finian
2015-03-16 10:50:25 +08:00
我觉得这个科普还是很有意义的，对于小白用户来说，根本就不知道背后这些乱七八糟的原理，看到有免费 WIFI 可以用就连上了，然后就被「吓尿」了。
那两个演示原理也很简单，照片那个是抓 HTTP 包，现场观众一刷朋友圈，新拉下来的照片就被扒到了；邮箱账号那个是抓 IMAP/POP3 包，只要没启用 TLS，密码都是明文传输的。是否启用 TLS，取决于客户端和服务端的设置，好的客户端一般都默认 TLS 加密的（当然用户可以自己修改），而 不少邮箱服务（特别是企业自己搭建的）压根就不提供 TLS 加密功能，所以客户端只能通过非加密方式连接。还有一点不安全的因素是，国内邮箱服务提供商没有一个是提供 oauth 支持的，意味着每次和邮箱服务器的交互都需要传递邮箱原始密码。而从目前国内邮箱服务竞争的尿性来看（你看，前段时间网易邮箱不是关闭了 IMAP 协议访问来屏蔽第三方客户端嘛），想要国内服务商提供 oauth 支持就只能呵呵了。