るなおーびっと!

SSL/TLSに対応していないプロバイダーメールを安全に使いたい(たかった)

2019/02/06 14:16 投稿

  • タグ:
  • メモ
  • セキュリティ

私が今契約しているインターネットプロバイダーはいまだにSSL/TLSに対応していないんですよ…ってお話。
具体的なプロバイダーネームは明かせませんがケーブルテレビのインターネットサービスとだけ言っておきましょう。(以下CATV)

私が利用しているCATVでのお話なので、ちょっとした備忘録的な内容です。


受信サーバーはPOP3で、認証方法は平文

SMTPはパスワード無しで送信可能(同CATVネットワーク網からの接続に限る)
他社のネットワークからの接続の場合、POPで使用しているパスワードを使用して送信が可能(SMTP-AUTH or POP befor SMTP) ただし、パスワードは平文で送られる

同CATVネットワーク網内で受送信する分には問題ないって考えなのだろうが、はっきり言って不安要素しかありません。WANの中に悪意のあるユーザーがいたらどうするの?(´・ω・`)

今時、フリーメールアドレスをはじくサービスなんて無いとは思いますので、使わないのが正解ですね!
…なんて根も葉もないことを言ってみたものの、一応安全に使う案はあります。


・パスワードは必ず1度変更する
当方のCATVは、一番最初に設定されたパスワードは「初期パスワード」となり、これはいつでも閲覧しようとしたら出来る(つまり平文、あるいは可逆可能な形で保管されている)ものなので、すぐさま変更するべし。
初期パスワードは乱数で生成することを強く推奨。

・別名(alias)を設定する
当方のCATVは、メールアカウントを取得する際、アカウント名はランダムな英数字(英字は小文字のみ)が自動的に割り当ててられ、メールアドレスのローカルパート(@マークよりも左側の部分)もアカウント名となります。
つまり、生のメールアドレスを相手に知られる=アカウント名が知られることとなり、後はパスワードをどうにかすればログインされてしまいます。
当方のCATVでは、一度だけ別名を設定することが可能なので、必ずこれを設定しておき、他者に伝えるときは、必ず設定した別名を使用する。
【追記】悲報・POPとSMTPサーバーは別名だとはじくのにWEBメールの方は別名でもログインできる。なんだこのがばがば設計は…マニュアルを確認したらきちんと別名でも使えると明記されていたから意図した仕様である…理解に苦しむ仕様だ

・WEBメールサービスがあるか
ありがたいことに、(別名でもログインできる、全然ありがたくないクソサービスだった)当方のCATVはウェブ上から契約しているメールアカウントでメールの受送信ができるんです。しかもちゃんとHTTPSでね。(なぜWEBメールは対応して、POP/SMTPは対応しないんだよ)
でもメーラーソフトで管理できないのがちょっとね…。

・転送サービスがあるか
ありがたいことに、当方のCATVは、プロバイダー側でメールの転送ができます。
なので、メーラーでも利用できる、Gメールなどのフリーメールアカウントを作っておいて、そこへ転送し、送信する際もGメールアカウントを使用して、相手側に伝える送信者のメールアドレスを、プロバイダーメールアドレスにしてしまえばいいのです。(やってることはアドレスの偽装なんで、迷惑メール対策に引っかかるかもだけど)
ただし、困ったことがあって、当方のCATVのメールサービスは、50MBまで保存可能となっており、容量の限界に達した状態でメールを受信すると問答無用でそれは破棄されてしまいます。
結局のところ、あとでWEBメールサービスの方にもアクセスして、受信メールを消す必要があるんですよね…。

・同CATVネットワーク網内にメールを受信するだけの端末を用意する
常時電源入れていてもそれほど電気代のかからない、ラズベリーパイなどの省電力で小型な端末で受信させて、メールサーバーの容量を確保する…なんて案も考えてみましたが、最初の方で述べたように、同じプロバイダー内に悪意のあるユーザーがいなければこれでいいんですけどねぇ…悩ましいですね。
この手段の応用として、WEBメール非対応ならVPNを構築してやり取りするという手も。

なんかこうしてみると、ここまで苦労するくらいなら、やっぱり使わないのが一番な気がしてしまいましたとさ(´・ω・`)

プロバイダーそのものや、プロバイダーを利用している者の中に、悪意のある者がいるかもしれない可能性は置いといて、最低限簡単にできる対策としては、プロバイダーメールを、同プロバイダーのネットワーク網外からは使用しないことです。

この記事書いた後で、WEBメールが別名でもログインできることが分かってしまって、やっぱり使わないほうがいいじゃね?という結論に


コメント

コメントはまだありません
コメントを書き込むにはログインしてください。

いまブロマガで人気の記事