I client di posta elettronica riducono la sicurezza?

La password dell'account utente è memorizzata da qualche parte "sull'utente". L'utente è teoricamente responsabile della protezione della propria password. Idealmente, lo tiene nella sua testa e lo digita di nuovo quando necessario.

Alcuni (la maggior parte) non gradiranno gli utenti e abiliteranno invece il pulsante "ricorda password", che renderà il client di posta elettronica ricordare la password. Se il client di posta elettronica è ragionevole e funziona su un sistema operativo ragionevole, questa memoria può essere alquanto protetta. Ad esempio, su MacOS X, utilizzando l'applicazione "Mail" di Apple, le password degli account verranno memorizzate nel Portachiavi , che viene memorizzato crittografato, la chiave di decrittografia è la password utente principale (quella che digita per aprire una sessione o sbloccarla). In questo modo, la password dell'account e-mail non viene mai memorizzata come equivalente in testo normale; un utente malintenzionato che ruba l'intero disco rigido della macchina non lo troverà immediatamente. (Ma non salverà l'utente contro un dirottamento ostile ma discreto della macchina, a causa, almeno, dei keylogger.)

Alcune altre applicazioni e / o sistemi operativi non saranno così ragionevoli.

Tra le possibili mitigazioni:

• Ogni utente deve avere il proprio account e password. Questo, lo fai già. Questo assicura che una password rubata sblocchi l'account di un solo utente, che è meglio di niente.

• La password dell'account e-mail potrebbe essere specifica per e-mail e non essere utilizzata da nessun'altra parte, in particolare per non aprire sessioni SSH o RDP. Agli utenti non piacerà (preferiscono davvero ricordare una una password di due ). Inoltre, la maggior parte dei sistemi di "reimpostazione della password" ricade sull'e-mail, quindi rubare una password dell'account e-mail può aprire l'accesso a molti altri sistemi.

• Implementa password una tantum . I token hardware come questo sono concessi agli utenti. Le applicazioni email non avranno nulla da salvare male.

Tuttavia, la formazione degli utenti è di fondamentale importanza.

Se la macchina è compromessa, è possibile ottenere tutte le password digitate utilizzando un keylogger. Scaricare le password dalla memoria è una possibilità, e questo non è un problema che la crittografia può risolvere. Ad esempio, i browser crittografano le password che vengono salvate e questo è banale da ignorare .

Il problema è usare una macchina compromessa e non avere un antivirus. Non c'è nulla che un client di posta elettronica possa fare al riguardo.

Vale la pena notare che in generale le password memorizzate non devono ancora essere archiviate in testo normale. Se le cose sono fatte correttamente, dovrebbero essere legate alle credenziali dell'account dell'utente. Questo non fa nulla per impedire che le password vengano recuperate se l'utente ha effettuato l'accesso, ma impedisce che vengano recuperate quando l'utente è disconnesso (purché il meccanismo sia altrimenti sicuro).

Ad esempio, su Windows, il CryptoAPI fornito da Windows consente l'archiviazione di varie chiavi e segreti per l'account di un utente. Quando l'utente esegue il login, genera una chiave che consente di sbloccare il keyring dell'utente in CryptoAPI. Quando l'utente si disconnette, questa chiave viene eliminata e non è possibile accedere al keyring a meno che l'utente non effettui nuovamente l'accesso.

Detto questo, non vi è alcuna garanzia che un programma non utilizzi un metodo non sicuro per memorizzare la password, anche se le strutture sono disponibili per collegarlo al login principale dell'utente. Inoltre, se il computer è configurato per non richiedere alcuna password per l'accesso, sarà sempre insicuro.