From mboxrd@z Thu Jan 1 00:00:00 1970 Return-Path: From: Henri Bourbon To: mandrake-russian@altlinux.ru Subject: Re: [mdk-re] [JT] Netscape Messenger, The Bat & POP3 authentication Message-Id: <20010827234646.7bc7a9cb.npecca@yahoo.com> In-Reply-To: <3B826933.D4805D87@zmail.ru> References: <20010816171052.A2628@hb.ant-on.net> <20010817151518.6f27b71f.aen@altlinux.ru> <20010819223106.A3075@hb.ant-on.net> <01081922492300.14740@pif.b5.mephi.ru> <1948682134.20010820125923@yahoo.com> <005101c1296c$d98eb660$01000001@darkstar> <7113340041.20010820200207@yahoo.com> <018401c12994$156abd60$01000001@darkstar> <627189287.20010821142725@yahoo.com> <3B823BB2.7F58BA45@zmail.ru> <019c01c12a30$d5ea3f60$01000001@darkstar> <3B82448A.BD49EB00@zmail.ru> <01de01c12a34$7ff80070$01000001@darkstar> <104231364.20010821175207@yahoo.com> <3B826933.D4805D87@zmail.ru> X-Mailer: Sylpheed version 0.4.62 (GTK+ 1.2.9; i586-mandrake-linux) Mime-Version: 1.0 Content-Type: text/plain; charset=KOI8-R Content-Transfer-Encoding: 8bit X-Return-Path: npecca@yahoo.com X-MDaemon-Deliver-To: mandrake-russian@altlinux.ru Sender: mandrake-russian-admin@altlinux.ru Errors-To: mandrake-russian-admin@altlinux.ru X-BeenThere: mandrake-russian@altlinux.ru X-Mailman-Version: 2.0 Precedence: bulk Reply-To: mandrake-russian@altlinux.ru List-Help: List-Post: List-Subscribe: , List-Id: Linux-Mandrake RE / ALT Linux discussion list List-Unsubscribe: , List-Archive: Date: Mon Aug 27 23:45:30 2001 X-Original-Date: Mon, 27 Aug 2001 23:46:46 +0400 Archived-At: List-Archive: List-Post: Tue, 21 Aug 2001 17:59:16 +0400, cornet wrote: !Сначала идет неинтересный спор. О POP3-авторизации и мэйлерах -- ниже. HB! > > >> А Нетшкафе я никаких гаек не тыкал - все равно криптует :-) > > > > Вот и плохо. Это в худших традициях MSFT. Я, а не мэйлридер, должен > > решать, использовать SSL или нет. > > Ну это спорная точка зрения. Если идти по пути Вашей логики, то > дефалтом и пасворд на логине должен иметь эхоотображение и только > после соответствующей настройки становиться звездочками или > вообще не отображжаться... Гм... гм-гм... Если мои слова вывернуть на изнанку, а затем мелко нарезать, то их смысл исказится меньше, чем исказили его вы ;-) Сейчас я объясню, что _на самом деле_ я имел в виду, и уверен, что вы со мной согласитесь, т. к. нет "моей" и "вашей" логики, есть просто _логика_. В _правильном_ почтовом клиенте должен быть чекбокс (check box) "использовать SSL". Он должен __быть__. Какое у него должно быть значение по умолчанию -- это уже совсем-совсем другой вопрос. Вы согласны со мной? С первым вопросом решили? Тогда возьмем этот "совсем другой", 2-й вопрос. Да, конечно, по умолчанию должен использоваться максимально защищенный метод. Но у меня, пользователя, должен быть выбор, я должен быть способным отключить ненужную мне "секурность" (у SSL есть свои недостатки, например, лишний трафик, большее время отклика и доп., пусть даже минимальная, нагрузка на процессор) в угоду каким-то своим другим интересам. Мне казалось, все это очевидно, а тут вдруг вы придумываете какую-то жуть с эхоотображением пароля... Теперь отставим в сторону этот "Just Talk" и чиста канкретна разберемся с POP3. > > > И на POP3 тоже? Интересно, это ж текстовый протокол - если > > > у вас сервер работает по RFC то он при попытке криптовать > > > должен вас посылать по идее (я знаю про APOP, etc.). > > > > Михаил, не путайте. POP3 -- протокол прикладного (7-го) уровня. > Да, > > текстовый, естественно. Если я соединяюсь с 110-м портом > POP-сервера, я > > передаю открытым текстом: > > > > user vasya > > pass Lyusya-Dura! > > > > Если же я на уровне представления (6-м) подсовываю под POP3 Secure > Socket > > Layer, то я обращаюсь к 995-му порту сервера, и передаю все те же > текстовые > > строки (user vasya и pass Lyusya-Dura!), только в шифрованном виде. > > Между прочим _все_ отосланные мной пакеты шли только на 110 порт, > на 995 не ушло ниодного :-) > О pop3 сервере который я использовал в эксперименте - это > mail.zmail.ru так что если Вас интересует как он настроен - > ткнитесь и посмотрите... Во-первых, признаюсь, что мое знакомство с POP3 было поверхностным. Но после изучения матчасти выяснилось, что: 1) POP3 позволяет *множество* методов авторизации, при к-рых пароль пользователя _не_ передается открытым текстом. Эти методы не имеют _никакого_ отношения к использованию или не использованию SSL. Безопасная авторизация и SSL -- это как бы 2 _независимых_ булевых переменных. Т. е. можно передавать пароль открытым текстом, но при этом шифровать весь трафик с помощью SSL; либо шифровать пароль средствами POP3, а SSL не пользоваться; либо и то, и другое; либо ни того, ни другого, т. е. голый plain text и никаких SSL. 2) Netscape Messenger не умеет использовать SSL. По кр. мере, соответствующей настройки я нигде в нем не видел. Однако, он сам умеет определить наиболее безопасный тип POP3-авторизации, к-рый поддерживает данный конкретный POP3-сервер, после чего он и использует этот тип авторизации. Что это означает с практической точки зрения? То, что злые дяди со снифером не "подслушают" ваш пароль, однако спокойно прочтут ту почту, к-рую будет передавать вам сервер во время вашего сеанса связи, т. к. она передается в нешифрованном виде. В большинстве случаев это нестрашно, но далеко не всегда. 3) The Bat имеющейся у меня версии 1.51 также не умеет пользоваться SSL. Я полагал, что это автоматически приводит к передаче всего, в т. ч. пароля, в открытом виде. К счастью, я ошибался. The Bat поддерживает 2 безопасных метода шифрованной передачи пароля, причем, в отличие от Netscape Messenger, между этими 3-мя (2 безопасных + plain text) методами нужно явно переключаться, ставя в нужное положение соотв. radio button. Т. е. The Bat менее "интеллектуален" при выборе метода авторизации, однако предоставляет право выбора самому пользователю. 4) "Зенон НСП" -- молодцы (у меня тоже ящик у Зенона... более того, даже 3 ящика :)), конкретно POP3-сервер mail.zmail.ru поддерживает все мыслимые и немыслимые методы POP3-авторизации, в комбинации с SSL и без нее. Что касается SMTP, то недавно они свернули дебильно-мастдайный метод авторизации "сначала проверьте почту через POP3, и лишь потом отсылайте" и включили нормальную SMTP-авторизацию. В отличие от большинства других почтовых серверов, так что, IMHO, они вдвойне молодцы. А вот ньюс-сервер их, за доступ к к-рому я кровно заработанные тугрики платил, самым наглым образом вставляет в мои постинги заголовок Organization: Zenon blah-blah..., что я расцениваю как их саморекламу за мой счет. Гады :)) Фух. Ну, в таком духе, в таком разрезе :) -- HB