SSL/TLSによるPLAIN認証

Question

SSLまたはTLS経由でメールサーバに接続していますが、PLAIN認証を使用している場合は安全ですか？

Answer 1

SSL/TLS接続はすでに暗号化されているため、パスワードをプレーンテキストとして送信しても何も問題はありません。あなたは同様にパスワードを暗号化することができますが、あなたはそれを二重に暗号化しています。ほとんどの場合、私はそれが余分だと考えます。

私は、パスワードの代わりに証明書を使って認証することを選択した場合、PLAIN over SSL/TLS以外の場所を使用すると思います。そうでなければ、私はそれをPLAINのままにしておきます。

Answer 2

Ryanは、SSLなしでアプリケーションを使用することが決してないと確信しているのなら、絶対に正しいです。 SSLはプレゼンテーション層にあり、ソケット接続が確立されるたびに、ホストの検証、セッションキーの交換、安全なトランスポート層の作成を含むSSLハンドシェイクが最初に行われます。この安全なチャネルが確立され、交換されるデータがセッション鍵を使用して暗号化されると、アプリケーション層での通信が行われるため、通信は安全です。

ただし、アプリケーションにSSLを使用する/使用しないオプションがある場合は、パスワードを別々に暗号化する必要があります。 SSLを介して作業している間、これは冗長ですが、それ以外の場合は必要です。