POP before SMTP

POP before SMTP to przestarzała metoda autoryzacji wysyłki przez wcześniejsze zalogowanie do odbioru poczty.

Jak działało uwierzytelnianie POP before SMTP

POP before SMTP było rozwiązaniem stosowanym przez starsze serwery pocztowe, zanim powszechnie wdrożono SMTP AUTH. Mechanizm wykorzystywał fakt, że użytkownik najpierw logował się do skrzynki przez POP3, aby pobrać wiadomości, a dopiero później próbował wysłać pocztę przez SMTP. Serwer POP3 odnotowywał udane uwierzytelnienie, zwykle razem z adresem IP klienta i czasem wykonania logowania. Serwer SMTP sprawdzał następnie, czy z tego samego adresu IP niedawno nastąpiło poprawne logowanie do POP3. Jeżeli tak było, zezwalał na przekazywanie wiadomości.

W tym modelu klient pocztowy nie przekazywał hasła do serwera SMTP. Uprawnienie do wysyłki wynikało z wcześniejszej aktywności w usłudze POP3. Okres zaufania nie był określony przez samą nazwę mechanizmu ani przez jeden uniwersalny standard. Ustalał go administrator serwera, na przykład na kilka, kilkanaście albo kilkadziesiąt minut. Po jego upływie użytkownik musiał ponownie wykonać operację POP3, aby odzyskać możliwość wysyłania wiadomości.

Różnica między POP3, SMTP i SMTP AUTH

POP3 i SMTP pełnią różne funkcje. POP3 służy do odbierania wiadomości ze skrzynki pocztowej, natomiast SMTP służy do przekazywania poczty. Opis protokołu POP3 znajduje się w RFC 1939, a współczesne podstawowe zasady działania SMTP opisuje RFC 5321. POP before SMTP nie jest osobnym poleceniem SMTP ani rozszerzeniem, które klient negocjuje z serwerem. To dodatkowa reguła kontroli dostępu zaimplementowana po stronie infrastruktury pocztowej.

W SMTP AUTH klient uwierzytelnia się bezpośrednio podczas sesji SMTP. Mechanizm ten opisuje RFC 4954 i może korzystać z metod uwierzytelniania obsługiwanych przez konkretny serwer. Dla wysyłania poczty przez program pocztowy często używany jest port 587 przeznaczony do submission, opisany w RFC 6409. Port 25 jest przede wszystkim związany z transportem poczty między serwerami, chociaż szczegóły konfiguracji zależą od dostawcy. Bezpośrednie uwierzytelnienie SMTP pozwala rozdzielić logowanie do odbioru i wysyłki oraz ograniczyć uprawnienia niezależnie dla obu usług.

Ograniczenia identyfikacji po adresie IP

Największą słabością POP before SMTP było utożsamianie użytkownika z adresem IP. Jeżeli kilku użytkowników korzystało z tego samego routera, serwera proxy lub firmowej translacji NAT, udane logowanie jednej osoby mogło czasowo otworzyć możliwość wysyłania SMTP dla innych urządzeń widocznych pod tym samym adresem publicznym. Z kolei użytkownik, którego adres zmieniał się między pobraniem poczty a próbą wysyłki, mógł zostać odrzucony mimo prawidłowego hasła do skrzynki.

Mechanizm nie zapewniał też precyzyjnego powiązania sesji SMTP z konkretnym kontem POP3. Serwer musiał przechowywać tymczasową informację o zaufaniu i poprawnie usuwać ją po zakończeniu okresu ważności. Zbyt długi czas zaufania zwiększał skutki przejęcia urządzenia lub poświadczeń, a zbyt krótki powodował błędy w programach pobierających pocztę i wysyłających ją w późniejszym momencie. Dodatkowym problemem było rozdzielenie logowania, pobierania i wysyłania na różne połączenia, co utrudniało analizę przyczyn komunikatów takich jak „relay access denied” albo „authentication required”. Sam POP3 i klasyczny SMTP nie zapewniają szyfrowania treści sesji. Współczesne konfiguracje powinny używać ochrony TLS odpowiedniej dla danego serwera, na przykład POP3 over TLS na porcie 995 albo submission z TLS na porcie 587, jeżeli dostawca obsługuje takie ustawienia.

Rozpoznawanie pozostałości POP before SMTP w programie pocztowym

Objawem starej konfiguracji może być sytuacja, w której odbieranie wiadomości działa, lecz wysyłanie jest możliwe tylko bezpośrednio po sprawdzeniu skrzynki. Po kilku minutach program zgłasza odmowę przekazywania poczty, mimo że hasło do konta nie zostało zmienione. Taki przebieg wskazuje na zależność czasową charakterystyczną dla POP before SMTP, ale nie stanowi samodzielnego dowodu. Podobne komunikaty mogą powodować błędny port, wyłączone SMTP AUTH, niewłaściwe szyfrowanie, blokada portu 25 albo niezgodność adresu serwera poczty wychodzącej.

Podczas diagnostyki należy sprawdzić w ustawieniach konta osobno serwer odbiorczy POP3 i serwer wysyłający SMTP, wybrany port, sposób szyfrowania oraz opcję uwierzytelniania serwera poczty wychodzącej. Jeżeli dostawca nadal wymaga POP before SMTP, trzeba ustalić jego rzeczywisty czas zaufania i sprawdzić, czy oba połączenia wychodzą z tego samego publicznego adresu IP. W nowszej konfiguracji właściwym kierunkiem jest przejście na SMTP AUTH z TLS, zgodnie z dokumentacją operatora poczty. Warszawskie Pogotowie Komputerowe zajmuje się profesjonalną naprawą laptopów i komputerów PC, w tym diagnozowaniem problemów z konfiguracją popularnych programów pocztowych oraz ich połączeniami sieciowymi.