz rozsyłać je w naszym imieniu! Dla odbiorcy takie fałszerstwo może być na krótką metę nie do wykrycia, a tym sposobem łatwo przecież wyciągnąć od ludzi poufne informacje. Dlaczegóżby na przykład nie przesłać mężowi w e-mailu kodu PIN do karty kredytowej, skoro o to prosi?
Hasło dostępu do serwera musi być zatem informacją tajną. Dodatkowo powinno być ono “dobre”, czyli trudne do odgadnięcia (patrz: ramka $(LC141761:Najpopularniejsze hasła)$). Najlepiej, jeśli składa się z ponad ośmiu znaków, zawiera cyfry oraz małe i duże litery. Następujący ciąg znaków: nG6oa9s będzie na pewno trudniejszy do odgadnięcia niż 123 czy imię naszego psa. Każde hasło powinno być często, np. raz w miesiącu, modyfikowane. Większość usługodawców oferuje służące temu odpowiednie witryny. Należy też pamiętać, by – podobnie jak w wypadku obsługi poczty przez WWW – korzystać wyłącznie z połączeń szyfrowanych (za pomocą SSL) i sprawdzać dokładnie certyfikat strony.
Na podsłuchu
Jednak nawet najmocniejsze hasło może zostać przechwycone za pomocą różnego rodzaju snifferów. Okazuje się bowiem, że domyślnie programy pocztowe komunikują się z serwerami w sposób jawny! Oznacza to, że wszystkie hasła i treści listów są przesyłane otwartym tekstem i mogą zostać odczytane przez niepowołane osoby. Problem ten rozwiązano, stosując protokół SSL do szyfrowania transmisji danych przesyłanych za pomocą SMTP i POP3 (ta sama metoda jest wykorzystywana przy zabezpieczaniu stron sklepów lub banków internetowych). Niestety, nawet jeśli serwery pocztowe odbiorcy i nadawcy obsługują tego rodzaju szyfrowanie, to niewiele osób chce z tego korzystać – konieczna jest bowiem samodzielna modyfikacja ustawień programu pocztowego. Warto jednak zapoznać się z informacjami dostawcy poczty elektronicznej i skorzystać z tego zabezpieczenia. Tym bardziej że właściwie każda aplikacja do obsługi skrzynki ma wbudowane odpowiednie opcje. Po włączeniu szyfrowania warto ponownie zmienić hasło dostępu. Należy też pamiętać, by do pozostałych usług serwera, powiązanych ze skrzynką, stosować również bezpieczne połączenia – inaczej nasze hasło może wpaść w ręce intruza.
Administratorzy systemów pocztowych powinni dodatkowo sprawdzić, czy ich maszyna bezpiecznie komunikuje się z innymi serwerami. Wiadomości (ale już nie hasła do naszych skrzynek) mogą bowiem zostać przechwycone także w czasie transportu między serwerem SMTP nadawcy a POP3 odbiorcy.
| Opcje bezpieczeństwa w programach pocztowych | ||||
| MS Outlook 2003 | Outlook Express 6.00 | The Bat! 3.50 Pro | Thunderbird 1.0 | |
| Zabezpieczenie podglądu hasła (szyfrowanie hasła) | n | n | n | t |
| Autoryzacja SMTP | t | t | t | t |
| Obsługa SSL przy SMTP/POP3 | t/t | t/t | t/t | t/t |
| Obsługa podpisów cyfrowych (certyfikatów) | t | t | t | t |
| Obsługa zabezpieczeń sprzętowych (np. tokenów) | n | n | t | t |
| Wbudowane szyfrowanie treści wiadomości za pomocą PGP | n | n | t1) | n |
| Blokowanie wyświetlania niebezpiecznych treści w listach HTML4) | n | t | n2) | t |
| Blokowanie podglądu i zapisu załączników | n | t | t | n |
| Wbudowana ochrona antywirusowa | n | n | c3) | n |
| Wbudowana ochrona antyspamowa | n | n | c3) | t |
| t – tak; n – nie; c – częściowo; 1) – wbudowana obsługa OpenPGP i S/MIME; 2) – podgląd wiadomości w The Bat! ignoruje formatowanie HTML; 3) – realizowane przez wtyczki; 4) – gdy wstawiono je w postaci odnośnika | ||||
