APOPとは？

APOPの意味

POP3でパスワードを平文で送らずに済ませるための認証方式。サーバが接続時に提示したチャレンジ文字列とパスワードを連結してMD5ハッシュを取り、その値を送る。ネットワーク上にパスワードそのものは流れないが、本文は保護されない。

APOPの具体例

実装としてはチャレンジレスポンス認証の一種で、盗聴者は同じハッシュを再送しても別のチャレンジには使えない。ただしMD5の衝突・部分解析やチャレンジを偽装する中間者攻撃が指摘され、現在はTLSで通信路ごと守る方式に置き換えられている。

APOPは試験でどう引っ掛けられる？

APOPが守るのは認証情報だけで、メール本文は平文のまま流れる。「APOPを使えば盗聴対策になる」は不十分な記述。またサーバ側は照合のためにパスワードを平文相当で保持する必要があり、サーバ漏えいに弱い。

APOPと関連する用語

• POP3／IMAP4
• チャレンジレスポンス認証
• ハッシュ関数

APOPが出た過去問

• 送信する電子メールの本文と添付ファイルを暗号化し、宛先に指定した受信者だけが内容を読むことができるようにしたい。このとき使用する技術として、最も適切なものはどれ…

  正解：S/MIME

  要点：メール本文と添付の暗号化はS/MIME

  S/MIMEは、電子メールの本文や添付ファイルを公開鍵暗号方式で暗号化し、あわせてデジタル署名も付けられる規格である。受信者の公開鍵で暗号化するため、対応する秘密鍵を持つ本人だけが復号できる。APOPは受信時の認証、IMAPはサーバ上のメールを扱う受信プロトコル、SSLは通信経路の保護であり、メール本文そのものを宛先限定で守るものではない。

  出典：平成26年度 春期 ITパスポート試験 問79（IPA）