Dotaz: fetchmail a bezpecnost

[cartman]

Moja posledna otazka nadvazuje na predchadzajucu (fetchmail+postfix).

Je fetchmail bezpecny?

Myslim ze ked zapisujem login a password do "/etc/fetchmailrc" alebo do "~/.fetchmailrc" tak sa pri spojeni fetchmail daemona zo serverom (napr.: pop.zoznam.sk) heslo a meno nesifruju.

Odpovědi

[Cesta]

Fetchmail podporuje ssl pristup. Hesla v souborech musis zabezpecit nastavenim vhodnych prav prislusneho souboru.

[Jiri Bajer]

Zajima te bezpecnost hesel na localhostu, bezpecnost hesla pri prihlasovani k pop3/imap nebo bezpecnost dat? Hesla na localhostu jsou plaintext v souboru, ke kteremu ma pristup jen root. Pokud na serveru nejsou konta pro usery, je heslo pomerne v bezpeci. Heslo pri prihlasovani muze byt posilano bud PLAIN, pomoci digestu MD5 nebo v ramci SSL session. Krome prvni moznosti je to pomerne bezpecne. Samotna data putuji bud PLAIN nebo sifrovana pres SSL. Tady je asi nejvetsi riziko, spousta ISP/freemailu podporuji nanejvys MD5 na heslo. Duvernost/integritu dat lze zajistit dodatecne pouzitim PGP/GPG v MUA. Zkus spustit fetchmail v debug modu a nechat ho logovat do souboru a podle odpovedi pop3/imap serveru zjistis, co vsechno podporuje. Zaver: MD5+plain staci na primerene bezpecnou firemni komunikaci, pro duverna data je vhodne PGP/steganografie.