月光博客 » 软件应用 » 为什么支持Oauth2.0 的邮箱更安全?

为什么支持Oauth2.0 的邮箱更安全?

前段时间在贴吧“Gmail 吧”讨论得比较多的可以支持Gmail的邮箱客户端 YoMail被指不安全,而YoMail团队声明 YoMail 采用了 oAuth2.0登录Gmail, 采用SSL传输数据,可以保证用户的密码安全和邮件数据安全,并且声称国内大部分邮箱服务不支持oAuth2.0,大部分邮箱客户端(比如Foxmail)也不支持oAuth2.0,其实是不安全的。那么oAuth2.0到底是什么?为什么支持采用oAuth2.0验证的邮箱服务(如Gmail oAuth验证)更安全?YoMail 到底安不安全?我们接下来会做详细解释。

关于 oAuth2.0

你在网站看到一篇的文章想要分享到微信朋友朋友圈或微博,你在某团购网站网站上买了团购券需要用支付宝,这时候这些网站会跳出微信、微博、支持宝的登录界面,用户输入微信、微博、支持宝的用户名密码后完成操作。这个过程典型的Oauth2.0的验证过程。这里面有几个步骤:

1. 用户在第三方网站上连接微信的时候会被重定向到微信的登录界面

2. 用户接下来在微信的验证页面输入用户名和密码,这个时候,你的用户名和密码是在微信的网站上输入的,而不是第三方网站

3. 验证通过后,微信会返回一个确认界面,这时候用户会被告知第三方程序需要访问用户哪些信息,比如昵称、头像、比如分享到朋友圈的权限

4. 用户点接受后,微信会返回一个二进制 token给第三方应用,随后,第三方应用就用这个token和微信、微博、支持宝交互

在整个过程中,第三方应用并没有获取你的关键信息,如用户名和密码。自oAuth诞生以来,社交网络和电子商务迎来了爆发期,因为他们提供了基于oAuth的API给第三方,既保证了用户的信息安全,又给社交网络和电子商务网站带来巨大的流量。

电子邮件的 oAuth2.0时代

大家都知道,用户有时候更愿意用第三方工具访问自己的邮箱,如Outlook、Foxmail、邮箱大师、YoMail 等都是第三方邮箱工具,这些工具可以访问任何邮箱。

随着移动互联网时代的大爆发,有大量的创业公司在开发各种邮箱客户端,如果保证这些邮箱密码安全?oAuth2.0是答案。

目前国际邮箱大多支持 oAuth2.0 API 接口,如 Gmail, Outlook.com等。但国内大多数邮箱其实还不支持 oAuth2.0登录。这就造成了国内用户对oAuth2.0很陌生,也对创业公司的产品很恐惧。

邮箱的裸密码时代

传统模式下,IMAP(收邮件)和 SMTP (发邮件) 采了用 标准的SASL 协议验证身份, 用户名和密码都是明文(plain-text)。采用这种明文验证方式,邮件客户端需要把用户名密码存在客户端本地,这种方式是非常不安全的。我们发现 Foxmail 或Outlook登录Gmail 只支持这种不安全的验证方式 (密码存储在Foxmail本地),相当于Foxmail和Outlook获取了你的用户名和密码。

明文密码认证方式非常不安全,但很可惜,国内主流的邮箱客户端都采用明文密码认证方式。

以邮件发送协议 SMTP 为例,下图标明了SMTP发送邮件的全过程:

1. 连接到SMTP服务器

2. 使用 HELO 命名验证身份

3. 输入base64加密的邮箱和邮箱密码 (注:base64可轻易破解,和明文没有差别)

4. 发送邮件

为什么支持Oauth2.0 的邮箱更安全?

(SMTP过程)

这个过程说明了 SMTP协议每次都需要输入邮箱密码,所以邮件客户端必须保存用户的邮箱密码。

oAuth2.0 时代,用户密码得到有效保护

Gmail API 推出SASL XOAUTH2验证方式。在客户端验证开始之前,客户端会被重定向到 Gmail 官网验证页面。接下来,用户的用户名和密码是在 Gmail 官方验证 页面输入的。验证结会束后,Gmail给客户端返回一串二进制的token,随后客户端采用IMAP和SMTP 收发邮件时,不需要再把密码放在邮件头中,而是把这串二进制 token 放在邮件头中。这就解决了第三方应用获取用户邮箱密码的问题。

Gmail Oauth2示意图(来自Google API技术文档

为什么支持Oauth2.0 的邮箱更安全?
 

Oauth2.0 重定向登录网页,中间路由器或代理会不会获取用户名密码?

互联网时间,你的信息从电脑或手机发网服务器,中间肯能或经过代理或无数个路由器,中间路由器或代理其实还是可以截获二进制数据。那怎么解决这个问题? 答案是 SSL (安全传输层协议)

数据在发往服务器之前,先对数据经行加密,而解密的密钥只有目标服务器才有。

YoMail的 “Gmail 安全登录是什么?”

YoMail 登录界面的 “Gmail 安全登录” 就是 Gmail Oauth2.0 入口。用户点击“Gmail 安全登录”,会被重定向到 Gmail Oauth2.0认证界面,接下来的几个步骤其实和YoMail 没什么关系,因为这是用户在和 Gmail 直接交互,中间传输采用SSL,中间代理只负责转发二进制数据,但无法解开经过SSL加密的用户数据,从而保证了用户密码安全。

认证完成之后,YoMail用 Gmail 返回的Token访问Gmail,相反,采用非oAuth2.0访问Gmail需要在邮件头中放置邮箱密码。

SSL 保证传输安全

和普通传输方式相比,SSL方式会在传输前先对数据进行机密,然后传输至邮件服务器,中间路由器或代理就算截获二进制数据也无法解密。

用户使用 YoMail发送电子邮件,Gmail 或其它邮箱,邮件首先会在用户本地经行SSL加密,然后传输至邮件服务器,为了连上Gmail, 中间可能会经过路由器,但采用SSL加密,中间路由器是无法解密的。

但一般的邮件客户端(如Foxmail)并没有默认采用SSL,很多非技术用户很有可能选择了普通传输方式,邮件是明文形式发送的,中间路由器可以轻易截获邮件数据。

总结

国内的邮箱服务和客户端目前还都比较落后,oAuth2.0这样的安全认证协议可以有效保护用户密码安全,希望将来能够普及。

Gmail是鼓励第三方应用采用 oAuth2.0来访问Gmail的,YoMail的“Gmail安全登录”其实就是采用了Gmail oAuth2.0接口,是可以保证用户密码安全的;另外才传输层采用SSL,保证了邮件数据安全。

来源:YoMail投稿。

为什么支持Oauth2.0 的邮箱更安全?

顶一下 ▲()   踩一下 ▼()

相关文章

发表留言