Tại sao Google gọi Thunderbird thì kém an toàn hơn?

Tôi chưa bao giờ gặp sự cố khi sử dụng Gmail với Thunderbird, nhưng trong khi thử sử dụng ứng dụng khách phần mềm miễn phí cho Google Talk / Trò chuyện / Hangout, tôi đã phát hiện ra điều đó, theo tài liệu của Google về "ứng dụng kém an toàn" :

Một số ví dụ về các ứng dụng không hỗ trợ các tiêu chuẩn bảo mật mới nhất bao gồm [...] Ứng dụng thư khách trên máy tính để bàn như Microsoft Outlook và Mozilla Thunderbird.

Google sau đó cung cấp một chuyển đổi tài khoản an toàn hoặc không có gì an toàn so với chuyển đổi tài khoản không an toàn ("Cho phép các ứng dụng kém an toàn hơn").

Tại sao Google nói Thunderbird "không hỗ trợ các tiêu chuẩn bảo mật mới nhất"? Có phải Google đang cố gắng nói rằng các giao thức tiêu chuẩn như IMAP, SMTP và POP3 là những cách "kém an toàn" hơn để truy cập hộp thư? Có phải họ đang cố gắng nói rằng việc người dùng sử dụng phần mềm đó khiến tài khoản của họ gặp rủi ro? Hay cái gì?

Báo cáo về tính dễ bị tổn thương của Secunia : Mozilla Thunderbird 24.x (ở đâu là 31?) Cho biết «Chưa hoàn thành 11% (1 trong 9 lời khuyên của Secunia) [...] Tư vấn Secunia chưa được chỉnh sửa nghiêm trọng nhất ảnh hưởng đến Mozilla Thunderbird 24.x, với tất cả các bản vá nhà cung cấp được áp dụng , được đánh giá Rất quan trọng », rõ ràng là SA59804 .

Cập nhật 2 : kể từ năm 2018, Google tăng gấp đôi bằng cách gửi tin nhắn để mời vô hiệu hóa quyền truy cập "kém an toàn":

Cập nhật : OAuth2 có sẵn trong Thunderbird 38, với các bản sửa lỗi tiếp theo trong các bản phát hành sau và lỗi 849540 đã bị đóng. Tôi vẫn chưa rõ về mục tiêu của tất cả rạp xiếc này.

Đó là vì những khách hàng đó (hiện tại) không hỗ trợ OAuth 2.0 .

... bắt đầu từ nửa cuối năm 2014, chúng tôi sẽ bắt đầu tăng dần các kiểm tra bảo mật được thực hiện khi người dùng đăng nhập vào Google. Các kiểm tra bổ sung này sẽ đảm bảo rằng chỉ người dùng dự định mới có quyền truy cập vào tài khoản của họ, cho dù thông qua trình duyệt, thiết bị hoặc ứng dụng. Những thay đổi này sẽ ảnh hưởng đến bất kỳ ứng dụng nào gửi tên người dùng và / hoặc mật khẩu cho Google.

Để bảo vệ người dùng của bạn tốt hơn, chúng tôi khuyên bạn nên nâng cấp tất cả các ứng dụng của mình lên OAuth 2.0. Nếu bạn chọn không làm như vậy, người dùng của bạn sẽ được yêu cầu thực hiện các bước bổ sung để tiếp tục truy cập ứng dụng của bạn.

...

Tóm lại, nếu ứng dụng của bạn hiện đang sử dụng mật khẩu đơn giản để xác thực với Google, chúng tôi khuyến khích bạn giảm thiểu sự gián đoạn của người dùng bằng cách chuyển sang OAuth 2.0.

Nguồn: "Các biện pháp bảo mật mới sẽ ảnh hưởng đến các ứng dụng cũ hơn (không phải OAuth 2.0)" - Blog bảo mật trực tuyến của Google

Bắt đầu với Thunderbird 38 OAuth 2.0 được hỗ trợ, hãy xem https://support.mozilla.org/en-US/kb/thunderbird-and-gmail và https://support.mozilla.org/en-US/kb/thunderbird- và gmail

Lưu ý : Nếu bạn có tài khoản gmail hiện có trong Thunderbird, bạn phải thay đổi phương thức xác thực trong cài đặt tài khoản của mình:

Đối với IMAP trong cài đặt Tài khoản GMail> Cài đặt máy chủ> Phương thức xác thực: "OAuth2"

và đối với SMTP (gửi) có một cài đặt riêng, chọn Google Mail (smtp.googlemail.com)> Chỉnh sửa lại phương thức Xác thực thành OAuth2 .

(Chà, bạn cũng có thể xóa tài khoản Gmail của mình và tạo tài khoản mới.)