POP3 PASS

POP3 PASS to polecenie przekazujące hasło użytkownika — przesyłane jawnym tekstem bez warstwy szyfrującej.

Komenda PASS w przebiegu sesji POP3

POP3 PASS jest poleceniem protokołu Post Office Protocol w wersji 3, opisanym w RFC 1939. Służy do przekazania serwerowi hasła powiązanego z nazwą użytkownika podaną wcześniej za pomocą komendy USER. Typowa kolejność uwierzytelniania w stanie AUTHORIZATION wygląda następująco: klient wysyła USER nazwa_użytkownika, serwer potwierdza przyjęcie identyfikatora, a następnie klient wysyła PASS hasło. Dopiero poprawne wykonanie obu etapów pozwala przejść do stanu TRANSACTION i wykonywać operacje na skrzynce, takie jak STAT, LIST, RETR czy DELE.

Serwer odpowiada na komendę PASS pojedynczą odpowiedzią rozpoczynającą się od +OK albo -ERR. Odpowiedź +OK oznacza zaakceptowanie danych uwierzytelniających, natomiast -ERR może oznaczać błędną nazwę użytkownika, nieprawidłowe hasło, zablokowane konto albo inną odmowę dostępu. Klient pocztowy nie powinien traktować samego wysłania komendy jako dowodu zalogowania; musi przeanalizować odpowiedź serwera i dopiero potem kontynuować sesję.

Dlaczego PASS bez TLS ujawnia hasło

W podstawowym POP3 komenda PASS jest przesyłana w kanale tekstowym. Jeżeli połączenie nie korzysta z szyfrowania, osoba lub urządzenie mające możliwość obserwowania ruchu sieciowego może odczytać zarówno nazwę użytkownika, jak i hasło. Dotyczy to między innymi niezabezpieczonej sieci bezprzewodowej, błędnie skonfigurowanego punktu dostępowego, przejętego urządzenia sieciowego lub narzędzia diagnostycznego działającego w miejscu, przez które przechodzi połączenie.

Ważne jest rozróżnienie między szyfrowaniem transportu a samą metodą logowania. PASS nie szyfruje hasła samodzielnie i nie zastępuje TLS. Połączenie może jednak zostać zabezpieczone przed wysłaniem danych uwierzytelniających. POP3 może użyć polecenia STLS, które negocjuje warstwę TLS w ramach połączenia na porcie 110. Po pomyślnym ustanowieniu TLS klient powinien ponownie wykonać etap uwierzytelniania, ponieważ przejście do szyfrowanego kanału powoduje ponowne rozpoczęcie odpowiedniego stanu autoryzacji. Drugim rozwiązaniem jest połączenie z szyfrowaniem TLS od samego początku, powszechnie używane dla POP3 na porcie 995.

Warunki poprawnego użycia i typowe odpowiedzi serwera

PASS nie jest niezależną komendą do wyszukiwania wiadomości ani do zmiany hasła. Ma sens wyłącznie podczas logowania do konkretnej sesji POP3. W standardowym przebiegu serwer najpierw wysyła powitanie, a następnie klient przekazuje USER i PASS. Jeśli klient wyśle PASS przed zaakceptowaniem USER, serwer może zwrócić błąd składni lub odmówić wykonania polecenia. Hasło powinno być przekazywane dokładnie w formie wymaganej przez usługę, z zachowaniem wielkości liter, znaków specjalnych i ewentualnych ograniczeń narzuconych przez system uwierzytelniania.

Nie każda odmowa po PASS oznacza literówkę w haśle. Przyczyną może być niezgodny typ zabezpieczeń ustawiony w programie pocztowym, wyłączony dostęp POP3, wymaganie dodatkowej autoryzacji, blokada po wielu nieudanych próbach albo użycie niewłaściwego portu. W praktyce trzeba sprawdzić, czy klient łączy się z właściwą nazwą hosta, czy wybrano TLS zgodnie z wymaganiem dostawcy poczty oraz czy nazwa użytkownika ma oczekiwany format, na przykład pełny adres e-mail zamiast samego fragmentu przed znakiem @. Log połączenia może pokazać moment wysłania USER, PASS i odpowiedź -ERR, ale samo hasło nie powinno być zapisywane w logach.

Bezpieczna konfiguracja POP3 na komputerze użytkownika

Podczas konfiguracji konta pocztowego należy unikać ustawienia, w którym klient wysyła PASS zwykłym, niezaszyfrowanym połączeniem. Warto wybrać tryb wymagający TLS, zweryfikować certyfikat serwera i nie akceptować ostrzeżeń o niezgodnej nazwie hosta bez ustalenia ich przyczyny. Jeżeli dostawca udostępnia POP3 przez TLS od początku sesji, należy użyć parametrów odpowiadających temu trybowi, zwykle z portem 995. Jeżeli dostawca wymaga STARTTLS przez STLS, trzeba użyć portu i opcji wskazanych w jego dokumentacji, a także upewnić się, że klient nie zezwala na ciche przejście do połączenia bez szyfrowania.

Warszawskie Pogotowie Komputerowe zajmuje się profesjonalną naprawą laptopów, komputerów PC i ich podzespołów, w tym diagnostyką problemów z konfiguracją klientów pocztowych, połączeniem sieciowym oraz ustawieniami zabezpieczeń. Przy zgłoszeniu dotyczącym POP3 PASS istotne jest rozdzielenie problemu sprzętowego od błędu konfiguracji: komputer może działać prawidłowo, a logowanie nie powiedzie się z powodu niewłaściwego portu, trybu TLS, nazwy użytkownika albo ograniczeń po stronie dostawcy poczty.