Quelltext der Seite Authenticated Post Office Protocol

'''Authenticated Post Office Protocol''' ('''APOP''') ist ein Verfahren zur sicheren Übertragung des [[Passwort]]s beim Abruf von [[E-Mail]]s mittels [[Post Office Protocol]], das 1993 mit <nowiki>RFC&nbsp;1460</nowiki><ref>{{RFC-Internet |RFC=1460 |Titel=Post Office Protocol – Version 3 |Datum=}}</ref> eingeführt wurde. Ohne APOP wird das Passwort im [[Klartext (Kryptographie)|Klartext]] übertragen und kann dann mittels [[Sniffer]] in den Besitz Unbefugter kommen. Die Übertragung der E-Mails verschlüsselt APOP nicht. Auch Passwörter müssen dafür unverschlüsselt gespeichert werden.

APOP gilt als unsicher.<ref>{{Literatur |Titel=Security of MD5 Challenge and Response: Extension of APOP Password Recovery Attack |Sammelwerk=Lecture Notes in Computer Science |Nummer=4964 |Datum=2008 |Seiten=1–18 |Online=https://books.google.de/books?id=uatika8-01oC&printsec=frontcover&hl=de#v=onepage}}</ref> Der zugrundeliegende [[Message-Digest Algorithm&nbsp;5]] verbunden mit der zwangsläufig stetig wiederholten Übertragung des Passworts offenbart nach überschaubarer Zeit selbst lange Passwörter.

APOP ist kein zwingender Bestandteil des Post Office Protocols, sondern kann von [[Mailserver]]n angeboten werden.<ref>{{RFC-Internet |RFC=1939 |Titel=Post Office Protocol – Version 3 |Datum=1996-05}}</ref>

== Verfahrensablauf ==
APOP anbietende Mailserver beantworten Kontaktaufnahmen mit einer [[Zeichenkette]], die nach dem einleitenden +OK zusätzlich einen aktuellen [[Zeitstempel]] enthält. Dieser muss einer msg-id nach <nowiki>RFC&nbsp;822</nowiki><ref>{{RFC-Internet |RFC=822 |Titel=Standard for the Format of ARPA Internet Text Messages |Datum=1989-10}}</ref> entsprechen und insbesondere einzigartig sein.

APOP unterstützende [[Mail User Agent]]s durchsuchen die empfangene Zeichenkette nach den spitzen Klammern, die den Zeitstempel markieren. Wenn sie einen Zeitstempel finden, hängen sie an diesen das Passwort an, berechnen aus dieser Kombination einen [[Message-Digest Algorithm 5|MD5-Hashwert]] und senden diesen mit dem Befehl APOP und dem [[Benutzername]]n zurück.

Der Mailserver führt dann dieselbe Berechnung durch, vergleicht die beiden Hashwerte und gewährt bei Übereinstimmung Zugriff.

== Beispiel ==
{| cellpadding="5" cellspacing="0"
|-
! Client
! Server
! Erläuterung
|- style="background:#C0C0FF;"
|style="font-family:monospace;"| pop.example.com:110
|
| Client baut eine POP3-Verbindung zum Server auf
|- style="background:#FFFFB0"
|
|style="font-family:monospace;"| +OK&nbsp;&lt;1896.697170952@pop.example.com>
| Server sendet +OK und Zeitstempel
|- style="background:#C0C0FF;"
|style="font-family:monospace;"| APOP&nbsp;adam&nbsp;c4c9334bac560ecc979e58001b3e22fb
|
| Client berechnet einen Hash-Wert aus:<br /> "&lt;1896…>passwort" und sendet diesen an den Server
|- style="background:#FFFFB0"
|
|style="font-family:monospace;"| +OK&nbsp;1&nbsp;message&nbsp;(369&nbsp;octets)
| Server berechnet Hash-Wert ebenfalls, OK bei Übereinstimmung
|}

== Alternativen ==
* [[Simple Authentication and Security Layer]]
* [[POP3S]]
* [[STARTTLS]]

== Einzelnachweise ==
<references />

[[Kategorie:Internet-E-Mail-Protokoll]]
[[Kategorie:Authentifizierungsprotokoll]]