APOPとは？

APOPの意味

POP3でパスワードを平文で送らずに済ませるための認証方式。サーバが接続時に提示したチャレンジ文字列とパスワードを連結してMD5ハッシュを取り、その値を送る。ネットワーク上にパスワードそのものは流れないが、本文は保護されない。

APOPの具体例

実装としてはチャレンジレスポンス認証の一種で、盗聴者は同じハッシュを再送しても別のチャレンジには使えない。ただしMD5の衝突・部分解析やチャレンジを偽装する中間者攻撃が指摘され、現在はTLSで通信路ごと守る方式に置き換えられている。

APOPは試験でどう引っ掛けられる？

APOPが守るのは認証情報だけで、メール本文は平文のまま流れる。「APOPを使えば盗聴対策になる」は不十分な記述。またサーバ側は照合のためにパスワードを平文相当で保持する必要があり、サーバ漏えいに弱い。

APOPと関連する用語

• POP3
• チャレンジレスポンス認証
• ハッシュ関数

APOPが出た過去問

• 電子メールをスマートフォンで受信する際のメールサーバとスマートフォンとの間の通信を、メール本文を含めて暗号化するプロトコルはどれか。

  正解：IMAPS

  要点：受信時に本文まで暗号化するにはTLS上のIMAPS

  IMAPSは、メール受信プロトコルであるIMAP4の通信全体をTLSで保護したもので、標準では993番ポートを用いる。認証情報だけでなくメール本文や添付ファイルを含む通信路全体が暗号化されるため、受信時の盗聴に対して有効である。APOPは認証時のパスワード保護にとどまり、本文は平文のまま流れる点が異なる。

  出典：令和4年度 春期 情報処理安全確保支援士試験 am2 問16（IPA）

• 電子メールをスマートフォンのメール・アプリケーションプログラムで受信する際のメールサーバとスマートフォンとの間の通信を、メール本文を含めて暗号化するプロトコルは…

  正解：IMAPS

  要点：受信通信を本文ごと暗号化するにはTLS上のIMAPS

  IMAPSはIMAP4の通信全体をTLSで保護する方式で、標準では993番ポートを使用する。認証情報だけでなくメール本文や添付ファイルまで暗号化されるため、受信時の盗聴に対して有効である。APOPはパスワードをチャレンジレスポンスで保護するだけで本文は平文のまま流れる点が決定的に異なる。

  出典：令和5年度 秋期 情報処理安全確保支援士試験 am2 問16（IPA）