Quanto è sicuro HTML2POP3?

In questi giorni un utente mi ha chiesto quanto è sicuro HTML2POP3.

La domanda è lecita, soprattutto perché si affidano i propri dati a un programma che deve essere installato sul proprio sistema operativo.

Vediamo di analizzare tutti i flussi dati coinvolti nel download della posta e a capire dove ci potrebbero essere dei problemi.

Cosa fa HTML2POP3?
HTML2POP3 è un programma che trasforma le pagine web, usate dalle webmail per la visualizzazione della posta, in messaggi email comprensibili dal proprio client di posta.

Tutto questo avviene tramite un applicativo residente sul proprio PC.

Analizziamone i flussi
Vediamo ora quali sono i vari flussi che vengono creati per questo motivo.

1) Il client di posta invia, in modo non criptato, le credenziali di accesso alla posta ad HTML2POP3. Questa comunicazione avviene però sulla stessa macchina e i dati, in linea di massima, non dovrebbero uscire dalla macchina stessa.
L'unico modo per intercettare queste credenziali è quello di intercettare la chiamata TCP/IP locale con dei software di analisi (sniffer).

2) HTML2POP3 invia la richiesta d'accesso al server che gestisce la posta. Normalmente la login avviene in modo criptato, quindi non ci dovrebbero essere problemi, a meno di non attuare un attacco MITM, ma in quel caso il problema non è di HTML2POP3, ma dell'infrastruttura collegata alle macchine che si parlano per il download della posta.

3) Ogni volta che viene chiesta una email, HTML2POP3 utilizza la sessione, creata al login, e con quella parla al web server del provider. In questo caso, in base al provider, la richiesta può essere o meno criptata, ma il grado di sicurezza è identico a quello che si avrebbe se il dialogo fosse attraverso il browser.

4) Le risposte che fornisce HTML2POP3 a fronte di una chiamata POP3 RETR, sono in chiaro verso il client di posta, dato che il protocollo di comunicazione è un POP3 non SSL.

5) HTML2POP3 genera anche un log nel quale viene messo in chiaro l'utente che usa HTML2POP3 oltre a CRC e lunghezza della password usata. Da queste informazioni si potrebbe provare a cercare una password che soddisfa CRC e lunghezza, ma la cosa non è così immediata.

6) La posta scaricata è quindi mantenuta dal client di posta in un archivio, che normalmente non è criptato, e di conseguenza facilmente identificabile e leggibile.

Conclusioni
Alla luce di questo, HTML2POP3, ma lo stesso vale per un qualsiasi altro programma che funziona come HTML2POP3, aggiunge un passaggio in più nel meccanismo di scaricamento della posta. Questo passaggio aumenta gli attori in gioco e di conseguenza diminuisce la sicurezza della posta scaricata.

A livello di comunicazione il dialogo è però identico a quello che si avrebbe passando dal browser.
A livello di memorizzazione: passando dal browser non si avranno dati salvati in locale, a patto che la comunicazione venga mantenuta in HTTPS, passando da HTML2POP3 i dati sono parzialmente tracciati nel file html2pop3.log, ma soprattutto vengono salvati in chiaro nell'archivio del client di posta, operazione che diminuisce sensibilmente la sicurezza della propria corrispondenza.