メールを安全に読み出せるpop3s：セキュリティプロトコルマスター（2）（3/3 ページ）

» 2005年11月29日 00時00分公開

[福永勇二，インタラクティブリサーチ]

pop3sの仕組み

pop3sってナンですか？

　このちょっと危険の伴うpop3を改良して、安全にメールボックスにアクセスできるようにした、メール読み出しのためのプロトコルが「pop3s」です。のぞき見などの危険を取り除いて、安全にメールボックスからメールを読み出すことができます。pop3sは「pop3 over SSL」の略です。

pop3sの特徴をほかと比較しながら教えて！

　ここでは、メールボックスを読み出すプロトコルのうち、最も基本的なpop3、安全性の高いapop、そして今回取り上げるpop3sの特徴を図4で比較してみましょう。

図4 pop3s、apop、pop3の動作を比較すると

pop3

　pop3は何の工夫もしないまま、本人の確認、メール一覧の読み出し、メール本文の読み出しをします。そのため、ネットワークの途中でそれを盗み見る人がいれば、メールの一覧や本文のほかに、メールボックスにアクセスするためのユーザー名とパスワードまでバレてしまいます。これはイコール他人が自分のメールボックスに自由にアクセスできることになりますから一大事です。

apop

　pop3に比べるとapopはだいぶ安全です。メールボックスを読み出す3つのステップのうち、一番大事な「本人の確認」に、パスワードを直接送らない安全な方法を使います。通信を盗み見られると、メール一覧やメール本文はのぞかれてしまいますが、メールボックスにアクセスするためのユーザー名やパスワードはバレません。

pop3s

　最も安全なのがpop3sです。pop3sの通信手順はpop3と同じですが、そのやりとりをTLS/SSLで暗号化した通信路上で行います。そのため、本人確認のためのユーザー名やパスワードはもちろん、メール一覧やメール本文もまず盗み見られることはありません。

具体的にどんな仕組み？

　では、pop3sのメールを読み出しのイメージはどのようなもものなのか。図5を使って説明します。

図5 pop3sの動作イメージ

　メールソフトはpop3のコマンドを作り出し、それをTLS/SSLに引き渡します。この部分でpop3のコマンドは暗号に書き換えられます。TLS/SSLの仕組みは「TCP/IPアレルギー撲滅ドリル【番外編】Webを安全にするというSSLの中身を見せて」を参照してください。

こうして一目見ただけではまったく内容が分からない文字列になったものを、TCP/IPの仕組みを使って左側のサーバに送ります。このときのポート番号には995番を使うことになっています。

　TCP/IPの仕組みを使って暗号化されたコマンドがpop3sサーバに届くと、最初にTLS/SSLに引き渡して元のコマンドに復号します。普通の文字に戻ったコマンドは、次にpop3を理解するサーバ機能に引き渡します。サーバ機能は受け取ったコマンドを解釈して、実際のメールボックスの読み出しなどを実行するわけです。

　なお、図には書いてありませんが、pop3sサーバが送り返すメール一覧やメール本文も、同じような手順で暗号化→通信→復号をします。

pop3から切り替えられますか？

　「pop3で通信を始めたのだけど、メールサーバがpop3sにも対応しているようなら、もっと安全なpop3sに切り替えたい」そう思うのも自然なことです。そんな思いに対応できるよう、pop3sに対応したサーバでは、pop3のやりとり中にpop3sに切り替えるためのpopコマンド「STLS」が追加されていることがあります。

　pop3での認証の前に、メールソフトがこのコマンドを送り、サーバから「+OK」が返ってくれば、それ以降の通信はTLS/SSLを通して行うことができます。

　次回は、pop3s、apop、pop3それぞれの性質にさらに深く迫っていきます。

「次回」へ

「セキュリティプロトコルマスター」バックナンバー